Instituto Nacional

de Tecnologías
de la Comunicación

INTECO hace público su “Diagnóstico sobre la situación de

seguridad en las plataformas educativas”
El estudio, elaborado por el Observatorio de la Seguridad de la Información, analiza los
posibles riesgos relacionados con la seguridad de los entornos educativos y ofrece
soluciones y recomendaciones en el desarrollo, implantación, gestión y uso de estas
plataformas dirigidas a la industria, las administraciones y los centros escolares

ƒ Da a conocer los motivos por los que deben asegurarse y protegerse las plataformas
educativas.

ƒ Permite alcanzar una comprensión global sobre la seguridad en las plataformas educativas a
través de la identificación de las incidencias y de las necesidades de los distintos grupos de
usuarios.

ƒ Asimismo, define una serie de recomendaciones generales sobre normativa, buenas prácticas
y pautas de seguridad en relación con el uso y desarrollo de estas plataformas.

Por qué debe ser securizada una plataforma educativa

Una plataforma educativa, como cualquier otra aplicación informática y sus datos relacionados,
debe ser securizada conforme a su nivel de sensibilidad. Las medidas de seguridad
implantadas han de servir para garantizar, dentro de lo posible, su disponibilidad, su correcto
funcionamiento y procesamiento de la información y la confidencialidad de los datos. La gran
peculiaridad de las plataformas educativas es su uso masivo por parte de menores de edad, un
sector de la población que necesita unos niveles de protección mayor.

Para el desarrollo del estudio se ha tenido en cuenta, además de los niños, a los demás
actores relacionados con las plataformas educativas: administradores de centros escolares,
profesores, padres, la Administración Pública e instituciones con responsabilidades en
educación, editoriales y consultores de desarrollo. Para cada uno de estos grupos se analizan
sus expectativas en cuanto a las medidas de seguridad que razonablemente deberían existir en
las plataformas educativas, teniendo en cuenta la gravedad relativa de las posibles incidencias
si se cristalizaran uno o más de los posibles riesgos o amenazas.

Análisis de riesgos

Tomando en consideración las buenas prácticas, las expectativas de los usuarios y los posibles
impactos de fallos en las medidas de seguridad se ha efectuado un análisis de riesgo que ha
permitido extraer los aspectos fuertes y las debilidades de las plataformas. Dichas debilidades
deben entenderse como las situaciones no conformes con las buenas prácticas, leyes o
normativas o situaciones que pudieran dar lugar a la ocurrencia de una o más de las amenazas
previamente contempladas.

Estudio sobre medidas de seguridad en plataformas educativas Página 1 de 7

Observatorio de la Seguridad de la Información
 Instituto Nacional
de Tecnologías
de la Comunicación

• Entre los aspectos fuertes destacan que la mayoría de las plataformas tienen
correctamente incorporadas en sus redes de acceso sistemas de protección como
firewall e IDS, que se utilizan contraseñas para el log-on y los ficheros de las
contraseñas son cifrados, que hay una separación de entornos en algunos casos para
los datos más sensibles, que existe concienciación de los riesgos existentes, etc. En
definitiva se destaca que el nivel de incidencias de seguridad en las plataformas es,
hasta la fecha, muy bajo.

• En relación con las debilidades el estudio ha podido demostrar que existe una carencia
seria de formación y por tanto, de concienciación acerca de los riesgos existentes por
parte de los actores relacionados. Igualmente se detectaron fallos en la seguridad lógica
de los equipos, en algunos casos por la falta de políticas de seguridad o por la
simplicidad de los sistemas de autenticación teniendo en cuenta la sensibilidad de la
información.

Tras haber efectuado este análisis se trasladaron los resultados a un mapa de riesgos 1 ,
asociando cada debilidad o vulnerabilidad con su potencial amenaza y evaluando también la
probabilidad de la ocurrencia de dicha amenaza asociada y su impacto en una escala de alta,
media y baja gravedad.

La conclusión es que a pesar del bajo volumen de incidencias conocidas hasta ahora en
relación con la seguridad de las plataformas educativas, la proliferación de estas en años
recientes, junto con el aumento en la complejidad de la tecnología y la incorporación de nuevas
funcionalidades, conduce a una situación en la que la seguridad debería tener una importancia
mayor.

Necesidades detectadas

No existe una política de seguridad específica relacionada con las plataformas por diversas
razones, pero principalmente debido a las de pura funcionalidad y por la falta de incidencias
graves. No obstante, el diagnóstico efectuado ha demostrado también una serie de
preocupaciones o amenazas que merecen ser objeto de estudio o solución. En concreto:

• Un incidente serio de seguridad dañaría la credibilidad de estas herramientas y frenaría

el desarrollo del sector y la difusión de su uso.

