Recomendaciones para instituciones educativas (Segunda parte)

Parte 2

En la entrega anterior describimos algunos riesgos de instituciones educativas cuando deciden introducir plataformas digitales como habilitadores de métodos educativos. Ahora nos centraremos en mayor medida en recomendaciones.

Escuelas Ciberseguras recomienda:

Para la plataforma tecnológica (de un tercero o hecha en casa), ya sea que estén por seleccionarla o ya se encuentre en producción, es necesario:

  • Revisar que el fabricante o proveedor demuestre los controles de seguridad para prevenir un incidente de seguridad (violaciones de privacidad, robo de información, etc.)
  • Solicitar un reporte de análisis de riesgos de la plataforma tecnológica.
  • Validar que cuente con protocolos de actuación y de comunicación en caso de ocurrir un incidente de seguridad.
  • Validar las implicaciones legales, administrativas y de reputación a las que estaría sujeta la institución.

Para los dispositivos móviles, es necesario normar:

  • La edad a partir de la cual está permitido el uso de dispositivos móviles, además de los horarios y tipo de uso dentro de las instalaciones de la institución educativa.
  • El acceso y uso a través de dispositivos móviles de la red e internet que la institución educativa proporciona.
  • Las aplicaciones autorizadas en los dispositivos móviles que se utilizan como un instrumento adicional del proceso educativo.
  • El uso de antivirus en todos los dispositivos que se conecten con la red escolar.
  • El monitoreo de las actividades que ocurren en la red y el filtro de contenidos inapropiados.

Educar en Conciencia y Civismo Digital:

  • Establecer sesiones de civismo digital acordes a la edad de la comunidad educativa y su nivel de interacción con las plataformas digitales.
  • Implementar un programa de concienciación periódico dirigido a padres de familia con el fin de mantenerlos actualizados y de apoyarlos en la toma de decisiones sobre los riesgos y cuidados de su núcleo familiar en el uso e interacción con plataformas tecnológicas.
  • Adoptar políticas y normativas de uso y respeto entre la comunidad a través de plataformas tecnológicas mediante responsivas y cartas compromiso aceptadas y firmadas por todos los miembros de la comunidad educativa.

“Recuerda, el segundo hogar de nuestros niños y jóvenes es la escuela. Edúcalos, hazlos conscientes, guíalos y protégelos en su adopción e interacción con las plataformas tecnológicas.”

Por Ana Cecilia Pérez

Recomendaciones para instituciones educativas

Parte 1

Hoy en día la educación continúa evolucionando gracias a los avances tecnológicos. Estos permiten que los alumnos interactúen con plataformas tecnológicas que proporcionan un aprendizaje interactivo y lúdico de conceptos, teorías y nuevas formas de solucionar problemas y entender el mundo.

Internet: su uso en instituciones educativas se ha vuelto fundamental. Las enciclopedias y bibliotecas físicas que se utilizaban en investigaciones para cumplir con una tarea o como método de estudio para un examen quedaron atrás. Internet se ha convertido en la biblioteca digital más completa (tanto de información cierta como falsa).

Cuando una institución educativa decide introducir plataformas digitales como habilitadores de métodos educativos, es importante que tomen en cuenta las siguientes recomendaciones:

  • Establecer su política de uso de internet
  • Establecer responsabilidades, compromisos y sanciones
  • Implementar controles que permitan filtrar y bloquear contenido no apto o autorizado para la comunidad educativa
  • Implementar sesiones de educación (Civismo digital) y concienciación sobre las amenazas y peligros del internet

Es importante que la institución educativa se asegure de tener las respuestas a las siguientes preguntas:

Si se comete un crimen como los siguientes a través de alguna de sus plataformas digitales, ¿la institución educativa sabe cómo reaccionar?

  • Una extorsión
  • Un fraude
  • Ataques cibernéticos a otras entidades
  • Conspiraciones
  • Robo de información
  • Aprovechamiento de recursos tecnológicos de otra entidad
  • Etc.

Si un miembro de su comunidad realiza alguna de las siguientes acciones, ¿la institución educativa sabe cuáles son sus obligaciones legales?

  • Suplantar la identidad de un compañero
  • Traficar con información del colegio
  • Conspirar con otros miembros para cometer un acto ilícito

Si la comunidad educativa fuera víctima de alguna de las siguientes situaciones, ¿sabe cómo responder?

