Tiešsaistes mācību platformas ļauj skolām, universitātēm un individuālajiem kursu veidotājiem sazināties ar studentiem neatkarīgi no tā, kur viņi pasaulē atrodas. Tas var ieviest elastību un iespējas, bet vienlaikus arī jaunus riskus. Katrs pieslēgums, katra iesniegta uzdevuma augšupielāde, katrs čata ziņojums rada datus, kas var būt sensitīvi un identificējami. Ja šie dati tiek ļaunprātīgi izmantoti, apdraudēti vai nopludināti, tas var kaitēt gan studentiem, gan pedagogiem.
Privātuma ievērošana ir kas vairāk nekā tikai juridisks pienākums; tā ir uzticības saistība. Studenti un vecāki vēlas būt pārliecināti, ka viņu personīgā informācija, tostarp kompetences, progresu dati un maksājumu informācija, tiks turēta konfidenciāli.
Šajā rakstā mēs izklāstīsim vienkāršu un praktisku soļu kopumu, lai aizsargātu studentu datus.
Kas tiek uzskatīts par studentu datiem? Apjoms un sensitivitāte
Pirms var aizsargāt studentu datus, ir jāzina, kas ar tiem domāts. Daudzi pedagogi uzskata, ka studentu dati ir tikai vārdi un e-pasta adreses, bet tas ir daudz plašāks jēdziens. Tiešsaistes mācību platformas apkopo un apstrādā ļoti dažādus datus, katram no tiem ir atšķirīgs sensitivitātes līmenis.
Studentu dati, kas parasti tiek pārvaldīti tiešsaistē, ietver:
-
Personīgie identifikatori (vārdi, dzimšanas datumi, tālruņa numuri, adreses)
-
Konta akreditācijas dati (lietotājvārdi, paroles, atkopšanas e-pasta adreses un marķieri)
-
Akadēmiskie ieraksti (atzīmes, uzdevumi, komentāri vai atsauksmes par uzdevumiem, sertifikāti)
-
Maksājumu dati (kredītkartes informācija, transakciju vēsture, kvītis)
-
Uzvedības dati (progresēšana kursā, aktivitāšu žurnāli, sesijā pavadītais laiks)
-
Saziņa (ieraksti forumos, privātās ziņas un skolotāju komentāri)
Ne visi dati rada vienādu risku, ja tie noplūstu. Ieraksts diskusiju forumā, visticamāk, nav tik sensitīvs kā finanšu dati, taču pat ikdienišķa saziņa var atklāt identitāti vai privātas grūtības nepareizā kontekstā.
Noderīgs veids, kā domāt par datiem, ir sensitivitātes līmeņi:
-
Publiski dati (kursu katalogs, ieguldījumi publiskā forumā)
-
Iekšējie dati (apmeklējums, atzīmes, kuras redz tikai personāls)
-
Konfidenciāli dati (finanšu dati, medicīniskās piezīmes, personīgā studenta identifikācija).
Kad pieredzējuši pedagogi un administratori saprot šīs atšķirības, viņi var pielietot spēcīgākus drošības pasākumus tam, kas ir vissvarīgākais.
Biežākie riski tiešsaistes mācībās
Pārvaldot tiešsaistes mācību platformu, tiek radīti riski studentu datiem, kas visbiežāk nav prasmīgu hakeru darbs, bet gan cilvēku ikdienišķu kļūdu rezultāts.
Biežākie riski ir:
-
Pikšķerēšana: Piemēram, viltotas pieteikšanās lapas vai e-pasti, kas maldina lietotājus atklāt paroles.
-
Vājas/atkārtoti izmantotas paroles: Lietotāji, kas pieslēdzas ar vienkāršām parolēm (piemēram, “123456”) vai atkārtoti lieto tās pašas paroles, būtiski atvieglo kādam piekļuvi viņu kontam.
-
Pārāk plaši dalītas saites: Lai gan kursa materiālu saites var būt atvērtas, šie dati var būt pieejami ikvienam, kam ir saite.
-
Nepareizi konfigurētas atļaujas: Piešķirot “admin” piekļuvi visiem bez ierobežojumiem, var radīt nevajadzīgu piekļuvi mācību platformām.
-
Nepārbaudīti spraudņi: Trešo pušu lietotnes var radīt “aizmugures durvis” piekļuvei studentu datiem.
