Платформите за онлайн обучение дават възможност на училища, университети и индивидуални създатели на курсове да се свързват с ученици от всяка точка на света. Това може да донесе гъвкавост и възможности, но също така въвежда нови рискове. Всяко влизане в профила, всяко качване на задание, всяко чат съобщение генерира данни, които могат да бъдат чувствителни и позволяващи идентификация. Ако тези данни бъдат използвани неправомерно, компрометирани или изтекат, това може да навреди както на учащите, така и на преподавателите.
Ориентацията към поверителността е нещо повече от законово задължение; тя е ангажимент за доверие. Учениците и родителите искат да са сигурни, че личната им информация, включително компетентности, напредък и данни за плащане, ще остане поверителна.
В тази статия ще очертаем ясен и практичен набор от стъпки за защита на данните на учениците.
Какво се счита за данни на учениците? Обхват и чувствителност
Преди да можете да защитите данните на учениците, първо трябва да знаете какво включват те. Много преподаватели смятат, че данните на учениците са само имена и имейл адреси, но обхватът им е много по-широк. Платформите за онлайн обучение събират и обработват широк спектър от информация с различна степен на чувствителност.
Данните за учениците, които обикновено се управляват онлайн, включват:
-
Лични идентификатори (имена, дата на раждане, телефонни номера, адреси)
-
Данни за достъп до акаунта (потребителски имена, пароли, имейл адреси за възстановяване и токени)
-
Академични записи (оценки, задания, коментари или обратна връзка по заданията, сертификати)
-
Данни за плащане (информация за кредитни карти, история на транзакциите, разписки)
-
Поведенчески данни (напредък в курса, дневници на активността и време в сесия)
-
Комуникации (публикации във форуми, лични съобщения и коментари от преподаватели)
Не всички данни крият еднакво ниво на риск при изтичане. Публикация в дискусионен форум вероятно не е толкова чувствителна, колкото финансовите данни, но дори неформалната комуникация може да разкрие самоличност или личен проблем в неподходящ контекст.
Полезен начин да разглеждате данните е чрез нива на чувствителност:
-
Публични данни (каталог на курсовете, приноси към публичен форум)
-
Вътрешни данни (присъствие, оценки, видими само за персонала)
-
Поверителни данни (финансови данни, медицински бележки, лична идентификационна информация за учениците).
Когато опитните преподаватели и администратори разбират тези различия, те могат да прилагат по-строга защита там, където тя е най-важна.
Често срещани рискове при онлайн обучението
Когато управлявате платформа за онлайн обучение, възникват рискове за данните на учениците, които вероятно не са дело на умели хакери, а по-скоро резултат от допускането на дребни грешки от хората.
Често срещаните рискове са:
-
Фишинг: Например фалшиви страници за вход или имейли подвеждат потребителите да споделят паролите си.
-
Слаби/повторно използвани пароли: Хората, които влизат с елементарни пароли (например „123456“) или използват повторно пароли, улесняват насочването към техния акаунт.
-
Твърде широко споделени връзки: Макар връзките към учебни материали да може да са отворени, тези данни могат да бъдат достъпни за всеки, който разполага с връзката.
-
Неправилно конфигурирани разрешения: Свободното предоставяне на „администраторски“ достъп на всеки може да доведе до ненужен достъп до вашите платформи за обучение.
-
Непроверени плъгини: Приложения на трети страни могат да създадат задни врати за достъп до данните на учениците.
-
Скрита ИТ инфраструктура: Разрешаването на учениците да използват неразрешени инструменти (напр. безплатни сайтове за споделяне на файлове за проектите им) означава, че те изключват сигурността от уравнението.
Пример: Ученик задава връзка към споделено хранилище на „всеки с връзката“. Връзката се разпространява извън класа и разкрива лична работа и коментари.
Закони и стандарти, които трябва да познавате
Защитата на данните на учениците е не само разумна, но и законово задължение за всички правителства. Всички правителства имат правила за защита на личната информация, а платформите за онлайн обучение трябва да спазват тези регулации, особено когато работят с международни ученици.
GDPR е един от най-строгите действащи закони и изисква следното:
-
Правно основание за обработване на лични данни.
-
Събирайте само необходимата информация.
-
Признавайте правото на учениците на достъп, промяна, изтриване или искане за експортиране на личните им данни.
-
Извършвайте оценки на въздействието върху защитата на данните (DPIA) при обработване на лични данни, считани за чувствителни.
Съществуват обаче и други важни стандарти, като CCPA/CPRA (Калифорния), FERPA & COPPA (САЩ), PIPEDA (Канада) и ISO/IEC 27001.