  • Robo de datos personales de miembros de su comunidad
  • Extorsión a través del secuestro de su información y de la imposibilidad de continuar con sus actividades en sus plataformas digitales
  • Uso de la plataforma tecnológica para la minería de datos, ya sea a través de miembros de su comunidad o personas ajenas a esta

¿Cuenta con políticas de uso de las Plataformas de colaboración?

Estas plataformas ampliamente manejadas en el ámbito profesional son también utilizadas para que los estudiantes trabajen de manera colaborativa, sin embargo, estas a su vez podrían prestarse para:

  • Agredir
  • Humillar
  • Compartir información ofensiva
  • Compartir información no relacionada con el ambiente y objetivos escolares
  • Suplantación de identidad

Al seleccionar las plataformas de colaboración, es importante que la institución educativa revise no sólo las funcionalidades tecnológicas, sino también temas de seguridad como:

  • Los controles y el compromiso del proveedor y fabricante con respecto a la protección de información que se almacenará, procesará y/o transmitirá desde su plataforma.
  • Líneas de acción y sanciones en caso de que el proveedor de la plataforma sea víctima de un robo de información que comprometa a la institución educativa.

Redes sociales: hoy en día uno de los medios de comunicación más utilizado son las diversas plataformas de redes sociales, ya sean propias de la institución o las redes privadas de cada integrante de la comunidad educativa. Por este motivo es importante establecer reglas sobre su uso, publicación, actuación, etc. Por ejemplo, se debe normar qué información SI y qué información NO puede publicarse:

  • Resguardar la información personal de los miembros de la comunidad
  • Evitar comentarios relacionados con temas controversiales como religión, política, etc.  utilizando el nombre de la institución educativa
  • Evitar mensajes inapropiados entre miembros de la misma comunidad
  • Evitar publicar posturas sobre temas públicos en nombre de la comunidad

En nuestra siguiente publicación encontrarás las recomendaciones que Escuelas Ciberseguras brinda a tu institución educativa...

Por Ana Cecilia Pérez

Ransomware impacta a distrito escolar de Pittsburgh

Continuando con la tendencia de incidentes relacionados con ransomware en comunidades educativas de los EEUU, toca el turno del distrito escolar de Pittsburgh, que se ha convertido en una víctima que aún se encuentra en un proceso de recuperación por el impacto causado por el malware durante el receso de vacaciones, sin embargo su superintendente, Janet Schulze, señala que la institución está abierta para operar.

En un comunicado, Schulze dijo a los miembros del distrito que los estudiantes son bienvenidos de regreso mientras el departamento de TI del distrito lucha por recuperarse del ciberataque de ransomware, pero señaló que los niños pueden estar recibiendo una lección de historia inesperada.

«Estaremos enseñando y aprendiendo como se hacia antes 🙂 … sin computadoras portátiles e internet. Nuestras escuelas tienen acceso a la información de los estudiantes y nuestros teléfonos funcionan. Todavía no podemos recibir correos electrónicos, así que llame a la escuela de su hijo si es necesario.»

Un área que impacta directamente a los estudiantes es que el sistema de calificaciones en línea AERIES del distrito no está activo, por lo que los padres y los estudiantes aún no tienen acceso a las calificaciones del último semestre.

La buena noticia para los estudiantes es que los servicios de alimentos están funcionando en todas las cafeterías escolares.

Ransomware en sistemas HVAC de distrito escolar

El portal de noticias Edscoop ha reportado un nuevo incidente de Ciberseguridad relacionado con ransowmare en el distrito escolar de Michigan en los Estados Unidos, sin embargo, este último tiene una peculiaridad: el ciberataque tuvo como objetivo los sistemas HVAC (Sistemas de calefacción, ventilación y aire acondicionado), no las computadoras.

El malware fue descubierto el pasado 27 de diciembre mientras el personal de TI realizaba actualizaciones rutinarias en las computadoras cuando se descubrió que ingresó a los sistemas a través de una conexión de red con el proveedor de servicios de calefacción y refrigeración del distrito.

Varios de los sistemas críticos del distrito, incluyendo calefacción, teléfonos, fotocopiadoras y tecnología en las aulas, han dejado de funcionar como resultado del incidente. La información de los estudiantes y el personal, que se almacena fuera de los servidores del distrito, no parece estar comprometida, según indicaron las autoridades educativas.

Los responsables del ataque solicitaron alrededor de $ 10,000 USD en bitcoins por el rescate, pero las autoridades señalaron que no pagarán.

Este último ataque en Michigan es solo uno de una serie de ataques recientes de ransomware contra instituciones públicas y continúa la tendencia en 2020.