• Que el cumplimiento estricto de la LOPD y el nuevo reglamento de desarrollo de la

LOPD (RDLOPD) debe estar contemplado en los requisitos de progreso de cualquier
plataforma.

1
Siguiendo el formato de la metodología Magerit que es de carácter público y pertenece al Ministerio de Administraciones Públicas.
Más información disponible en, Ministerio de Administraciones Públicas (2006): Metodología de Análisis y Gestión de Riesgos de
los Sistemas de Información (MAGERIT). Ministerio de Administraciones Públicas, Versión 2.0, Disponible en
http://www.csi.map.es/csi/pdf/magerit_v2/metodo_v11_final.pdf

Estudio sobre medidas de seguridad en plataformas educativas Página 2 de 7

Observatorio de la Seguridad de la Información
 Instituto Nacional
de Tecnologías
de la Comunicación

• La confidencialidad de la información es, obviamente, un aspecto crítico que debería

tenerse en cuenta.

• Se ha identificado el tema de la propiedad intelectual como problemático. Sin embargo,

al no haber tenido hasta el día de hoy consecuencias graves, permanece latente y en
muchos casos, ignorado.

• La calidad de los contenidos debería estar supervisada para que estos no atenten
contra principios morales.

• La sensación de seguridad que vivimos actualmente no está sustentada por datos

concretos, sino por el bajísimo número de incidencias.

Tomando en consideración las opiniones de los expertos y la situación real de las plataformas,
las necesidades que existen a corto, medio y largo plazo se identifican a continuación por los
siguientes ámbitos de actuación:

• Sensibilización, formación e información para todos los usuarios (alumnos, personal

docente y no docente, administradores de sistemas, editoriales, etc.)

• Cumplimiento con la normativa existente.

• Certificación y estandarización.

• Funcionalidad y disponibilidad.

• Seguridad de contenidos a través de la autenticación de usuarios autorizados.

Recomendaciones y propuestas

Por último, el estudio ha identificado una serie de recomendaciones para subsanar o responder
a las necesidades detectadas. Estas recomendaciones deben estar presentes a la hora de:

• Establecer los criterios para diseñar las plataformas.

• Desarrollar y controlar los contenidos y utilidades.

• Usar las plataformas.

Estudio sobre medidas de seguridad en plataformas educativas Página 3 de 7

Observatorio de la Seguridad de la Información
 Instituto Nacional
de Tecnologías
de la Comunicación

Por tanto, como conclusión al estudio realizado, las recomendaciones y propuestas de mejora
que INTECO propone son las siguientes:

Sensibilización, formación e información

• Desarrollar en colaboración con la Administración Pública programas de sensibilización,

formación e información sobre temas de seguridad cuyos destinatarios sean todos los
usuarios de las plataformas educativas.

• Utilizar los diseños curriculares, para formar a los alumnos de manera transversal en
materia de seguridad.

• Divulgar aspectos de seguridad desde los medios de comunicación.

Normativa

• Enfocar la legislación a los usos que se pueda hacer de la información, aplicando

penalizaciones como medida disuasoria por incumplimientos.

• Generalizar la utilización de acuerdos de confidencialidad para proteger la información.

Certificación y estandarización

• Generar especificaciones de las plataformas en lo funcional y en lo técnico que incluyan

los requisitos de seguridad que podrían estar alineados, por ejemplo, la serie de
estándares ISO 27001.

• Certificar los criterios previamente establecidos por la Administración pública o una

entidad de reconocido prestigio. Asimismo, los desarrolladores deberían certificar la
calidad de sus metodologías de trabajo y las administraciones educativas y los centros
escolares, certificar la gestión de la seguridad de la información.

Funcionalidad

• Flexibilizar y operativizar el funcionamiento de las plataformas, lo que llevaría a su

posible autorregulación.

• Mejorar la seguridad física de las áreas en las que se pueden utilizar las plataformas.

• Gestión de la capacidad para cuando una plataforma pueda estar afectada por un
elevado número de usuarios.

• Darle más importancia al diseño de las plataformas en cuestiones como a) no permitir la

introducción de información errónea, b) separaciones lógicas y físicas en función de los

Estudio sobre medidas de seguridad en plataformas educativas Página 4 de 7

Observatorio de la Seguridad de la Información
 Instituto Nacional
de Tecnologías
de la Comunicación

perfiles, c) que el manejo de las plataformas sea intuitivo, d) que sean resistentes a
fallos por parte de los usuarios, e) que cuenten con asistentes de soporte y f) que
existan controles tales como la suspensión después de un cierto periodo de inactividad.

• Mejorar las conexiones a Internet, de forma que sean constantes y seguras.

• Incorporar la gestión de la continuidad del negocio a los procedimientos habituales de

actividad de la plataforma.

