Proteger una universidad exige resguardar sistemas y datos sin cerrar los espacios de acceso y colaboración que sostienen su misión. En conversación con ZonaCISO, Óscar Bórquez, Subgerente de Tecnología y Seguridad TI de la Universidad de los Andes, explica cómo equilibrar apertura, innovación y resiliencia.
En el entorno universitario conviven estudiantes, académicos, investigadores y equipos administrativos con necesidades muy distintas. Todos dependen de servicios digitales disponibles, mientras la institución administra datos personales, académicos, financieros y de investigación que requieren niveles de protección diferentes.
La expansión de los servicios en la nube, las plataformas educativas, los proveedores y la inteligencia artificial amplía ese desafío. Gestionarlo exige integrar tecnología y seguridad, aplicar controles según el riesgo y preparar la continuidad antes de que una amenaza interrumpa la docencia, la investigación o la gestión institucional.
¿Qué particularidades tiene gestionar la tecnología y la seguridad en una universidad, donde conviven estudiantes, académicos, investigadores, personal administrativo y numerosos sistemas digitales?
Una universidad es un entorno particularmente desafiante porque debe equilibrar dos objetivos que son igualmente importantes: facilitar el acceso al conocimiento y proteger la información y los servicios que hacen posible su funcionamiento.
A diferencia de otras organizaciones, en una universidad conviven perfiles muy diversos, con necesidades y formas de trabajar distintas. Tenemos estudiantes que requieren acceso permanente a plataformas educativas, académicos que necesitan colaborar y compartir información, investigadores que manejan datos y proyectos de alto valor, y equipos administrativos que dependen de sistemas críticos para sus operaciones.
Esto genera un ecosistema tecnológico muy amplio, con múltiples plataformas, integraciones y servicios que deben funcionar de manera coordinada. El desafío es entregar una experiencia digital ágil y disponible, sin descuidar la seguridad.
Por eso, entendemos que la ciberseguridad no puede ser una barrera para la actividad universitaria. Debe ser una capacidad transversal que permita desarrollar la docencia, la investigación y la gestión institucional de manera segura y confiable.
¿Cuáles son actualmente las principales amenazas para las instituciones de educación y qué factores las convierten en objetivos atractivos para los atacantes?
Las instituciones de educación son atractivas para los atacantes por la combinación de tres factores: la diversidad de usuarios, el volumen y valor de la información que administran, y la necesidad de mantener sus servicios disponibles.
Entre las principales amenazas están el phishing y el robo de credenciales, el ransomware, la explotación de vulnerabilidades en aplicaciones y servicios expuestos a Internet, y los ataques orientados a obtener o exfiltrar información.
También existe un riesgo creciente asociado a la cadena de suministro tecnológico, porque las universidades dependen de múltiples proveedores, plataformas y servicios externos.
La información que administramos puede tener un valor importante: datos personales, datos académicos, antecedentes financieros, información de investigación y propiedad intelectual. A esto se suma la dependencia de plataformas digitales para desarrollar las actividades académicas. Una interrupción puede afectar directamente a estudiantes, académicos y equipos administrativos.
Por eso, la estrategia no puede limitarse a prevenir ataques. Por el avance de la IA, debemos asumir que las amenazas evolucionan constantemente y desarrollar capacidades para detectarlas oportunamente, contenerlas y recuperar la operación con el menor impacto posible.
¿Cómo se protege un entorno que necesita facilitar el acceso, la colaboración y el intercambio de información, sin perder control sobre los datos y los sistemas?
La clave está en aplicar una seguridad proporcional al riesgo, que permita entregar acceso a quienes lo necesitan, en las condiciones adecuadas y con los controles correspondientes.
No podemos gestionar una universidad como un entorno completamente cerrado, porque la colaboración y el intercambio de conocimiento son parte esencial de su propósito. Pero tampoco podemos asumir que toda la información tiene el mismo nivel de sensibilidad o que todos los usuarios requieren los mismos permisos.
