El sector educativo es uno de los principales objetivos de los ciberataques, junto con sectores como el financiero y el sanitario. A nivel mundial, el sector educativo sigue registrando un aumento de los ciberataques contra él. Check Point Research (CPR) ha constatado un incremento del 75 % en los ciberataques contra centros educativos en 2021, lo que sitúa a este sector en el primer puesto en cuanto al número de ciberataques en comparación con otros sectores industriales.
El sector educativo es uno de los objetivos preferidos de los ciberdelincuentes, ya que presenta ciertos aspectos que lo hacen vulnerable. Por ejemplo, es posible que los centros educativos no puedan permitirse el lujo de contar con un equipo de seguridad específico. Otros factores son una base de usuarios dinámica y políticas como la de «traiga su propio dispositivo» (BYOD), en la que los alumnos y el personal utilizan dispositivos móviles para conectarse a la red y a las aplicaciones en la nube.
Dado que los ciberataques siguen causando estragos en este sector vulnerable, la formación en ciberseguridad para el sector educativo se convierte en un arma fundamental contra dichos ataques.
Tipos de amenazas cibernéticas a los centros educativos
El Instituto Ponemon e IBM han analizado el impacto de las brechas de seguridad en el sector educativo en un informe reciente. Los investigadores constataron que el 48 % de las brechas de seguridad en el sector se debieron a ataques maliciosos, y que se tardó hasta 212 días en identificarlas y contenerlas. Los ataques maliciosos se centraron en los datos, incluidos los resultados de los exámenes, y el 43 % de las entidades del sector indicaron que los datos de los alumnos fueron el objetivo.
Un estudio del Gobierno del Reino Unido ha revelado unas cifras alarmantes . El siguiente porcentaje de centros educativos fue víctima de un ciberataque en el curso 2020-2021:
- El 36 % de las escuelas primarias
- El 58 % de los institutos de secundaria
- El 75 % de las universidades
Al igual que en muchos otros sectores, el factor humano es fundamental para el éxito de un ciberataque. Una investigación de la Universidad de Stanford ha revelado que el 88 % de las brechas de seguridad tienen su origen en una persona, como por ejemplo un empleado.
Los siguientes tipos de amenazas cibernéticas tienen como objetivo los centros educativos y, dado que en todos ellos el ser humano es el elemento central del ataque, la formación en concienciación sobre seguridad puede ayudar a prevenirlas:
Phishing
Los correos electrónicos de phishing, el phishing por voz (vishing) y el spear-phishing (ataques de phishing dirigidos) son las técnicas preferidas de los ciberdelincuentes, ya que resultan muy eficaces. Un estudio de Symantec reveló que el 96 % de las filtraciones de datos comienzan con un correo electrónico de phishing. Los colegios, institutos y universidades corren el riesgo de sufrir ataques de phishing. Un informe de 2021 de Netwrix reveló que el 60 % de las instituciones educativas había sufrido un ataque de phishing.
El ransomware
El ransomware ya no se limita a cifrar datos y exigir un rescate para descifrarlos. En la actualidad, lo habitual es que los datos sean sustraídos y utilizados como medio de presión para obligar al pago del rescate o vendidos a otros ciberdelincuentes.
El Centro Nacional de Ciberseguridad (NCSC) ha emitido varias advertencias durante el último año sobre el aumento de los ataques de ransomware contra el sector educativo. El phishing figura entre los tres métodos más habituales utilizados para infectar las redes educativas con ransomware. Otros métodos se aprovechan de una autenticación deficiente y de vulnerabilidades en el software.
Fugas de datos y divulgación accidental
Las filtraciones de datos suponen un elevado coste para los centros de enseñanza, las escuelas superiores y las universidades: un informe sobre el coste de una filtración de datos elaborado por IBM y Ponemon reveló que el coste medio del sector era de 141 dólares (107 libras esterlinas) por registro afectado. Sin embargo, esta cifra ascendió a 200 dólares (153 libras esterlinas) en el sector educativo.
