Las universidades están expuestas incesantemente a sufrir ataques cibernéticos. Amenazas como el ransomware, el phishing y la exfiltración de datos son realidades cotidianas para el ecosistema de TIC en la educación superior. Para protegerse de ellas no sólo es necesario contar con las mejores soluciones y políticas de seguridad; se requieren también buenas prácticas de higiene cibernética.
También llamada higiene digital o ciberhigiene, se refiere al conjunto de acciones básicas a ejecutar regularmente para mejorar la ciberseguridad. Por ende, abarca la configuración de recordatorios automáticos para cambiar las contraseñas, actualizar el software o escanear los sistemas con antivirus, entre otras cosas.
Aunque se trata de prácticas elementales, un número no menor de usuarios en las universidades las omite, ya sea por desconocimiento o bien, indolencia. Sin embargo, la pertinencia de la higiene cibernética queda en relieve ante las vulnerabilidades persistentes en las universidades. Entre otras, se cuentan los ataques basados en ingeniería social, los sistemas sin parches y el robo de credenciales.
Las instituciones de educación superior suelen enfrentar dos problemas cardinales para reforzar su ciberseguridad: la falta de presupuesto y la abundancia de usuarios. Resolverlos es complicado, pero las prácticas fundamentales de la higiene digital puede mejorar significativamente el panorama.
Higiene cibernética, asunto de todos
●Capacitar y concienciar. Lograr una buena higiene cibernética no es una responsabilidad exclusiva del personal de TIC, sino que la comparten todos los departamentos y usuarios. Los errores humanos son, casi siempre, el eslabón más débil en la cadena de ciberseguridad. Por ello administradores, profesores, personal diverso y estudiantes por igual deben ser conscientes de su papel en la ciberseguridad universitaria.
Sin embargo, las sesiones largas suelen abrumar a los usuarios con andanadas de instrucciones, que además tienden a ser olvidadas. En cambio, se puede recurrir a sesiones breves e interesantes para capacitarlos en las mejores prácticas de higiene cibernética. De hecho, fomentarla debería ser parte de todos los planes de estudio impartidos por la universidad.
●Contraseñas y autenticación sólidas. Ambas forman parte esencial de una buena higiene digital. Las contraseñas fuertes constan de al menos 12 caracteres: letras mayúsculas y minúsculas, números y símbolos combinados. Para aminorar el peligro de las contraseñas vulnerables, conviene que las universidades las complementen con la autenticación de múltiples factores (MFA). También pueden recurrir a las autenticaciones sin contraseña o a las passkeys.
●Asegurar y segmentar las redes. Los accesos a las redes universitarias deben efectuarse mediante redes privadas virtuales (VPN) protegidas con contraseñas seguras y MFA. Si además están segmentadas, se limita la capacidad de los hackers para moverse lateralmente en caso de que consigan infiltrarse.
Prepararse para el desastre
●Precauciones en la Internet. Todos los usuarios deben ser conscientes de la importancia de ser cuidadosos con los correos electrónicos. Deben aprender a descartar los mensaje sospechosos y evitar la descarga de archivos adjuntos sospechosos. También deben acostumbrarse a evitar las redes Wi-Fi públicas y saber que, si precisan conectarse a una, deben hacerlo mediante una VPN.
●Actualizar y parchar el software. En aras de lograr una buena higiene digital conviene automatizar y —por supuesto— supervisar las actualizaciones de las aplicaciones, los sistemas y el firmware.
●Cuidar los respaldos. La higiene cibernética incluye sistematizar y blindar los respaldos. Una buena práctica consiste en seguir la regla 3-2-1-1-0: al menos tres copias, en dos medios diferentes, una offline y una en la nube, y verificadas para que tengan cero errores. Además, es buena idea encriptar los datos sensibles de la universidad. Eso asegura que, aun en caso de que sean robados, no podrán ser leídos por los delincuentes.
●Planear las respuestas a incidentes. Una parte fundamental de la higiene cibernética consiste en saber cómo reaccionar ante los desastres cibernéticos. Eso significa revisar periódicamente los planes de respuesta, para asegurarse de que todos los involucrados están preparados para resolver las crisis en el menor tiempo posible.