Защо това е важно? Живеем в глобална образователна среда. Ако преподавате на ученици от ЕС, GDPR се прилага за вашата организация, дори когато се намирате далеч извън Европа (включително в Канада). Платформи като Kwiga помагат на преподавателите да демонстрират съответствие с GDPR и други важни стандарти, така че инструкторите да могат да изпълнят тези задължения, без да се нуждаят от адвокатска кантора.
Избор на платформа, ориентирана към поверителността
Избраната от вас платформа служи като основа за защитата на информацията за учениците. Силните политики не могат да компенсират слабите технологии, затова е от първостепенно значение да изберете продукт, ориентиран към поверителността.
Когато сравнявате платформи, вземете предвид:
-
Опции за местонахождение на данните: Възможности за съхраняване на информация в юрисдикции, съответстващи на вашите изисквания за съответствие.
-
Надеждно криптиране: Защитено предаване (TLS) и съхранение (AES-256 или по-високо ниво).
-
Гранулиран контрол на достъпа: Разрешенията чрез RBAC гарантират, че само упълномощени лица преглеждат чувствителни записи.
-
Регистри за одит: Записвайте какво е било достъпено, от кого, кога и откъде.
-
Бързи инструменти за експортиране и изтриване: Те ви позволяват да отговаряте бързо на исканията на учениците.
-
Сигурност при удостоверяване на самоличността: Единно влизане (SSO), многофакторно удостоверяване (MFA).
-
Управление на API: Гарантиране, че интеграциите не разкриват чувствителна информация.
-
Споразумение за обработване на данни (DPA): Документ, в който доставчикът описва задълженията си за съответствие.
Kwiga отговаря на GDPR и други международни стандарти, с контроли за достъп до курсове и разрешения според ролята за ученици, помощници и администратори. Тя включва също сигурна обработка на плащания, както и инструменти за редактиране/изтриване/експортиране за управление на информацията за учениците.
Контрол на достъпа, който действително работи
Само защото даден сайт е много защитен в своята среда, това не означава, че информацията за учениците е защитена, ако достъпът не се управлява правилно. Има само едно правило, което трябва да следвате: минимални привилегии – предоставяйте на всеки потребител само необходимия му достъп, нищо повече.
Достъп според ролите
Определете ясни роли, като администратор, преподавател, помощник и учащ. За всяка роля трябва да има ограничения:
-
Учениците могат да преглеждат само собствените си записи.
-
Те могат да отбелязват, но не и да преглеждат финансова информация.
-
Администраторите управляват настройките, но не бива небрежно да влизат в дневниците на чатовете на учениците.
Удостоверяване на самоличността и сигурност на сесиите
Можете да изберете между следните подходи:
-
Единно влизане (SSO): Позволява лесно влизане и намалява умората от пароли.
-
Многофакторно удостоверяване (MFA): Добавя втори фактор, което прави откраднатите пароли по-малко опасни.
-
Изтичане на сесията: Автоматично излизане на потребителите след определен период на неактивност, за да се предотврати неоторизиран достъп.
Периодични прегледи на достъпа
Разрешенията не бива да остават постоянни. На напускащите или на служителите, чиито задачи са приключени, достъпът трябва да бъде деактивиран незабавно. Провеждайте тримесечни одити на достъпа, за да откривате остарели или прекомерни разрешения.
Съвет: Насърчавайте използването на силни пароли или паролни фрази и винаги когато е възможно, предоставяйте хардуерни ключове за сигурност на администраторите. Те значително намаляват риска от превзети акаунти.
Минимизиране и съхранение на данни
Един от най-лесните и практични начини да защитите информацията за учениците е да изисквате по-малко данни и да ги съхранявате за по-кратък период. Колкото повече събирате, толкова по-голяма е целта за злонамерени лица – и толкова по-трудно е да спазвате регулациите за поверителност.
Събирайте само необходимото
Запитайте се: „Наистина ли ми е необходима тази информация, за да преподавам или да помагам на учениците си?“ Например може да ви е нужен имейл адресът на ученик, за да изпращате уроци, но не и пълният му домашен адрес.
Определете срокове за съхранение
Всеки вид данни трябва да има ясно определен срок за съхранение:
-
Задания и оценки: Съхранявайте ги само толкова дълго, колкото е необходимо за оценяване и обжалвания.
-
Съобщения и чат дневници: Съхранявайте ги няколко месеца, след което ги изтрийте или архивирайте.
-
Записи за плащания: Съхранявайте ги толкова дълго, колкото е необходимо за изпълнение на законови или данъчни изисквания за отчетност, но не безсрочно.
Архивиране срещу изтриване
Понякога информацията трябва да бъде запазена по исторически причини или за целите на акредитацията. В такива случаи я съхранявайте с ограничен достъп. За всички останали цели я изтривайте сигурно, когато вече не е необходима.
