El curso de seguridad que falta en la educación superior

¿Alguna vez revisaste el plan de estudios de un programa de informática? En muchas universidades hay algunas similitudes entre los cursos que toman los estudiantes. Por lo general, en el primer semestre hay un curso introductorio que presenta el mundo de la informática. Luego, en los semestres siguientes, los estudiantes toman cursos de programación (incluida una introducción a la programación orientada a objetos), bases de datos, estructuras de datos, etc. Esto significa que quienes se gradúan de informática, aunque quizá no sean expertos, sí egresan con conocimientos amplios en muchas áreas distintas. Pero parece haber una omisión evidente en muchos programas de Canadá y Estados Unidos: la seguridad informática.

La omisión de este concepto fundamental en los planes de estudio de informática genera varios problemas en distintos niveles. Pero primero, veamos más ampliamente los campos de la informática y la seguridad informática. A estas alturas, conocemos la brecha de profesionales en ciberseguridad. No hay suficientes personas calificadas para ocupar puestos clave en la protección de nuestros datos y nuestra privacidad. Esto significa que muy pocos estudiantes se gradúan con las calificaciones necesarias para cubrir esos puestos. Una de las razones podría ser que informática tiene una tasa de deserción muy alta. Si necesitamos que más estudiantes se gradúen con buenos conocimientos sobre ciberseguridad, una solución sería atraer a más personas a los programas de informática. Pero eso, en sí mismo, es un problema.

Fomentar el interés por la informática entre los estudiantes más jóvenes

Cuando los estudiantes de secundaria se preparan para postularse a universidades, es probable que elijan programas que les interesen y con los que estén familiarizados. En la secundaria, tienen materias como geografía, historia, distintas ciencias y otras humanidades. Pero ¿qué pasa con la informática? En 37 estados, solo el 4.7 % de los estudiantes de secundaria está inscrito en un curso introductorio de informática.

Esta escasez de cursos de informática probablemente provocó que la informática perdiera popularidad durante muchos años. Sin embargo, en los últimos años, la matrícula parece estar aumentando de nuevo. Es una buena noticia para el sector, pero no resuelve de inmediato la brecha de profesionales a corto plazo, aunque será de ayuda dentro de unos años, cuando se gradúen más estudiantes de los programas de informática. Sin embargo, lograr que más estudiantes ingresen al sistema no resuelve el problema por completo. Como mencionamos, estos programas aún carecen de cursos sobre seguridad de datos y privacidad.

Sabemos que los ciberataques están aumentando en todo el mundo. La ciberseguridad se ha convertido en un tema tan importante que los líderes gubernamentales están hablando de ella. Y el ritmo de estos ataques no parece estar disminuyendo. Las empresas y los gobiernos deben combatirlos mediante la contratación de personas calificadas.

Si quisieras contratar a un experto en ciberseguridad, o al menos a alguien con conocimientos en ese campo, probablemente buscarías a un graduado de informática. Es evidente que deberíamos enseñar a quienes se gradúan de informática a abordar los problemas de seguridad informática para prepararlos adecuadamente para el mundo laboral. Por desgracia, no es así (al menos en Canadá y Estados Unidos).

Qué falta en los programas de institutos y universidades

De los 50 mejores programas de informática de Estados Unidos, tres exigen un curso de ciberseguridad para graduarse [fuente]. Una investigación que hice sobre quince de las universidades más populares de Canadá reveló una buena noticia: el 53 % ofrece un curso de seguridad para sus estudiantes. La mala noticia es que solo el 13 % de las universidades exige este tipo de curso. Esto significa que, en la mayoría de los programas del país, es muy probable que los estudiantes puedan completar toda su carrera sin tomar nunca un curso dedicado a la seguridad informática.

¿Y qué pasa con los institutos? En Canadá, la educación superior se divide entre institutos y universidades. Por lo general, las universidades tienen un enfoque más teórico, mientras que los institutos son más prácticos. Los institutos suelen ofrecer menos materias optativas y los cursos que toman los estudiantes están predeterminados. Una vez más, mi investigación muestra que alrededor del 27 % de los institutos exige un curso de seguridad informática como parte del plan de estudios general de informática. Este porcentaje es mejor que el de las universidades, pero sigue sin ser bueno.

¿Qué significa exactamente esto? ¿Se enseña seguridad informática en estos programas universitarios o de instituto? Lo más probable es que sí.

Para aclarar, estamos hablando de licenciaturas y diplomas generales en informática. Muchas instituciones sí ofrecen certificados de posgrado o cursos de educación continua especializados en seguridad informática. Y esto no tiene en cuenta lo que se enseña en el aula: por ejemplo, es probable que un curso de redes cubra algunos aspectos de la seguridad de redes. También es probable que un curso de bases de datos hable sobre las consultas preparadas. Sin embargo, el contenido de los cursos queda a criterio del profesor. Una persona con conocimientos de seguridad informática probablemente incorporará ese tema en sus cursos; alguien que no los tenga, no.

No afirmo que quienes se gradúan de informática no estén calificados para trabajar en seguridad informática. Pero sí digo que puede que no lo estén, debido a la falta de cursos específicos de seguridad. En una época en que la seguridad informática ocupa un lugar central en las noticias, cabe preguntarse por qué faltan cursos de seguridad informática en la educación superior.

Educación continua para desarrolladores con Snyk

Para ayudar a resolver este problema, Snyk Learn ofrece lecciones para desarrolladores sobre vulnerabilidades como la inyección, la contaminación de prototipos, Spring4Shell y otras. En estas lecciones se muestra una vulnerabilidad en acción para que los desarrolladores vean exactamente cómo funcionan los ataques. También se analiza la vulnerabilidad en profundidad para revelar por qué funciona. Por último, las lecciones ofrecen técnicas de mitigación. Puede que estas lecciones no resuelvan todos los problemas mencionados, pero ofrecen un punto de partida para ayudar a los desarrolladores a aprender más sobre seguridad informática.