Regresso às aulas, regresso aos esquemas parte 2: Mitigação em movimento

À medida que os estudantes e o corpo docente regressam aos campus em todo o país neste outono, não são os únicos a retomar as atividades. Os cibercriminosos também estão a afiar os seus lápis – ou melhor, os seus e-mails de phishing e ataques de ransomware – prontos para explorar as vulnerabilidades únicas que tornam as escolas alvos tão tentadores. Na semana passada, falámos sobre alguns esquemas e ameaças comuns. Esta semana, vamos analisar mais métodos de mitigação para provedores de serviços geridos (MSPs).

Os dias em que mascar pastilha elástica e bolas de papel eram os maiores desafios das escolas já lá vão. Quase dois terços das instalações de ensino relataram ciberataques em 2024, enquanto os ataques de ransomware contra escolas K-12 tiveram um aumento de 92% nos últimos anos. Ainda mais alarmante, 91% das instituições de ensino superior identificaram violações ou ataques de acordo com o Inquérito de Violação de Segurança Cibernética do Reino Unido de 2025, tornando-as um dos setores mais visados.

O que torna as instituições educacionais alvos tão atraentes? É uma combinação perfeita de fatores: elas possuem um tesouro de dados confidenciais, muitas vezes operam com orçamentos limitados para segurança cibernética e mantêm ambientes abertos e colaborativos que podem tornar a implementação da segurança um desafio.

Para compreender como as instituições educativas podem defender-se melhor, consultámos dois especialistas em cibersegurança que trabalham diretamente com as escolas e compreendem os seus desafios únicos.

Conseguir a adesão da liderança: A base da cibersegurança escolar

Brian Keeter, Diretor Sénior na APCO, uma consultoria global de comunicação e consultoria empresarial, enfatiza que uma cibersegurança eficaz começa no topo. A sua abordagem foca-se em quatro áreas-chave que todas as instituições de ensino devem priorizar.

Elevar a cibersegurança aos níveis mais altos

“O melhor passo que qualquer instituição académica pode dar é tornar a proteção de informações sensíveis uma prioridade ao mais alto nível”, explica Keeter. “Durante demasiado tempo, os líderes educacionais relegaram a proteção cibernética para os MSPs ou diretores de TI, lavando as mãos, figurativamente, de qualquer responsabilidade. Sem o envolvimento da liderança, os MSPs e diretores de TI ficam frequentemente sem o mandato de uma prioridade institucional ou os recursos necessários para desempenhar as suas funções.”

Esta lacuna de liderança é particularmente preocupante quando se considera que aproximadamente 60% das violações de dados são atribuíveis a ameaças internas, e muitas destas resultam de programas inadequados de formação e sensibilização.

Revisitar a formação sobre higiene cibernética

De acordo com Keeter, as ameaças internas representam uma enorme vulnerabilidade para as escolas. "Alguns relatórios indicam que as ameaças internas, seja por acidente ou por intenção maliciosa, são responsáveis por até 60% dos incidentes cibernéticos", observa ele. "Uma boa higiene digital resulta de uma formação consistente e atualizada, representando a primeira linha de proteção da escola. Os líderes educacionais devem revisitar os seus programas de formação frequentemente, garantindo que esses programas abordem fraquezas conhecidas e novas ameaças digitais emergentes."

Esta ênfase na formação é apoiada por pesquisas que mostram que a formação de sensibilização sobre segurança reduz as ameaças internas em 45%, tornando-a um dos investimentos de segurança mais rentáveis que as escolas podem fazer.

Auditar informações sensíveis

"Surpreendentemente, muitas escolas não sabem completamente que informações sensíveis possuem, onde estão armazenadas ou como podem ser comprometidas ou exploradas por atores de ameaça", observa Keeter. "Uma rotina consistente de auditorias e avaliações mostra aos líderes escolares como e onde abordar vulnerabilidades, lacunas e fraquezas, colocando-os numa melhor posição para responder de forma rápida e estratégica quando ocorre um incidente."

Atualize (ou crie) o seu plano de resposta a incidentes

A recomendação final de Keeter centra-se na preparação: “Um plano de resposta a incidentes é como um seguro. Espera-se nunca ter de o usar, mas, se for necessário, está-se extremamente grato por tê-lo. Um plano de resposta a incidentes é um manual para o guiar através das consequências a curto e longo prazo de um ciberataque. Permite-lhe agir estrategicamente através do planeamento de cenários, mensagens-chave, declarações de retenção, procedimentos de comunicação interna, listas de contacto de stakeholders e muito mais.”

Esta preparação é crucial, especialmente considerando que leva, em média, 81 dias para detetar e conter um incidente de ameaça interna, e quanto mais tempo a deteção demorar, maiores serão os custos associados.

Uma abordagem de segurança abrangente

Bob Bilbruck, CEO da Captjur, empresa de consultoria estratégica e estratégia e integração de negócios, tem uma visão mais ampla do panorama de ameaças enfrentado pelas instituições de ensino. "À medida que as escolas enfrentam crescentes ciberameaças em 2025, os MSPs e os chief information security officers (CISOs) devem manter-se vigilantes e proativos na proteção de dados sensíveis dos estudantes", ele enfatiza.

Bilbruck identifica vários vetores de ameaça chave que as escolas devem abordar: “Com os riscos crescentes de ransomware, phishing, ataques DDoS e ameaças alimentadas por inteligência artificial (IA), é crucial implementar uma abordagem de segurança em camadas. Isto inclui a adoção de frameworks de confiança zero, a implementação de autenticação multifator, a garantia de atualizações regulares de software e a encriptação de dados sensíveis.”

Como muitos especialistas, Bilbruck também destaca que a proteção de endpoint continua a ser um foco crítico para os MSPs.

“As escolas também devem investir na proteção de endpoints, desenvolver planos de resposta a incidentes robustos e monitorizar continuamente as redes em busca de anomalias”, continua Bilbruck. “A colaboração entre MSPs e responsáveis pela segurança da informação (CISOs) é fundamental, desde a realização de auditorias de rotina até garantir a conformidade com regulamentos de privacidade como a Lei dos Direitos Educacionais e Privacidade da Família (FERPA) e Regulamento Geral sobre a Proteção de Dados (GDPR).”

O aspeto da conformidade é particularmente importante, uma vez que as escolas têm de lidar com requisitos regulamentares complexos, mantendo ao mesmo tempo o acesso aberto que define os ambientes educacionais. Bilbruck destaca que este equilíbrio requer uma atenção cuidadosa tanto aos controlos técnicos como à implementação de políticas.

"Além disso, educar o pessoal, os alunos e os pais sobre as melhores práticas de cibersegurança e proteger os ambientes de aprendizagem remota são essenciais para construir uma cultura de resiliência cibernética nas escolas", conclui ele.

À medida que as ciberameaças continuam a evoluir, as instituições de ensino devem tratar a cibersegurança como uma prioridade estratégica, e não apenas como uma preocupação técnica. Ao promover o envolvimento da liderança, investir em defesas em camadas e construir uma cultura de sensibilização, as escolas e os MSP podem trabalhar em conjunto para salvaguardar o futuro da aprendizagem. O momento de agir é agora, antes que a próxima violação se torne a manchete de amanhã.

Nota: O artigo foi publicado originalmente em Smarter MSP.