Cibersegurança nas universidades: uma tarefa incompleta.

Antes de meados de 2018, a cibersegurança não era prioridade nas agendas. Houve iniciativas em nível estadual, como a Política Nacional de Cibersegurança, porém, sua recepção foi bastante morna e não houve grande preocupação no mundo privado também. Foram necessários dois eventos, o vazamento massivo de cartões de crédito de vários bancos e o roubo de 10 milhões de dólares via SWIFT do Banco de Chile para que a cibersegurança finalmente se tornasse prioridade para as organizações.

No entanto, as universidades não responderam adequadamente ao desafio. É verdade que a oferta de cursos, diplomas e mestrados das universidades aumentou, especialmente desde a ocorrência dos eventos mencionados, porém essas iniciativas são bastante ex-post. Há pouca preocupação com o ensino do conhecimento em cibersegurança no nível de graduação. Pouquíssimas universidades oferecem cursos de cibersegurança para seus estudantes de engenharia da computação ou ciência da computação (sem falar que são obrigatórios). Os acadêmicos dedicados à área no Chile são muito escassos e profissionais certificados geralmente são contratados para lecionar na área.

Isso é importante, pois a oferta de profissionais de cibersegurança é insuficiente, e a demanda aumentou global e nacionalmente, principalmente devido a dois fatores: pressão em nível estatal e comunitário sobre empresas e instituições (por meio de legislações como o GDPR europeu e futuras leis de cibercrime e proteção de dados pessoais atualmente em processo legislativo) e as exigências entre organizações para que tenham níveis adequados de segurança antes de compartilhar suas informações para gerar valor.

Um novo fator foi adicionado a essa situação: o 18-O colocou (e continua colocando) as universidades em uma situação desafiadora. Junto com a chegada do surto social, uma série de incidentes de segurança começou a ocorrer: ataques de negação de serviço (DoS) contra os sistemas web de várias empresas e instituições estatais, vazamento de dados pessoais e operacionais (como o caso do PacoLeaks contra os Carabineros) e alguns casos de desvandalizações em que páginas são modificadas para exibir mensagens de protesto.

A partir de março, podemos esperar um aumento nos incidentes, especialmente para universidades, tanto no nível físico (greves, ocupações, mobilizações) quanto no nível virtual: o acima leva à presunção de que, em particular, sistemas como os de registro de novos e antigos estudantes em diferentes programas de graduação e pós-graduação, juntamente com sistemas de gestão acadêmica/docente (informações de cursos, comunicações, notas) e sistemas de E-Learning/OCW/MooC, podem ser alvos interessantes tanto para atores maliciosos externos quanto internos. Os sistemas mencionados são principalmente baseados na web, porém outros vetores de ataque não podem ser descartados, como agentes internos (estudantes, acadêmicos, professores, funcionários administrativos), má configuração dos controles de acesso ao sistema, falta de proteção física dos ativos de informações da universidade ou uso indevido dos recursos informativos pelos estudantes.

A recomendação para as universidades neste momento é estabelecer uma cultura de cibersegurança, baseada em dois pontos importantes:

• A inclusão de ramos de cibersegurança em seus ramos de graduação.
• O estabelecimento de uma política interna e global de cibersegurança, que seja estendida não apenas aos estudantes, mas também a acadêmicos, professores e dirigentes, adequadamente conduzida e baseada na gestão contínua do risco tecnológico.

Nada disso garante 100% de segurança, porém, trará consigo três grandes benefícios: uma menor taxa de sucesso em ataques cibernéticos a instituições de ensino superior, uma sociedade mais consciente e resiliente contra ataques cibernéticos e melhores políticas públicas de cibersegurança.