Para lograr ese equilibrio, trabajamos con principios como la gestión de identidades, la autenticación multifactor, el mínimo privilegio, la segmentación de redes y la protección de los datos en conjunto con el área de cumplimiento, que tiene a cargo las tareas de DPO. También es importante incorporar mecanismos de monitoreo y detección que permitan identificar comportamientos anómalos de manera oportuna.
Otro aspecto fundamental es la clasificación de la información. No es lo mismo compartir material académico de acceso público que administrar información personal, antecedentes financieros o datos sensibles de investigación.
El objetivo es que la seguridad acompañe los procesos institucionales y facilite la colaboración de manera equilibrada, sin obstaculizarla.
Las universidades administran información académica, financiera, personal y de investigación. ¿Cómo se identifican y priorizan los activos y datos que requieren mayor protección?
Partimos por comprender qué activos tecnológicos y qué información son críticos para la institución. Para ello, debemos identificar los sistemas que soportan los procesos principales, los datos que administran, sus dependencias tecnológicas y las consecuencias que tendría una interrupción o una exposición de información y, con esto, conformar un inventario de activos priorizados por criticidad.
La priorización considera factores como la sensibilidad de los datos, su impacto para las personas, la continuidad de los servicios, las obligaciones regulatorias y el nivel de exposición a amenazas.
Por ejemplo, las plataformas académicas, los sistemas financieros, los servicios de identidad y las aplicaciones que soportan procesos institucionales críticos requieren medidas de protección acordes con su impacto. También debemos considerar la información de investigación, cuyo valor puede depender de su confidencialidad, integridad o disponibilidad.
La protección no se define solamente por el sistema donde se encuentra la información, sino también por quién puede acceder a ella, cómo se comparte, dónde se procesa y durante cuánto tiempo debe conservarse.
Este enfoque basado en riesgos permite orientar las inversiones hacia los activos que requieren mayor protección y evitar que los recursos se distribuyan de manera uniforme, sin considerar las consecuencias reales de un incidente.
¿Qué desafíos plantean la gestión de identidades, los servicios en la nube, las plataformas educativas y la participación de múltiples proveedores tecnológicos?
Uno de los principales desafíos es que el perímetro tradicional de seguridad ha cambiado. Hoy los usuarios acceden a servicios desde distintos lugares y dispositivos, mientras que las aplicaciones y los datos pueden estar distribuidos entre infraestructura propia, plataformas cloud y servicios administrados por terceros.
Esto hace que la identidad sea un elemento central de la seguridad. Debemos asegurar que cada usuario tenga los permisos que necesita, que sus credenciales estén protegidas y que los accesos se revisen durante todo su ciclo de vida.
La nube y las plataformas educativas, por su parte, ofrecen importantes beneficios de escalabilidad y disponibilidad, pero requieren una adecuada configuración, monitoreo y definición de responsabilidades y roles entre la institución y sus proveedores.
También debemos gestionar las integraciones entre sistemas, porque una conexión legítima puede convertirse en un riesgo si cuenta con permisos excesivos o no tiene controles suficientes.
Por eso, la seguridad debe formar parte de la evaluación de cada servicio tecnológico, considerando no solo su funcionalidad y costo, sino también sus controles de acceso, protección de datos, trazabilidad, continuidad y capacidad de respuesta ante incidentes.
A esto se suma un desafío emergente: la inteligencia artificial. Su integración con plataformas institucionales y servicios externos obliga a evaluar nuevos flujos de información, permisos y riesgos. Necesitamos habilitar estas tecnologías, pero con una gobernanza que permita innovar de manera responsable y segura.
¿Cómo se prepara una institución para mantener la continuidad de sus actividades académicas y administrativas frente a un incidente de ciberseguridad?
El protocolo para abordar la continuidad debe prepararse antes de que ocurra un incidente. No basta con disponer de herramientas de seguridad o respaldos; es necesario contar con procedimientos, responsables y capacidades probadas de recuperación.
Primero, debemos identificar los servicios críticos y comprender cuánto tiempo puede tolerar la institución una interrupción. A partir de eso, definimos prioridades de recuperación, dependencias tecnológicas y mecanismos de contingencia.
También es fundamental contar con respaldos protegidos y verificar periódicamente que puedan recuperarse. Un respaldo que nunca se ha probado no ofrece garantías suficientes frente a un incidente.
