La cybersecurity nelle università è un problema critico, all’attenzione tanto della singola Istituzione, quanto dei governi nazionali. Il report Clusit 2025 sottolinea, infatti, come le istituzioni scolastiche possano avere, per numero di utenti e diversificazione delle attività, la stessa complessità di una multinazionale di grandi dimensioni e, allo stesso modo, essere vittime dei cyber criminali.
Nella sua Cybersecurity breaches Survey, il Governo del Regno Unito documenta come, nel 2024, il numero di Istituzioni di Higer Education che ha subito un attacco informatico è pari al 97%. Le violazioni possono essere diverse: phishing, virus, Dodos – Distributed Denial of Service, furto dell’identità digitale, ecc.
È necessario, dunque, implementare strategie che assicurino un adeguato livello di cybersecurity nelle università, al fine di salvaguardare l’ateneo tanto dai danni di tipo finanziario, quanto da quelli alla proprietà intellettuale o, infine, alla reputazione.
Cybersecurity per gli atenei: come fare
Ai rischi gravi cui si è accennato, si aggiunge la conformità alla normativa. Le università possono essere incluse, infatti, nel PSNC – Perimetro di Sicurezza Nazionale Cibernetico, in funzione delle attività di ricerca svolte a favore di settori critici, quali, ad esempio, Telco ed Energy. Il dipartimento di sicurezza dell’università, e, più in generale, la Direzione IT, hanno una responsabilità critica, che si scontra, tuttavia, con un mondo, quello della ricerca scientifica, che non sempre è incline ad accogliere le indicazioni centrali in merito all’uso della tecnologia. È consigliabile, perciò, che l’implementazione di una politica di cybersecurity nelle università avvenga secondo best practice, che tengano conto delle abitudini consolidate. Ecco, dunque 5 modi per mettere al sicuro i dati degli atenei:
-
Integrazione della cybersecurity nell’early stage. La cybersecurity è da considerare un elemento imprescindibile per qualunque iniziativa che utilizzi dei servizi digitali. È, dunque, opportuno che, sin dalla fase di concept, una figura specializzata in cybersecurity faccia parte del team di progetto. Ciò ha conseguenze organizzative importanti, in quanto la digitalizzazione è pervasiva e diversificata; si pensi, ad esempio, agli LMS – Learning Management System, ai portali di servizio (registro elettronico, portale dello studente, ecc.), o, infine, alle svariate applicazioni scientifiche dei gruppi di ricerca; infine, le applicazioni di backend. È necessario, dunque, prevedere figure e policy dedicate che assicurino il presidio della cybersecurity in ogni iniziativa progettuale.
-
Diffusione delle informazioni e training. La formazione non riguarda solo gli specialisti di cybersecurity, ma è da intendersi come diffusione di cultura verso tutte le diverse tipologie di utenza: studenti, docenti, personale di staff, ecc. La sensibilizzazione è un fattore strategico. È imperativo diffondere una cultura della sicurezza informatica, in quanto gli hacker fanno principalmente leva sulle inavvertenze o inadempienze delle singole persone. L’ambiente universitario è aperto, collaborativo e soggetto a scambi internazionali; inoltre, l’elevato numero di device personali rischia di offrire una superficie d’attacco molto ampia. La protezione dei dati non può prescindere, quindi, da un corretto utilizzo delle tecnologie a livello personale.
-
Creazione di un team centralizzato. Il CSO – Chief Security Officer e il suo team presidiano la cybersecurity a livello centrale: a loro fanno riferimento le figure responsabili per la cybersecurity nei singoli progetti. Questo permette di ottenere un duplice obiettivo: il primo è quello di garantire un presidio unificato dei temi legati alla sicurezza; il secondo è quello di assicurare il rispetto delle policy a livello locale (anche attraverso iniziative di audit). Le policy a livello centrale riguardano, ad esempio, l’autenticazione a più fattori, per accedere al registro elettronico da parte dei docenti, oppure la gestione avanzata degli account degli studenti o del personale. Si consideri, a tal proposito, che il report del governo inglese citato in precedenza, mostra come tra le cause principali di data beach vi sia l’accesso non autorizzato a risorse digitali da parte del personale interno.
-
Monitoraggio. Per garantire la sicurezza dei dati non si può prescindere dalle piattaforme software di controllo. Sono queste, infatti, a monitorare costantemente il traffico di dati e il funzionamento delle macchine al fine di intercettare attività sospette. Il mercato offre soluzioni di monitoring sia a livello infrastrutturale che applicativo, come, ad esempio, le piattaforme Dynatrace o Splunk. La scelta dipende, oltre che da valutazioni economiche, dalla copertura funzionale per i diversi ambiti di controllo (rete, cloud, endpoint, ecc.), dalla interoperabilità con altre piattaforme esistenti, o, infine, dalla disponibilità di funzionalità avanzate, quali, ad esempio, l’Artificiale Intelligence o le dashboard personalizzabili.
-
Individuazione di una partnership specialistica. La definizione delle policy di sicurezza ottimali, la continua evoluzione tecnologica, l’adeguamento alla normativa, e, infine, il costante aggiornamento sulle vulnerabilità necessitano di competenze specialistiche e costantemente aggiornate. La cybersecurity non è un’attività one-shot, ma un ambito in continua evoluzione. È opportuno, perciò, individuare un partner specializzato in cybersecurity, in grado non solo di offrire soluzioni tecnologiche adeguate alla singola realtà, ma un supporto aggiornato e continuativo.
La cybersecurity nelle università è fondamentale per creare ambienti sicuri, in grado di proteggere gli asset informativi, i dati sensibili degli studenti e del personale e la proprietà intellettuale di ricerche e studi accademici. Oltre al rischio di una fuga di informazioni, gli attacchi possono, poi, causare interruzioni prolungate e costi significativi per il ripristino, oltre a danneggiare la reputazione dell'istituzione. Inoltre, la perdita di fiducia da parte degli studenti e degli stakeholder può avere conseguenze a lungo termine, compromettendo l'attrattività dell'università.
La cybersecurity, dunque, non andrebbe considerata solo come una misura di protezione, ma come un elemento strategico per il futuro sviluppo e la competitività degli atenei. Investire in soluzioni di sicurezza avanzate e nella formazione del personale è essenziale per affrontare le sfide attuali e future del panorama digitale.
