En la Conferencia de profesionales de ciberseguridad y privacidad (CPPC) de EDUCAUSE de este año en Anaheim (California), los asistentes tal vez compartieron una escalera mecánica con un personaje de Star Wars o vieron a un montón de Minnie Mouse distintas reunidas en el lobby. La exposición de influencers de redes sociales, cruzando la calle, demostró que los palos para selfis son un accesorio práctico y que las camisetas de neón siempre son un atuendo apropiado.
Sin embargo, dentro del área de la conferencia, había cientos de ciberdefensores analizando cómo mantener la seguridad en el área de la educación superior a medida que la IA, las normas y las técnicas de los atacantes avanzan en conjunto. Las sesiones abarcaron las amenazas posibilitadas por la IA, los riesgos y las promesas de los agentes de IA, la resiliencia ante ataques de día cero, la armonización de marcos, la vinculación de iniciativas de modernización en seguridad y la protección del ecosistema de TI contra el fraude. Un tema importante del que se habló en la conferencia fue que la identidad será la base sobre la cual se desarrollará la seguridad de la educación superior en la próxima década.
Son tres las conclusiones principales que vale la pena llevar al campus.
Conclusión 1: la MFA es necesaria, pero ya no tolera toda la carga por sí sola
Varias sesiones tomaron diferentes caminos y, al final, llegaron al mismo destino. Los kits de phishing tipo “browser-in-the-middle” actúan como un proxy de un inicio de sesión real, lo que permite al usuario completar la autenticación multifactor (MFA) para que, luego, les roben la sesión autenticada. El bombardeo de solicitudes, los intercambios de SIM y los kits tipo “attacker-in-the-middle” son ahora algo habitual, no excepcional. El phishing generado por IA alcanzó una calidad y un volumen que la capacitación tradicional de usuarios tiene dificultades para igualar. Se identificó que los deepfakes de voz dirigidos a las mesas de ayuda representan un patrón de amenaza activo.
Varias sesiones dejaron algo muy en claro: la MFA protege las credenciales, pero los ataques actuales se dirigen a las sesiones, los dispositivos, los flujos de recuperación y las personas que contestan el teléfono.
La siguiente etapa ya tiene elementos más conocidos: factores resistentes al phishing vinculados al sitio legítimo y a un dispositivo de confianza; evaluación continua del riesgo de la sesión y del dispositivo después del inicio de sesión; gobernanza vinculada al rol; y automatización del ciclo de vida que elimina el acceso en el momento en que una persona cambia de rol o se va. La MFA por sí sola nunca podrá abordar esto, ni tampoco lo hará ejecutar estas capacidades como herramientas desconectadas. Las instituciones que están logrando un progreso real están combinando todos estos aspectos en una plataforma de identidad unificada.
Conclusión 2: los agentes y la expansión de la IA ya están en el campus
Si esperaba pasar una semana sin escuchar nada sobre IA ni agentes de IA, esta conferencia no era el lugar adecuado. Las sesiones se desarrollaron en paralelo: una contaba historias de terror sobre ataques posibilitados por IA, mientras que la otra destacaba la promesa de los casos de uso con agentes.
Es en este lugar donde se encuentra actualmente la TI de educación superior. Los agentes de IA productivos y eficientes están surgiendo en los departamentos de TI tan rápido que no se pueden inventariar. Los profesores están convencidos de que OpenClaw podría ser mejor que su asistente de cátedra si tuviera acceso a algunos sistemas más. Los estudiantes, por su lado, están desarrollando nuevos casos de uso en cada rincón del campus.
El riesgo tiene dos caras. Desde la perspectiva del atacante, la IA redujo el costo de crear campañas de phishing convincentes, manipular correos electrónicos empresariales, generar deepfakes y efectuar reconocimientos automatizados a un nivel en el que la autenticación estática y las políticas de acceso no logran alcanzar. En cuanto a la IA en la sombra dentro del campus, si se le pregunta a un equipo de seguridad cuántos agentes de IA están operando en su institución, la respuesta casi siempre es un número estimado seguido de la frase “al menos hasta donde sabemos”.
La identidad ofrece una solución para ambas cuestiones, y se reduce a poder responder tres preguntas:
- ¿Dónde están mis agentes?
- ¿A qué tienen acceso?
- ¿Qué pueden hacer?
Las universidades ya están desarrollando asistentes y flujos de trabajo de IA entre diversos equipos, herramientas y plataformas. La pregunta no es si estas instituciones usarán la IA, sino cómo escalarla sobre una base de identidad que les permita responder esas tres preguntas con confianza. Eso significa:
- detectar a cada agente;
- registrar a su propietario;
- delegar de forma segura la autoridad del usuario;
- implementar un acceso detallado con aprobación humana cuando sea importante;
- mantener un registro que se pueda auditar en todo el ecosistema de TI del campus.
Conclusión 3: se deben investigar los enclaves, los datos regulados y la capa de identidad subyacente
El cumplimiento normativo surgió con mayor frecuencia donde más impacta. Las universidades muy enfocadas en la investigación y los centros médicos académicos necesitan gestionar los requisitos de varios marcos de cumplimiento, a menudo superpuestos, en los mismos sistemas y de forma simultánea, incluidos CMMC, NIST 800-171, HIPAA, FERPA y los acuerdos federales de datos. En una sesión, se habló del proceso para crear un enclave de investigación regulado que cumpliera con CMMC Nivel 2, y el patrón operativo quedó muy claro: la identidad es fundamental.
Gran parte de la normativa CMMC Nivel 2 abarca procesos de identificación, autenticación, control de acceso, auditoría y rendición de cuentas, algo que también aparece en la HIPAA y en los acuerdos federales de datos de investigación. Una plataforma de identidad unificada que gestiona la autenticación, el acceso privilegiado, la gobernanza y la elaboración de informes preparados para auditoría reduce la duplicación de esfuerzos.
Una estructura de seguridad de identidad no proporciona cumplimiento por sí sola, sino que permite que se pueda medir, repetir y defender la parte de la tarea que corresponde a la identidad.
Un final feliz
Este resumen podría dar a entender que se trató de una conferencia sobre identidad, aunque sospechosamente cerca del lugar más feliz de la Tierra. La realidad es que fue una reunión de ciberprofesionales que abordaron los problemas más complejos de seguridad, cumplimiento, IA y resiliencia en el ámbito de la educación superior. Lo que pasó fue que la identidad apareció en todas partes. Y no, no todos se subieron a TODAS las atracciones.
Para los profesionales de ciberseguridad y privacidad en la educación superior, el objetivo ya no se limita a mejorar el SSO y la autenticación moderna. Se trata de lograr una estructura de seguridad de identidad unificada que combine el acceso, la gobernanza, el riesgo, el cumplimiento, la seguridad de la IA y la experiencia de usuario para que todos en el campus puedan usar cualquier tecnología de forma segura.
