Comprender los riesgos internos
La seguridad informática es una disciplina en constante cambio, y aunque solemos pensar en ataques externos, una de las principales amenazas puede venir del propio entorno laboral. En este artículo, abordaremos cómo las amenazas cibernéticas pueden surgir desde el interior de nuestra universidad, explicando los riesgos asociados y cómo podemos enfrentarlos en el día a día. Con un enfoque práctico, veremos cómo cada uno de nosotros puede ser, sin quererlo, una fuente de vulnerabilidad o incluso de fuga de datos.
¿Qué son las amenazas internas?
Las amenazas internas son riesgos que provienen de personas dentro de la organización, ya sean empleados, estudiantes, o cualquier individuo con acceso a nuestros sistemas. Estas amenazas pueden ser intencionales o accidentales:
- Errores humanos: Incidentes que ocurren debido a descuidos, falta de conocimiento, empresamiento o mala interpretación de protocolos de seguridad.
- Falta de Verificación: Cuando no se revisan con cuidado las acciones o los datos que se manejan, se abren puertas a errores, envios o malos usos de la información.
- Abuso de privilegios: Cuando alguien con acceso elevado utiliza sus permisos para fines no autorizados.
- Acciones maliciosas: Cuando alguien dentro de la organización busca intencionalmente causar daño, robo de datos o interrupciones.
Cómo se enfrentan estas amenazas en la vida diaria
1. Fuente de Fuga de Datos
La fuga de datos puede ocurrir de muchas maneras inadvertidas. Un escenario común es el simple acto de compartir archivos. Imaginen que Ana, una profesora, decide compartir un documento con sus estudiantes a través de una plataforma de almacenamiento en la nube. Sin darse cuenta, el documento contiene información personal de los estudiantes, como sus direcciones de correo electrónico o incluso sus números de identificación. Si el acceso al documento no está correctamente restringido, sin cifrarlo, esta información podría ser accesible a personas no autorizadas, exponiendo a los estudiantes a riesgos de suplantación de identidad o acoso. Además, esto no cumple con los requisitos del RGPD.
2. Errores de Manipulación
Los errores de manipulación son quizás los más comunes. Consideremos a Carlos, un asistente de investigación, quien está manejando una base de datos de pacientes para un estudio. En su prisa por cumplir con un plazo, podría accidentalmente eliminar o modificar datos críticos. Estas acciones, aunque no maliciosas, pueden llevar a la pérdida de información valiosa, alterar resultados de investigación o incluso comprometer la privacidad de los individuos involucrados. Además, el uso incorrecto de herramientas de copiado y pegado puede resultar en la duplicación o el borrado accidental de datos sensibles.
3. Mala Clasificación de la Información
La clasificación incorrecta de la información es otro riesgo significativo. Supongamos que Laura, trabajadora en el departamento de admisiones, no distingue adecuadamente entre datos públicos y datos confidenciales. Ella podría enviar por error un correo masivo con información sensible sobre admisiones, becas o financiamiento, que debería haber sido clasificada como confidencial. Esta confusión puede llevar a que personas fuera de la universidad accedan a datos que deberían ser exclusivos de ciertas áreas o individuos dentro de la institución.
4. Datos Confidenciales o Personales no Cifrados
La falta de cifrado de datos críticos es una puerta abierta para la fuga de información. Vamos a pensar en Pedro, un administrador de sistemas, que almacena copias de seguridad de datos confidenciales en un servidor sin cifrar. Si estos datos son accesibles a través de la red interna sin protección adecuada, cualquier empleado con acceso a la red podría potencialmente ver o copiar estos datos. Incluso si el acceso es legítimo, un dispositivo personal perdido o robado que contiene estos datos sin cifrar podría exponer información a terceros.
5. Errores en los Derechos de Acceso
Definir mal los derechos de acceso en comparticiones de archivos o sistemas puede tener consecuencias graves. Por ejemplo, imagine a Sofía, quien gestiona un servidor compartido para el departamento de ciencias. Ella configura inadvertidamente permisos de lectura y escritura para todo el personal académico cuando solo debería ser para un subconjunto. Esto podría permitir que alguien modifique o lea información sensible que no debería tener acceso, como proyectos de investigación en curso, evaluaciones de personal o incluso datos financieros.
Los Enjeux y Riesgos
Las consecuencias de estas amenazas pueden ser devastadoras:
- Pérdida de Confianza: Si se filtran datos personales o académicos, la confianza en la universidad podría disminuir drásticamente.
- Daño a la Reputación: Incidentes de seguridad pueden afectar la imagen de la institución, impactando en futuras matrículas o colaboraciones.
- Impacto Legal y Financiero: Las violaciones de datos pueden llevar a sanciones legales y costos elevados para remediar la situación.
- Compromiso de la Investigación: La pérdida o alteración de datos puede afectar directamente la validez de la investigación académica.
Es vital que cada miembro de nuestra comunidad universitaria comprenda estos riesgos. Aquí hay algunas prácticas que todos podemos adoptar:
- Verificar antes de compartir: Asegúrate de que solo compartes lo necesario y con las personas correctas.
- Entender la importancia del cifrado: Aunque no administres sistemas, puedes insistir en el uso de servicios cifrados para transferir o almacenar datos sensibles.
- Revisar permisos: Si tienes la capacidad de ajustar permisos en archivos o carpetas, hazlo con cuidado y asegúrate de que solo quienes deben tener acceso, lo tengan.
- Ser consciente de correos sospechosos: No hagas clic en enlaces o descargues archivos sin verificar la procedencia.
- Mantener la información clasificada: Siempre pregunta si la información que manejas necesita protección especial.
Al entender y tomar medidas para mitigar estas amenazas internas, podemos contribuir a un entorno más seguro para todos en la universidad. La seguridad es una responsabilidad colectiva, y cada uno de nosotros tiene un papel que desempeñar para proteger la integridad y la privacidad de nuestra comunidad académica.