Universidad de Maastricht sufre ciberataque en Nochebuena

La Universidad de Maastricht en Holanda ha reportado en en un comunicado que se vio afectada por un «grave ciberataque» y que intenta recuperarse desde la Nochebuena.

Los ciberdelincuentes utilizaron una variante de ransomware denominada «Clop». Debemos recordar que el ransomware es un método que cifra los datos de su objetivo, secuestrándolos y volviéndonos inaccesibles hasta que se paga un rescate por ellos.

La Universidad ha reportado que casi la totalidad de los sistemas Windows se han visto afectados y que tienen serios problemas para utilizar servicios como el correo electrónico, la conexión vía VPN para sus usuarios remotos, la Biblioteca en línea y el Portal de estudiantes. Por otro lado, señaló que se están tomando medidas de seguridad adicionales para proteger los datos científicos y que se encuentra realizando un análisis para determinar si los ciberatacantes han tenido acceso a esta información.

«No está claro cuánto tiempo necesita la UM para encontrar una solución, pero definitivamente tomará un tiempo para que los sistemas vuelvan a estar completamente operativos», señaló la universidad.

Más de 1000 escuelas de EE. UU. impactadas por ransomware en 2019

El portal de Infosecurity Magazine ha señalado que en lo que va del año, más de 1,000 escuelas de EE. UU. se han visto afectadas por ransomware.

Según estadísticas de la firma de ciberseguridad Armor, se han identificado 11 nuevos distritos escolares compuestos por 226 escuelas que han sido comprometidas por este tipo de malware desde finales de octubre, lo cual eleva el número total de distritos escolares afectados a 72 por año, impactando aproximadamente 1,039 escuelas en todo el país.

Afortunadamente, de los 11 distritos impactados en la última ronda de ciberataques, solo uno confirma haber pagado el rescate. A principios de esta semana, Microsoft instó a los clientes a no pagar a los ciberdelincuentes.

«Lo más importante a tener en cuenta es que pagar a los ciberdelincuentes para obtener una clave de descifrado de ransomware no garantiza que se restablecerán sus datos cifrados».

Universidad alemana obligada a entregar 38,000 contraseñas en persona

El portal PC Magazine ha publicado que la Universidad de Giessen en Alemania exige que cada estudiante recoja personalmente su contraseña para el sistema de correo electrónico de la escuela después de un ataque de malware.

La Universidad está haciendo una solicitud extraña porque la escuela es miembro de una red de investigación alemana con reglas estrictas. Como resultado, la universidad debe seguir los requisitos legales que aseguran que las nuevas contraseñas se entreguen al propietario real, y no a otra persona, explicó en un aviso.

«No hay alternativa a este procedimiento», agrega la página web de la universidad.

Dado este requisito, la escuela ahora enfrenta la difícil tarea de entregar nuevas contraseñas a 38,000 usuarios. Esta semana, largas filas de estudiantes, miembros de la facultad y otros empleados han recorrido el gimnasio de la universidad para recoger sus credenciales. 

El restablecimiento de la contraseña se realizó en respuesta a un ciberataque que obligó a la universidad a cerrar sus sistemas de internet y correo electrónico a principios de este mes. Los expertos en seguridad contratados de la escuela han atribuido el ataque a una pieza de malware, que puede haberse extendido a las computadoras Windows de los empleados.

Nuevo ataque de ransomware en instituciones educativas de EEUU. Ahora Louisiana Community College.

Los servidores y las computadoras de Baton Rouge Community College se han dejado inaccesibles después de un ataque de ransomware. Afortunadamente, el incidente ocurrió cuando los 8,500 estudiantes de la universidad no estaban en clases en el campus. El ciberataque está siendo investigado por la Unidad de Delitos Cibernéticos de la Policía del Estado de Louisiana, quien ha recopilado evidencia de la red, y confirmó una situación de intrusión cibernética y ransomware.

No se ha revelado exactamente el monto del rescate exigido a la Universidad, sin embargo, se ha declarado que no lo había pagado.

Los estudiantes de Baton Rough Community College aún pueden acceder a cuentas de correo electrónico a través de un método alternativo. Sin embargo, como resultado del incidente, el personal de la universidad tiene que ingresar manualmente la calificación de los estudiantes del último semestre. 

Las inscripciones para el próximo trimestre, la mayoría de las cuales, afortunadamente, ya se han completado, deben completarse manualmente hasta que la red informática vuelva a estar en línea. 

Autoridades de la Universidad han declarado que ninguna información personal relacionada con los estudiantes, el personal o facultades podría verse afectada por el ataque, ya que dichos datos se almacenan en un sistema alterno.

