Cuando las leyes de seguridad universitaria se encuentran con la ciberseguridad: las implicaciones digitales de la Ley Jeanne Clery
La transformación digital ha convertido los mandatos de seguridad física de la Ley Clery en una cuestión de cumplimiento de la ciberseguridad.
En diciembre del año pasado, un tiroteo en la Universidad de Brown provocó la muerte de dos estudiantes y nueve heridos. Y el 12 de marzo, un tirador activo mató a un instructor del ROTC en Old Dominion. Trágicamente, parece que noticias tan inquietantes provenientes de los campus universitarios se están normalizando. Las autoridades federales han abierto una investigación sobre Brown, investigando el «cómo» del incidente y si el campus violó la Ley Cleary. La seguridad del campus debe reevaluar continuamente si sus marcos de seguridad están realmente preparados para emergencias.
No es que no exista un marco regulatorio para garantizar la seguridad y la transparencia en los campus en torno a los incidentes. La Ley Jeanne Clery de divulgación de la política de seguridad del campus y de estadísticas del campus es una de ellas. Una tragedia de 1986 fue la fuerza impulsora detrás de la Ley Clery. La investigación subsiguiente encontró que el campus tenía un historial de incidentes violentos no revelados.
Anatomía del marco Clery
La necesidad de transparencia y comunicación en torno a la seguridad del campus define las obligaciones de cumplimiento de la Ley Clery. Las instituciones que reciben ayuda financiera federal deben preparar un informe de seguridad anual (ASR) y presentarlo antes del 1 de octubre. Deben registrar diligentemente los delitos en el campus e incluir estadísticas de delitos que abarquen un período de tres años. El ASR debe cubrir las políticas de seguridad del campus. Es obligatorio documentar minuciosamente los incidentes delictivos en un registro de delitos y reportarlos a la seguridad del campus.
El incumplimiento puede resultar en multas de hasta $70,000 por infracción y una posible pérdida de fondos federales, consecuencias que ningún campus puede permitirse.
Nunca debería ser algo normal que una institución se someta periódicamente a amenazas continuas contra sus estudiantes, profesores y personal. Se debe enviar una advertencia oportuna a la comunidad universitaria. Para cualquier peligro inminente, como un tirador activo, deben existir disposiciones para transmitir rápidamente una notificación de emergencia para alertar a los estudiantes y maestros.
Los teléfonos móviles no existían cuando se introdujo la Ley Cleary. La transformación digital cambia el juego.
La relevancia de la Ley Clery para la ciberseguridad
La Ley Clery no trata principalmente de abordar el delito cibernético, pero la capacidad de una institución para cumplir con la obligación de la Ley también depende de su infraestructura digital. Ya sea la capacidad de denunciar delitos, sistemas de notificación de emergencias o la creación de una base de datos de incidentes con un registro histórico de incidentes, la información fluye a través de sistemas de software en red. El ASR también se elabora mediante registros digitales centralizados.
Profundicemos un poco más en la intersección entre el cumplimiento de la seguridad del campus y la ciberseguridad.
Las notificaciones de emergencia son una de las obligaciones más urgentes según la Ley Clery. En el pasado, estos se habrían emitido mediante sirenas o anuncios físicos. Hoy en día, dichas notificaciones se envían a través de plataformas de notificación masiva que pueden enviar alertas a través de mensajes de texto, correo electrónico, aplicaciones móviles del campus y sistemas de señalización digital. Una interrupción o compromiso de estos sistemas significa que las alertas podrían llegar a la comunidad universitaria demasiado tarde, no llegar a ellos en absoluto o, peor aún, los atacantes podrían enviar mensajes falsos, socavando los esfuerzos de respuesta y potencialmente provocando tragedias evitables.