Otro componente es la capacidad de respuesta: debemos saber cómo detectar una amenaza, contenerla, investigar su origen, evaluar su impacto y recuperar los servicios de forma segura. Esto requiere coordinación entre los equipos tecnológicos, las áreas usuarias, las comunicaciones, la dirección y los proveedores involucrados.
Finalmente, realizamos ejercicios y revisiones que nos permitan identificar brechas y mejorar los procedimientos.
La resiliencia no consiste en asegurar que nunca tendremos incidentes. Consiste en estar preparados para enfrentarlos, limitar sus consecuencias y restablecer los servicios esenciales de manera oportuna y confiable.
Al liderar conjuntamente tecnología y seguridad TI, ¿cómo se equilibra la necesidad de innovar y mejorar los servicios con la gestión de los riesgos?
Creo que asumir conjuntamente las responsabilidades de infraestructura tecnológica y ciberseguridad me ha entregado una visión más amplia e integral de los desafíos tecnológicos. Ambos ámbitos deben trabajar de manera coordinada: necesitamos innovar, mejorar los servicios y asegurar la continuidad operacional, pero también debemos hacerlo de forma segura.
En algunas ocasiones, esto significa tomar la decisión de retrasar una puesta en producción cuando identificamos que una solución no cuenta con las condiciones de seguridad necesarias. Sabemos que existe una presión por avanzar y entregar nuevos servicios, pero es importante entender que una vulnerabilidad no resuelta puede generar un riesgo mucho mayor a futuro.
Por supuesto, no todas las situaciones son iguales. Frente a una vulnerabilidad que afecta un servicio crítico, debemos evaluar el riesgo y, si es necesario, implementar medidas mitigatorias que permitan mantener la operación mientras trabajamos en una solución definitiva. Lo importante es que esas medidas sean controladas y que la remediación siga siendo una prioridad.
Creo que tener ambas miradas permite tomar decisiones más equilibradas, entendiendo tanto el impacto que puede tener una interrupción del servicio como las consecuencias de mantener una brecha de seguridad abierta. El objetivo no es frenar la innovación, sino asegurar que avancemos de manera responsable, reduciendo los riesgos sin perder de vista las necesidades de la institución.
En definitiva, la seguridad no debe entenderse como un freno a la innovación, sino como una condición que permite innovar de manera sostenible y confiable.
¿Qué aprendizajes te ha dejado este rol y qué capacidades necesitarán los líderes tecnológicos y de seguridad de las universidades durante los próximos años?
Uno de los principales aprendizajes que me ha dejado este rol es que la tecnología y la ciberseguridad deben gestionarse de manera integrada. Tener ambas responsabilidades me ha permitido comprender que las decisiones no pueden enfocarse solamente en la disponibilidad y la continuidad de los servicios, ni exclusivamente en la protección de los sistemas. Debemos encontrar un equilibrio que nos permita avanzar, innovar y entregar mejores servicios, sin asumir riesgos innecesarios.
También he aprendido que muchas veces las decisiones más complejas no son tecnológicas, sino de gestión interna y coordinación con otras áreas: saber cuándo avanzar, cuándo es necesario detenerse para corregir una brecha y cómo implementar medidas de mitigación cuando debemos mantener operativa una plataforma crítica. Esto requiere una visión integral, capacidad de priorización y, sobre todo, entender que la seguridad es una responsabilidad que debe estar presente desde el diseño de las soluciones.
De cara a los próximos años, creo que las universidades necesitarán combinar conocimientos técnicos con una mirada estratégica, capacidad de gestión de riesgos y habilidades para trabajar con distintas áreas de la organización. Además, deberán enfrentar nuevos desafíos asociados a la inteligencia artificial, la protección de los datos y la creciente dependencia de servicios digitales.
En definitiva, el desafío será liderar una transformación tecnológica que no solo sea innovadora y eficiente, sino también segura y resiliente, porque el éxito no consiste únicamente en implementar nuevas tecnologías, sino en asegurar que estas aporten valor a la institución y que podamos confiar en ellas para desarrollar nuestra misión académica y de investigación.