Las universidades y otras organizaciones educativas públicas enfrentan cambios en la era de la educación digital. La introducción de sistemas de gestión académica, espacios de colaboración para investigar, plataformas en línea, grupos de alumnos y personal administrativo, además de la protección de datos cada vez más valiosos, ha cambiado el panorama educativo. Sin embargo, también lo ha puesto en riesgo de situaciones que a menudo no se pueden ver hasta que un incidente ya ha sucedido.
Uno de esos peligros es el aumento del papel que juegan las amenazas internas, incluso aquellas ejecutadas por estudiantes o curiosos con fines académicos o de reconocimiento, pero que tienen efectos reales y serios. En respuesta a esto, gestionar los riesgos de ciberseguridad se transforma de ser una práctica opcional en una necesidad estratégica para cualquier institución pública o universidad de educación superior.
Las instituciones de educación, así como las universidades deben tomar en cuenta los siguientes puntos que se han señalado últimamente:
- Se han documentado casos en los que más de la mitad de los incidentes de violaciones de datos internos en instituciones educativas (escuelas, colegios) fueron causados por los mismos alumnos. Aunque los ejemplos concretos han sido en niveles escolares, la lógica se aplica también a la educación superior, donde los estudiantes tienen acceso a sistemas más poderosos.
- Las motivaciones de esos incidentes suelen ser curiosidad, deseo de experimentar, demostrar habilidades técnicas, o incluso simple competencia entre pares. Pero los métodos usados pueden ser simples (contraseñas débiles, accesos no supervisados, credenciales robadas, etc.) y bastan para generar daños significativos.
- Las universidades suelen manejar datos aún más sensibles como: investigaciones inéditas, propiedad intelectual, datos personales de estudiantes, docentes y trabajadores, resultados de exámenes, redes de colaboradores externos, contratos, y a veces infraestructura que va más allá del aula (servidores, servicios en la nube, laboratorios conectados, etc.).
Además, hay estadísticas recientes de Reino Unido que muestran la gravedad del riesgo:
- En las instituciones de educación superior, la prevalencia de ciberataques o brechas de seguridad es muy alta, superando en muchos casos el promedio de las empresas.
- Un estudio reveló que 7 de cada 10 universidades del Reino Unido sufrieron incidentes de seguridad digital entre 2023 y 2024, siendo los accesos indebidos internos y el phishing los más frecuentes.
- Muchas instituciones han adoptado políticas, auditorías y planes de continuidad, pero todavía existen brechas en educación digital, control de accesos y supervisión.
¿Por qué estos incidentes no son “solo una broma”?
Podría parecer que es exagerado suponer que un alumno que entra a un sistema universitario sin autorización lo hace con malas intenciones, pero los datos indican lo contrario: las consecuencias son preocupantes y tangibles.
- Brecha de datos sensibles: En 2024, varias universidades europeas reportaron fugas de datos que expusieron expedientes médicos de estudiantes y resultados de investigaciones en curso. Estos incidentes no solo violan la privacidad, también ponen en riesgo la propiedad intelectual y la credibilidad académica.
- Impacto económico: Un informe señaló que las universidades que sufrieron incidentes de seguridad enfrentaron costos de entre £15,000 y £60,000 por evento, incluyendo la recuperación de sistemas, consultorías externas y sanciones legales.
- Interrupción académica: En 2023, una universidad británica tuvo que suspender temporalmente el acceso a su plataforma de clases en línea y exámenes digitales debido a un acceso indebido interno que afectó a más de 12.000 estudiantes en plena época de evaluaciones finales.
- Riesgo de reputación: Una filtración de datos o una suspensión de servicios afecta directamente la confianza en la institución, tanto de los estudiantes como de investigadores y socios internacionales.
Estos ejemplos confirman que no se trata de simples travesuras, sino de riesgos que pueden escalar en magnitud. Por eso, la gestión de riesgos de ciberseguridad debe estar en el centro de la estrategia de cualquier universidad e institución de educación.
Integración estratégica: pasos para institucionalizar la gestión de riesgos de ciberseguridad
Aquí un camino sugerido para universidades e instituciones públicas para adoptar ese enfoque estratégico:
- Diagnóstico oficial y transparencia interna: determinar claramente los activos digitales, evaluar vulnerabilidades, cuantificar amenazas, y comunicar internamente los resultados con líderes institucionales.
- Política institucional formal: documentos que definan responsabilidades, normas de acceso, estándares de protección de datos, protocolos de respuesta a incidentes.
- Presupuesto dedicado: asignar recursos humanos y financieros para infraestructura de seguridad, capacitación continua, auditorías, herramientas de monitoreo.
- Gestión colaborativa: coordinación entre departamentos de TI, administración, rectoría, oficinas legales, investigación, estudiantes.
- Monitoreo, revisión y mejora continua: actualizar políticas frente a novedades tecnológicas (por ejemplo, servicios en la nube, inteligencia artificial, herramientas colaborativas), evaluar lecciones de incidentes internos o externos, adaptar.
- Plan de respuesta ante incidentes: definir qué hacer si ocurre una violación: quién responde, cómo se comunica internamente y externamente, cómo se recuperan datos, cómo se mitigan daños reputacionales.
Retos propios de instituciones públicas y cómo enfrentarlos
Algunos de los retos más comunes:
- Presupuesto limitado: Muchas universidades públicas operan con presupuestos ajustados, y las inversiones en seguridad a veces se ven como secundarias.
- Recursos humanos: no siempre hay personal especializado en ciberseguridad, lo que puede ser un cuello de botella.
- Infraestructura heredada (“legacy systems”): sistemas antiguos que no reciben soporte, que tienen vulnerabilidades conocidas.
- Políticas públicas y burocracia: aprobación de inversiones, contratación, regulación puede demorar medidas necesarias.
- Compartición de responsabilidad: cuando se trabaja con terceros, proveedores, colaboradores externos, lo que ocurre afuera puede repercutir de forma interna.
Cómo superarlos:
- Priorizar las áreas de mayor impacto para comenzar: proteger datos sensibles de investigación, sistemas financieros, datos personales.
- Buscar financiamiento específico para ciberseguridad: fondos gubernamentales, grants, asociaciones público-privadas.
- Colaborar con otras universidades o instituciones públicas para compartir buenas prácticas, capacitación, recursos técnicos.
- Incorporar la ciberseguridad en la planificación estratégica institucional, no solo como proyecto técnico, sino como parte de la misión, reputación y responsabilidad.
En conclusión, las universidades y las instituciones públicas de educación tienen la responsabilidad de aceptar que los peligros asociados a la ciberseguridad ya no son un tema secundario o aislado. La digitalización de la investigación, la gestión administrativa y el aprendizaje ofrece grandes oportunidades, pero también presenta vulnerabilidades que necesitan ser administradas con una perspectiva estratégica. No solo se protege la información, sino también la continuidad académica, la reputación de la institución y la confianza de los miembros de la comunidad educativa.
En Never Off Technology entendemos que los incidentes de seguridad digital son una advertencia para el sector educativo. Por eso promovemos la gestión de riesgos de ciberseguridad como una práctica integral, apoyando a las instituciones en la creación de entornos académicos más seguros, resilientes y preparados para anticipar vulnerabilidades, proteger a sus estudiantes y salvaguardar el valor del conocimiento.