-
Ēnu IT: Atļaujot studentiem izmantot neapstiprinātus rīkus (piemēram, bezmaksas failu koplietošanas vietnes saviem projektiem), tiek izslēgta drošība no vienādojuma.
Piemērs: Students iestata koplietotas mapes saiti uz “ikvienam ar saiti.” Saite tiek izplatīta ārpus klases un atklāj privātus darbus un komentārus.
Likumdošana un standarti, kas jāzina
Studentu datu aizsardzība ir ne tikai saprātīga, bet arī juridisks pienākums visām valdībām. Visām valdībām ir noteikumi, kas aizsargā personas datus, un tiešsaistes mācību platformām ir jāievēro šie noteikumi, īpaši strādājot ar starptautiskiem studentiem.
GDPR ir viens no stingrākajiem likumiem, kas paredz sekojošo:
-
Legitīms pamats personas datu apstrādei.
-
Tikai nepieciešamās informācijas apkopošana.
-
Studenta tiesību atzīšana piekļūt, mainīt, dzēst vai pieprasīt personas datu eksportēšanu.
-
Datu aizsardzības ietekmes novērtējumu (DPIA) veikšana, ja tiek apstrādāti sensitīvi personas dati.
Tomēr ir arī citi svarīgi standarti, piemēram, CCPA/CPRA (Kalifornija), FERPA & COPPA (ASV), PIPEDA (Kanāda) un ISO/IEC 27001.
Kāpēc tas ir svarīgi? Mēs dzīvojam globālās izglītības vidē. Ja jūs mācāt studentus no ES, tad GDPR attiecas uz jūsu organizāciju, pat ja atrodaties ārpus Eiropas (piemēram, Kanādā). Platformas, piemēram, Kwiga, palīdz pedagogiem parādīt atbilstību GDPR un citiem svarīgiem standartiem, ļaujot pasniedzējiem izpildīt šīs prasības bez nepieciešamības piesaistīt juristu biroju.
Privātumu centrētas platformas izvēle
Izvēlētā platforma ir pamats studentu informācijas aizsardzībai. Stipra politika nevar kompensēt vāju tehnoloģiju, tādēļ ir ļoti svarīgi izvēlēties produktu, kas orientēts uz privātumu.
Izvēloties starp platformām, apsveriet:
-
Datu glabāšanas iespējas: Iespējas glabāt informāciju jurisdikcijās, kas atbilst jūsu atbilstības prasībām.
-
Spēcīga šifrēšana: Droša pārsūtīšana (TLS) un glabāšana (AES-256 vai augstāka).
-
Granulēta piekļuves kontrole: RBAC atļaujas nodrošina, ka sensitīvus ierakstus redz tikai pilnvarotas personas.
-
Audita ieraksti: Reģistrē, ko piekļuvis, kad un kur.
-
Ātri eksportēšanas un dzēšanas rīki: Tie ļauj ātri reaģēt uz studentu pieprasījumiem.
-
Autentifikācijas drošība: Vienotā pieteikšanās (SSO), daudzfaktoru autentifikācija (MFA).
-
API pārvaldība: Nodrošinot, ka integrācijas neizpludina sensitīvu informāciju.
-
Datu apstrādes līgums (DPA): Dokuments, kas fiksē pakalpojuma sniedzēja atbilstības saistības.
Kwiga atbilst GDPR un citiem starptautiskajiem standartiem, ar kursu piekļuves kontroli un lomām specifiskām atļaujām studentiem, asistentiem un administratoriem. Tā ietver arī drošu maksājumu apstrādi, kā arī rediģēšanas/dzēšanas/eksporta rīkus studentu informācijas pārvaldībai.
Piekļuves kontrole, kas patiešām darbojas
Tikai tāpēc, ka vietne ir droša savā atrašanās vietā, tas nenozīmē, ka studentu informācija ir droša, ja piekļuve netiek pienācīgi pārvaldīta. Ir tikai viens noteikums, kam jāseko: minimālā nepieciešamība — piešķiriet katram lietotājam tikai to piekļuvi, kas viņam nepieciešama, ne vairāk.
Lomu balstīta piekļuve
Nosakiet skaidras lomas, piemēram, administrators, skolotājs, palīgs un students. Katram lomam jābūt ierobežojumiem:
-
Studenti var skatīt tikai savus ierakstus.
-
Viņi drīkst ievadīt datus, bet ne skatīt finanšu informāciju.
-
Administratori pārvalda iestatījumus, bet viņiem nevajadzētu nejauši piekļūt studentu čata ierakstiem.