Cuando un estudiante quebranta la línea de la información confidencial de la escuela

A lo largo de mi labor como docente me he topado con muchos cambios en los aspectos tecnológicos. Al ver interactuar a mis alumnos con la tecnología, me doy cuenta de que son por completo “niños digitales”, ya que a la mayoría les encanta investigar miles de cosas en el mundo del internet y es que, como es un mundo sin candados, pueden navegar accediendo de manera libre a todo tipo de información que va desde una simple imagen, videos, contenidos hasta tutoriales para realizar cualquier cosa que ni te imaginabas; y es ahí donde quiero hacer una pausa. Las herramientas tecnológicas pueden ser un arma de dos filos si no se emplean correctamente. Muchos de mis alumnos se han quejado de ciberacoso, de ciberbullying, de grooming y hasta de robo de identidad porque alguien clonó sus cuentas y manchó su reputación digital. Esto es común en las escuelas, ya que muchos niños, niñas y adolescentes se sienten empoderados detrás de una computadora y se sienten capaces de intimidar a otro compañero.

Sabemos que la gran mayoría de las escuelas ya están utilizando las plataformas digitales; en primera instancia, para resguardar información confidencial de índole personal de alumnos e incluso, de las familias, con la finalidad de tener una mejor comunicación con la comunidad educativa. Como parte de esta herramienta de trabajo se asignan a los alumnos cuentas de usuario y contraseñas con el fin de interactuar sobre temas relacionados con trabajos escolares, eventos y tareas. Pero, ¿qué pasa cuando algún estudiante quebranta esa delgada línea del respeto de la información de otro usuario y llega a hackear la cuenta de alguno de sus amigos o compañeros de clase? ¿Tiene la escuela los candados necesarios? ¿Cómo los instruye en el uso adecuado de sus plataformas? ¿Cómo detectan la raíz del incidente? Es una responsabilidad muy importante porque estamos hablando del manejo de información privada, que en cualquier momento puede ser vulnerable y de que alguien más pueda usurpar identidades o modificar información que mancharía la huella digital de uno o más usuarios.

Prácticamente, la tecnología y sus herramientas siempre están a la vuelta de la esquina y nosotros como docentes debemos concientizar a nuestros alumnos a que las usen de manera responsable y segura, y hacerles ver también que cualquier acción afectará su historial digital y conductual, y es ahí donde ellos deben hacerse responsables de sus actos. No dejemos de lado el seguir infundiendo valores, créeme que por más avanzada que esté la tecnología, si un alumno cuenta con valores desde casa tendrá la capacidad de diferenciar lo correcto de lo incorrecto y de actuar en consecuencia, aunque nadie lo esté observando.

Consejos prácticos:

  • Si tu alumno es víctima de “ciberacoso” escolar, escúchalo y canalízalo con las autoridades y especialistas pertinentes.
  • Indícale que las contraseñas son únicas y que no se comparten ni con el mejor amigo.
  • Supervisa dentro de tu área que ocupen la plataforma digital correctamente.
  • Comunica a los padres de familia que sigan fomentado en casa el uso responsable de dispositivos que manejen sus hijos.
  • Comunica a tus alumnos que nadie los puede amenazar, acosar o extorsionar físicamente ni de manera digital; tienen que reportarlo.
  • Observa si tu alumno tiene algún cambio de comportamiento o si se aísla de los demás; acércate y platica con él.
  • Fomenta el respeto físico y digital.

Mantengamos un clima escolar libre de ciberviolencia fomentando el respeto digital.

Por Lupita Mejía

Brecha de datos de miles de estudiantes en los EEUU

En octubre pasado, se reportó una brecha de datos ocasionada por un estudiante de secundaria del condado de Montgomery, Maryland, en los EEUU, quien hackeó un sistema de preparación para la universidad y posteriormente descargó y compartió la información personal de cerca de 1,400 de sus compañeros. Parecía que la historia terminaba ahí, sin embargo, el 25 de noviembre el distrito escolar de esa área emitió un segundo aviso, informando que la policía descubrió que la violación de datos en realidad se extendió a 5,962 cuentas de usuarios en seis escuelas. Un análisis forense de los dispositivos del sospechoso, según el aviso, reveló que una serie inicial de ataques usando la misma técnica, le otorgó al sospechoso acceso a datos en otras escuelas.

El distrito escolar ha recomendado a los padres de los alumnos que supervisen los informes de crédito de los estudiantes.