Криптиране и защитено предаване/съхранение
Дори при строг контрол на достъпа и политики за съхранение данните остават уязвими за компрометиране, ако не се управляват правилно и не се съхраняват в криптиран вид.
Данни при пренос
Всеки път, когато учениците влизат в профилите си, предават задания или извършват плащания, техните данни преминават през интернет. Защитата на транспортния слой (TLS) защитава този тип информация, която се предава по интернет, като затруднява нападателите да я прихванат или да получат токени за удостоверяване, като потребителски имена, пароли и номера на кредитни карти.
Данни в покой
Някъде на сървър в интернет файловете на учениците се съхраняват като криптирани данни. Данните на учениците следва да изискват одобрени от държавата нива на криптиране, достатъчно надеждни, за да защитят личната им информация, чрез силни алгоритми като AES-256. Използването на AES-256 означава, че дори някой да успее да открадне база данни, криптираните данни ще бъдат неразбираеми без достъп до съответните ключове за декриптиране.
Управление на ключове
Криптирането е толкова силно и надеждно, колкото е неговото управление. Ключовете трябва да се съхраняват сигурно и по подходящ начин, да се сменят периодично и да бъдат защитени от неоторизиран достъп.
Тестване на архивиране и възстановяване
Не е достатъчно просто да архивирате данните си; трябва също да ги архивирате в криптиран формат. Тестването на резервните копия също изисква криптирани архиви, защото повредено или несигурно резервно копие може да бъде също толкова катастрофално, колкото повредена или несигурна база данни.
Приложения на трети страни, „бисквитки“ и съгласие
Сайтовете за онлайн курсове могат да интегрират инструменти на трети страни, като инструменти за видео или аналитични табла. Те подобряват обучението, но могат да нарушат поверителността.
Проверка на инструментите
Проверете до какви данни на учениците има достъп инструментът, поискайте доставчикът да предостави Споразумение за обработване на данни (DPA) и изисквайте прозрачност относно всички подизпълнители по обработването. Приемайте само инструменти, които отговарят на изискванията за съответствие.
„Бисквитки“ и проследяване
Платформите използват „бисквитки“ за вход и производителност. При закони като GDPR учениците трябва да бъдат информирани и редовно да предоставят изрично съгласие. Банерите за уведомяване и настройките за предпочитания помагат.
Инструменти с висок риск
Инструменти като системи за дистанционно наблюдение при изпити или биометрични инструменти изискват допълнителна защита. Извършете оценка на въздействието върху защитата на данните (DPIA), преди да ги използвате.
Управление: политики, обучение и одити
Когато става въпрос за поверителност, технологията сама по себе си не е достатъчна. За да се превърне в неразделна част от културата и средата на училището или колежа, поверителността изисква ясни политики, обучение на персонала и одити, за да бъде напълно установена.
Политики
Поддържайте политиките кратки и практични. Използвайте ясен език, за да обхванете събирането на данни, използването на платформата, достъпа с парола, сроковете за съхранение и други важни подробности.
Обучение на персонала
Учителите и администраторите са първата линия на защита. Осигурете на персонала ежегодно обучение за фишинг, искания за изтриване на данни съгласно законодателството GDPR и безопасно използване на приложения на трети страни.
Одити
Трябва да тествате нещата, а не да приемате, че работят правилно. Провеждайте периодични одити на правата за достъп до данни, системните регистрационни файлове и спазването на условията за изтриване на данни.
Показатели
Измервайте неща като времето за отговор на заявки за данни, броя на неуспешните влизания, броя на нарушенията на политики и др.
Заключение
Защитата на данните на учениците вече не е просто желателна, а изискване за всички училища и образователни институции. Осигурете правилно защитата на поверителността, за да спазвате не само GDPR и други международни изисквания, но и да защитите това, което прави онлайн обучението възможно на първо място: доверието на учениците.
Като практическа стъпка към това, ето контролен списък от 10 точки, който можете да използвате още днес:
-
Определете какви данни на учениците събирате и защо.
-
Използвайте съвместима с GDPR платформа, като Kwiga, която е в съответствие с международните стандарти.
-
Използвайте контрол на достъпа на базата на роли и внедрете MFA.
-
Събирайте само абсолютния минимум необходима информация.
-
Създайте ефективни политики за съхранение и изтриване на данни.
-
Криптирайте всички данни при пренос (TLS) и при съхранение (AES-256).
-
Проверявайте приложенията на трети страни и искайте разрешение.
-
Осигурете възможност за изрично съгласие на обучаемите, за да защитите правата им.
-
Разработете план за реакция при инциденти и го тествайте.
-
Непрекъснато обучавайте служителите и извършвайте одити на поверителността.
Не става въпрос само за законодателство, а и за доверие, и само доверието може да създаде процъфтяваща среда за онлайн образование.