Las fugas accidentales de datos también generan costes y tiempo de inactividad: el informe de Netwrix reveló que casi todas las instituciones educativas tardan días o semanas en detectar una fuga accidental de datos. Además, aproximadamente un tercio de ellas tardó semanas en recuperarse de una fuga accidental de datos.
Ingeniería social
La ingeniería social suele combinar numerosos elementos de una estafa compleja. El phishing es un método habitual utilizado para sustraer credenciales de acceso, pero, cada vez más, los estafadores también recurren a otros métodos, como las redes sociales y las llamadas telefónicas, para recabar información sobre una persona concreta o un centro educativo.
Entornos de aprendizaje en el hogar poco seguros
La COVID-19 y la enseñanza a distancia han puesto de manifiesto la necesidad de contar con un buen nivel de seguridad en el entorno doméstico. Sin embargo, el teletrabajo suele suponer que la seguridad quede en segundo plano, ya que los miembros de un mismo hogar comparten dispositivos y conexiones Wi-Fi.
¿Cómo puede la formación en ciberseguridad ayudar a prevenir los ciberataques contra colegios, institutos y universidades?
Tal y como han demostrado los estudios, la exposición de los datos suele ser consecuencia de factores humanos. Esto incluye tanto a personas con falta de conocimientos sobre seguridad como a ciberdelincuentes que manipulan el comportamiento humano.
La formación en concienciación sobre seguridad cubre las lagunas en la comprensión de en qué consiste la seguridad y proporciona a las personas las herramientas necesarias para prevenir los ciberataques. La formación en concienciación sobre seguridad para el sector educativo resulta más eficaz cuando el programa se adapta específicamente a dicho sector. El ámbito educativo presenta una serie de retos propios, y cada tipo de centro educativo, desde las escuelas primarias hasta las universidades, cuenta con su propio entorno y estructura específicos.
La formación en concienciación sobre seguridad empresarial debe abarcar diversos tipos de puestos dentro de una empresa; puestos como el de contabilidad de proveedores y el de recursos humanos son blanco de determinados tipos de ciberataques, como, por ejemplo, el suplantación de identidad en el correo electrónico empresarial (BEC).
Las instituciones educativas también desempeñan muchas de las mismas funciones que una empresa; sin embargo, las universidades, por ejemplo, deben formar tanto a los estudiantes como al personal. Diseñar un programa de formación que abarque a todos estos diferentes tipos de personas y funciones es factible mediante un enfoque de la formación en seguridad basado en roles. No obstante, dicho programa también debe poder llegar a los usuarios remotos. Los programas de formación que se imparten mediante el modelo «Software como servicio» (SaaS) resultan ideales para el carácter distribuido de la educación moderna.
Cinco elementos clave de la formación en ciberseguridad para el ámbito educativo
Los cinco elementos principales que hay que tener en cuenta a la hora de elegir un programa que se adapte a las necesidades específicas de un centro educativo son los siguientes: el programa debe:
- Diseñado para adaptarse a un amplio abanico de personas, desde el personal hasta los alumnos
- Se puede adaptar para reflejar los tipos de ciberataques que afectan al sector educativo
- Se puede ofrecer mediante SaaS a todos los usuarios, incluidos los trabajadores a distancia y los estudiantes
- Incorpora módulos de formación divertidos e interactivos que mantienen la atención de todo tipo de alumnos
- Puede generar informes y documentación que le ayuden a cumplir con la normativa, incluido el RGPD del Reino Unido.
Los ciberdelincuentes carecen de principios morales, y el hecho de que ataquen al sector educativo demuestra hasta qué punto son capaces de llegar. Sin embargo, las características específicas del sector educativo hacen que la formación en concienciación sobre seguridad deba adaptarse a sus necesidades. A la hora de elegir un programa de formación en concienciación sobre seguridad, asegúrese de que la solución cumpla con los cinco elementos clave mencionados anteriormente.