Autentifikācija un sesijas drošība
Varat izvēlēties starp šīm pieejām:
-
Vienotā pieteikšanās (SSO): Nodrošina ērtu pieteikšanos un samazina paroļu nogurumu.
-
Daudzfaktoru autentifikācija (MFA): Pievieno otru faktoru, kas padara nozagtas paroles mazāk bīstamas.
-
Sesijas noildze: Automātiski izraksta lietotājus pēc noteikta neaktivitātes perioda, lai novērstu nesankcionētu piekļuvi.
Periodiskas piekļuves pārskatīšanas
Atļaujām nevajadzētu palikt nemainīgām. Darbiniekiem, kuri aiziet vai ir pabeiguši savus uzdevumus, piekļuve nekavējoties jāatspējo. Reizi ceturksnī veiciet piekļuves auditus, lai identificētu novecojušas vai pārmērīgas atļaujas.
Padoms: Veiciniet spēcīgu paroļu vai paroles frāžu izmantošanu un, kad vien iespējams, izdaliet administratoriem aparatūras drošības atslēgas. Tās ievērojami samazina kontu nolaupīšanas risku.
Datu minimizēšana un saglabāšana
Viens no vienkāršākajiem un pragmatiskākajiem veidiem, kā aizsargāt studentu informāciju, ir prasīt mazāk un glabāt to īsāku laiku. Jo vairāk jūs savācat, jo lielāks mērķis tas ir ļaunprātīgām personām — un jo grūtāk ir ievērot privātuma noteikumus.
Vāciet tikai to, kas nepieciešams
Jautājiet sev: “Vai man tiešām ir vajadzīga šī informācija, lai mācītu vai palīdzētu saviem studentiem?” Piemēram, jums var būt nepieciešama studenta e-pasta adrese, lai nosūtītu nodarbības, bet ne visa viņa mājas adrese.
Nosakiet saglabāšanas periodus
Katrai datu kategorijai jābūt skaidri definētam saglabāšanas laikam:
-
Uzdevumi un atzīmes: Glabāt tikai tik ilgi, cik nepieciešams vērtēšanai un apelācijām.
-
Ziņojumi un čata ieraksti: Glabāt dažus mēnešus, pēc tam dzēst vai arhivēt.
-
Maksājumu ieraksti: Glabāt tik ilgi, cik nepieciešams juridisko vai nodokļu prasību izpildei, bet ne bezgalīgi.
Arhivēšana pret dzēšanu
Būs situācijas, kad informācija jāglabā vēsturiskiem vai akreditācijas nolūkiem. Šādos gadījumos saglabājiet to ar ierobežotu piekļuvi. Visos citos gadījumos droši izdzēsiet, kad tā vairs nav nepieciešama.
Šifrēšana un droša pārsūtīšana/glabāšana
Pat ar stingriem piekļuves kontroles un saglabāšanas noteikumiem dati joprojām var būt apdraudēti, ja tie netiek pienācīgi pārvaldīti un glabāti šifrētā formātā.
Dati pārsūtīšanas laikā
Kad studenti piesakās savos kontos, iesniedz uzdevumus vai veic maksājumus, viņu dati ceļo caur internetu. Transporta slāņa drošība (TLS) aizsargā šāda veida informāciju interneta pārsūtīšanas laikā, padarot to grūtāk pārtvert vai iegūt autentifikācijas marķierus, piemēram, lietotājvārdus, paroles un kredītkartes numurus.
Dati glabāšanas laikā
Kaut kur serverī internetā studenta faili tiek glabāti kā šifrēti dati. Studenta ierakstiem jāatbilst valdības apstiprinātiem šifrēšanas līmeņiem, pietiekami spēcīgiem, lai aizsargātu personas identificējamu informāciju, izmantojot tādus algoritmus kā AES-256. Izmantojot AES-256, pat ja kādam izdodas nozagt datubāzi, šifrētie dati būs nesaprotami bez piekļuves atbilstošām atšifrēšanas atslēgām.
Atslēgu pārvaldība
Šifrēšana var būt tikai tik spēcīga un uzticama, cik labi tiek pārvaldītas atslēgas. Atslēgas ir droši jāuzglabā, regulāri jāmaina un jāsargā no nesankcionētas piekļuves.
