Retos de la ciberseguridad en las universidades
6 de cada 10 universidades de todo el mundo se vieron afectadas por un ataque ransomware durante el 2021. Así se desprende de la encuesta ‘State of Ransomware’ de Sophos. Un dato que certifica, una vez más, el riesgo creciente de ciberamenazas al que se exponen los campus. Por ello, las últimas jornadas sectoriales de la Crue TIC, celebradas en la Universidad de la Laguna, han puesto el foco en los retos de ciberseguridad a los que se enfrentan las universidades. La cooperación y el incremento de recursos es clave para conseguir estar más protegidos ante los ciberdelincuentes.
El 64% de los profesionales TI encuestados en el informe ‘State Ransomware’, representantes de 410 instituciones de todo el mundo, aseguraron que habían sido víctimas de un ataque ransomware en el último año. Dos de cada cinco dijeron que la recuperación tardó más de un mes. Este es el tipo de ciberataque que más preocupa a cualquier organización y también ha sido el más frecuente en los últimos dos años. Pero no es la única amenaza, cada vez son más y más difíciles de rastrear.
Existen los ataques de malware, el criptohacking, las amenazas contra datos, el ciberespionaje, las amenazas contra la disponibilidad e integridad de los sistemas o el physhing. La consejera técnica CIBER en la Unidad CIBER y contra la desinformación del Departamento de Seguridad Nacional (DSN), Elena de La Calle Vian, explicó en una ponencia en las Jornadas Crue TIC en la Universidad de la Laguna, que detrás de los ciberataques están las amenazas persistentes avanzadas (ATP), grupos criminales, incluso apoyados por gobiernos y grupos hacktivistas.
<<Hoy en día la ciberseguridad en el ámbito de la universidad, sin duda, es uno de los retos más importantes a los que nos enfrentamos como instituciones>>. Juan Gómez Ortega, Rector de la Universidad de Jaén y Presidente de la Sectorial TIC de CRUE.
Experiencias tras un ciberataque
En los últimos dos años numerosas universidades han sufrido un ciberataque. Uno de los más recientes es el de la Universitat Oberta de Catalunya (UOC) que lo sufrió el 2 de enero, en plenas vacaciones de Navidad. La directora de su Oficina de Seguridad de la Información, Clara Beleña, relató durante una mesa redonda, que decidieron aislar todos los servidores y que el impacto en su actividad fue muy grande, ya que al ser una universidad totalmente virtual “los estudiantes se quedaron sin poder acceder a nada”. En el caso de la Universitat Autònoma de Barcelona (UAB) el incidente se produjo en un puente festivo y se detectó a través de la caída de servicios. La primera decisión, contó el director del Servicio de Informática, Gonçal Badenes, fue “desconectar la red, aunque con los nervios, cometimos el error de parar algunas máquinas, en lugar de desconectarlas”.
“Durante muchos años fuimos inconscientes de la necesidad de tener una monitorización 24/7 de nuestros servicios. Lo vinculábamos a la disponibilidad, a que el correo electrónico debía estar funcionando, a que el Campus Virtual tenía que estar levantado pero no nos habíamos dado cuenta que ese 24/7 es el elemento clave para tener una respuesta rápida” (Andrés Prado, director del Área TI de la UCLM, víctima de un ataque ransomware en abril de 2021)
La falta de concienciación en los equipos de dirección, la falta de recursos o la falta de personal especializado son algunas de las carencias que esgrimieron los responsables TI de las universidades españolas para hacer frente a esta creciente amenaza. Por todo ello, insistieron en que la cooperación entre las diferentes administraciones y organizaciones es clave para prevenir estos incidentes y reducir los riesgos.
“Sabemos dónde estamos y a dónde tenemos que ir. Para recorrer ese camino hacen falta recursos y dinero y no podemos parar de avanzar porque los que están enfrente tienen muchos recursos, tienen un plan y no descansan“. (Iñaki Fuertes, adjunto al Vicerrector para la transformación digital. Universidad de Deusto)
¿Qué papel juega la IA?
La inteligencia artificial está tomando un protagonismo muy importante en la ciberseguridad, tanto en el ataque como en la prevención y la defensa de ataques. En este sentido, Santiago Portela, durante 22 años CIO en la Universidad Alfonso X El Sabio, presentó las conclusiones de varios artículos sobre ciberseguridad publicados en la revista RUIDERAe. Portela aseguró que se están creando agentes con habilidades capaces de detectar malware “de forma intuitiva” sin un patrón y que no está indexado. Otro de los puntos en los que incidió es la brecha de talento y recordó que es “vital” formar a técnicos de ciberseguridad y con técnicas específicas de IA.
<<Solemos atender entre tres y cuatro incidentes graves por mes>>. Martianiano Mallavibarrena, jefe del grupo de respuesta de incidentes de Telefonica Tech
ENS: impulsor de la ciberseguridad
Precisamente, el Esquema Nacional de Seguridad (ENS) puede actuar como “impulsor” de las medidas de ciberseguridad. Y es que las crecientes amenazas y la nueva realidad normativa han motivado la actualización del ENS, publicado el pasado mes de mayo. El director de la División de Planificación y Coordinación de Ciberseguridad, Miguel Ángel Amutio, advirtió a los responsables TI de las universidades que este documento “no es un tocho que se publica en el BOE sino un instrumento”. Y es que, según reconoció el analista del Servicio de Informática de la Universidad Politécnica de Cartagena, Paco Sampalo, es necesario fomentar la adecuación al ENS de las universidades ya que son muy pocos los campus que cuenta con ese certificado. De hecho, solo cuatro universidades españolas cuentan con la acreditación ENS, según consta en su página web. Para facilitar esa adaptación el CCN publicó en febrero la nueva Guía de adecuación al ENS para Universidades.
La Universitat Jaume I fue la segunda universidad española en obtener la certificación ENS en 2019, tras la Universidad de Granada.
Deficiencias detectadas en las universidades
- Mecanismos de autenticación sin uso del doble factor
- Ausencia de sistemas de protección frente a código dañino
- Sistemas obsoletos sin actualizaciones de seguridad
- Insuficientes configuraciones de seguridad
- Insuficiente protección de servicios
- Carencia de la segregación de redes
- No aplicación de la la detección de intrusión
- Poca concienciación y formación
- Falta de protocolos de actuación ante ciberincidentes
“La actualización del ENS era necesaria por la aceleración de la transformación digital, se ha extendido la superficie de exposición y la dependencia de conexión.” Miguel Ángel Amutio, director de la División de Planificación y Coordinación de Ciberseguridad.
Ahora los sistemas afectados, entre ellos los de las universidades, tienen un plazo de 24 meses para adecuarse a la normativa.