• Gestionar los incidentes, incluyendo su registro. Es importante que desde la

Administración pública se mantenga una labor de vigilancia tecnológica a través de un
registro de las incidencias para poder identificar vulnerabilidades, y de los mecanismos
y convenios que esta pueda generar con las Fuerzas y Cuerpos de Seguridad para
alertar y perseguir a los causantes de dichos incidentes.

Seguridad de contenidos

• Impulsar, mediante la concesión de créditos o exenciones fiscales, la implantación de

las soluciones necesarias para garantizar la seguridad informática.

• Contar con políticas y directrices de seguridad en los centros educativos y en los

organismos o empresas que soportan las infraestructuras de dichos centros.

• Asignar recursos humanos a las tareas de seguridad. Esto debe hacerse en diversos
entornos:

o En el de dirección y supervisión, incluyendo la propia definición y desarrollo de

las plataformas.

o En el de ejecución y operación.

• Llevar a cabo análisis de riesgos.

• Controlar los ataques de código malicioso aplicando las medidas siguientes.

o Instalación y actualización de los programas de detección y eliminación de

código malicioso.

o Revisión periódica del software.

o Actualización de la información.

o Filtración de contenidos inapropiados o de código malicioso en origen.

• Efectuar copias de seguridad de manera rigurosa y periódica.

Estudio sobre medidas de seguridad en plataformas educativas Página 5 de 7

Observatorio de la Seguridad de la Información
 Instituto Nacional
de Tecnologías
de la Comunicación

• Gestionar la seguridad de la red.

• Realizar y tramitar auditorías de seguridad.

• Mejorar la autenticación e identificación segura de usuarios.

Instituto Nacional de Tecnologías de la Comunicación (INTECO)

El Instituto Nacional de Tecnologías de la Comunicación, promovido por Ministerio de Industria,

Turismo y Comercio a través de la Secretaría de Estado de Telecomunicaciones y para la
Sociedad de la Información, es una plataforma para el desarrollo de la Sociedad del
Conocimiento a través de proyectos del ámbito de la innovación y la tecnología.

Tiene un doble objetivo: contribuir a la convergencia de España con Europa en la Sociedad de

la Información y promover el desarrollo regional, enraizando en León un proyecto con vocación
global.

El Instituto alberga el Centro de Respuesta a Incidentes en TI para pymes y ciudadanos, el

Observatorio de la Seguridad de la Información, el Centro Demostrador de Seguridad para la
PYME, el Centro de Referencia en Accesibilidad y Estándares Web y el Laboratorio Nacional
para la Calidad del Software, entre otros.

Más información: http://www.inteco.es

Observatorio de la Seguridad de la Información

El Observatorio de la Seguridad de la Información se inserta dentro de la línea estratégica de

actuación de INTECO en materia de seguridad y e-confianza.

En cumplimiento de uno de los objetivos encomendados a INTECO en el marco del Plan

Avanza, su misión es describir de manera detallada y sistemática el nivel de seguridad y
confianza en la Sociedad de la Información en los hogares, empresas y Administración, así
como generar conocimiento divulgativo y especializado en la materia, así como la elaboración
de recomendaciones y propuestas que definan tendencias válidas para la toma de decisiones
de futuro por parte de la industria y los poderes públicos.

Más información: http://observatorio.inteco.es

Metodología del estudio

Para la elaboración de este estudio, el Observatorio ha seguido una metodología cualitativa

con la realización de 29 entrevistas en profundidad semiestructuradas y 20 cuestionarios
autoaplicados con expertos y agentes clave que cuentan con experiencias de éxito en
seguridad de plataformas educativas online, y con amplios conocimientos en el sector. Estas
entrevistas han sido distribuidas entre los siguientes perfiles:

Estudio sobre medidas de seguridad en plataformas educativas Página 6 de 7

Observatorio de la Seguridad de la Información
 Instituto Nacional
de Tecnologías
de la Comunicación

• Administración Pública española (Ministerio de Educación y Ciencia; Ministerio de

Industria, Turismo y Comercio, y consejerías de educación autonómicas).

• Empresas especializadas en el desarrollo tecnológico de plataformas educativas y/o de

soluciones de seguridad para ellas en los ámbitos nacional e internacional.

• Expertos en seguridad informática.

• Fuerzas y Cuerpos de Seguridad del Estado especializados en delitos telemáticos.

• Asociaciones dedicadas a la protección del menor ante situaciones de riesgo en

Internet.

• Usuarios de las plataformas educativas: profesores, padres y asociaciones que los

representan.

Complementariamente se ha llevado a cabo un foro de discusión con un grupo de alumnos de

Secundaria y Bachillerato de diferentes edades, sexos y niveles de competencia tecnológica
con el fin de obtener información directa sobre las preocupaciones y las necesidades de este
colectivo.

Estudio sobre medidas de seguridad en plataformas educativas Página 7 de 7

Observatorio de la Seguridad de la Información