Dublēšana un atjaunošanas testēšana
Nepietiek tikai ar datu dublēšanu; tie jāglabā arī šifrētā formātā. Dublējumu testēšanā arī nepieciešami šifrēti dublējumi, pretējā gadījumā bojāts vai nedrošs dublējums var būt tikpat katastrofāls kā bojāta vai nedroša datubāze.
Trešo pušu lietotnes, sīkfaili un piekrišana
Tiešsaistes kursu vietnes var integrēt trešo pušu rīkus, piemēram, video rīkus vai analītikas paneļus. Tie uzlabo mācīšanos, bet var pārkāpt privātumu.
Rīku izvērtēšana
Pārbaudiet, kādiem studentu datiem rīkam ir piekļuve, pieprasiet no piegādātāja datu apstrādes līgumu (DPA) un prasiet caurspīdīgumu par jebkuriem apakšapstrādātājiem. Pieņemiet tikai tādus rīkus, kas ir gatavi atbilstībai.
Sīkfaili un izsekošana
Platformas izmanto sīkfailus pieteikšanās un veiktspējas vajadzībām. Tādu likumu kā GDPR gadījumā studentiem ir jābūt informētiem un regulāri jāsniedz pozitīva piekrišana. Palīdz baneru paziņojumi un preferenču iestatījumi.
Augsta riska rīki
Tādi rīki kā eksaminācijas uzraudzības vai biometriskie rīki prasa papildu aizsardzību. Pirms to lietošanas veiciet datu aizsardzības ietekmes novērtējumu (DPIA).
Pārvaldība: politikas, apmācība un auditi
Kad runa ir par privātumu, ar tehnoloģijām vien nepietiek. Lai privātums kļūtu par neatņemamu skolas vai koledžas kultūras un vides daļu, ir nepieciešamas skaidras politikas, personāla apmācība un auditi.
Politikas
Veidojiet politikas īsas un praktiskas. Lietojiet vienkāršu valodu, lai aptvertu datu vākšanu, platformas izmantošanu, paroļu piekļuvi, saglabāšanas laikus un citus svarīgus aspektus.
Personāla apmācība
Skolotāji un administratori ir pirmā aizsardzības līnija. Nodrošiniet darbiniekiem ikgadēju apmācību par pikšķerēšanu, datu dzēšanas pieprasījumiem saskaņā ar GDPR un drošu trešo pušu rīku lietošanu.
Auditi
Ir jāpārbauda procesi, nevis jāpieņem, ka tie darbojas pareizi. Veiciet periodiskus auditus datu piekļuves tiesībām, sistēmas žurnāliem un atbilstībai datu dzēšanas nosacījumiem.
Metrikas
Mēriet tādas lietas kā reakcijas laiku uz datu pieprasījumiem, neveiksmīgu pieteikšanās reižu skaitu, politikas pārkāpumu skaitu u.c.
Nobeigums
Studentu datu aizsardzība vairs nav tikai jauka priekšrocība, bet prasība visiem skolās un izglītībā. Privātuma ievērošana nozīmē ne tikai atbilstību GDPR un citiem starptautiskajiem standartiem, bet arī to, ka tiek aizsargāts pats pamats, kas ļauj pastāvēt tiešsaistes mācībām: studentu uzticēšanās.
Kā praktisku soli šajā virzienā, šeit ir 10 punktu kontrolsaraksts, ko varat izmantot jau šodien:
-
Izveidojiet karti par to, kādus studentu datus jūs vācat un kāpēc.
-
Izmantojiet GDPR atbilstošu platformu, piemēram, Kwiga, kas atbilst starptautiskajiem standartiem.
-
Izmantojiet lomu balstītu piekļuves kontroli un ieviesiet MFA.
-
Vāciet tikai pašu nepieciešamāko informāciju.
-
Ieviesiet efektīvu datu saglabāšanas un dzēšanas politiku.
-
Šifrējiet visus datus pārsūtīšanas laikā (TLS) un glabāšanas laikā (AES-256).
-
Pārbaudiet trešo pušu lietotnes un pieprasiet atļauju.
-
Nodrošiniet studentiem iespēju sniegt piekrišanu (opt-in), lai aizstāvētu savas tiesības.
-
Izstrādājiet incidentu reaģēšanas plānu un pārbaudiet to.
-
Nepārtraukti apmāciet darbiniekus un veiciet privātuma auditus.
Tas nav tikai par likumu, bet arī par uzticību, un tikai uzticēšanās var radīt plaukstošu tiešsaistes izglītības vidi.