FERPA amerikai oktatási törvény: Útmutató a távoli hozzáférés biztosításához

A FERPA az Egyesült Államok oktatási törvénye, amely védi a diákok oktatási nyilvántartásait, és meghatározza, hogyan kezelik az iskolák a digitális hozzáférést, a távoli munkát és a harmadik fél szoftvereit. Az iskolai IT-adminisztrátorok és a felsőoktatási IT-csapatok számára a FERPA nem csupán egy nyilvántartási politika. Ez is hozzáférés-ellenőrzés kérdése szállítókezelés és adatvédelem.

Mi az a FERPA az Egyesült Államok oktatási törvénye?

A FERPA a következőt jelenti: Családi Oktatási Jogok és Adatvédelmi Törvény Ez egy amerikai szövetségi oktatási adatvédelmi törvény, amely védi a diákok oktatási nyilvántartásainak magánéletét. Az Egyesült Államok Oktatási Minisztériuma a FERPA szabályozásokat a 34 CFR 99. rész alatt a Közoktatási Törvény (GEPA) keretein belül teszi közzé. Ezek meghatározzák a jogokat, a közzétételi szabályokat és a megfelelési kötelezettségeket a védett oktatási intézmények számára. Más szavakkal, ez az 1974-es amerikai szövetségi törvény szabályozza az oktatási információkhoz és nyilvántartásokhoz való hozzáférést olyan nyilvános entitások, mint a szülők, diákok és intézmények által.

Mit jelent a FERPA?

A FERPA jelentése Családi Oktatási Jogok és Adatvédelmi Törvény A gyakorlatban a FERPA jogokat biztosít a szülőknek és az arra jogosult diákoknak az oktatási nyilvántartások felett. Az arra jogosult diák általában olyan diák, aki betöltötte a 18. életévét, vagy egy felsőoktatási intézménybe jár, ekkor a FERPA jogok a szülőtől a diáknak átkerülnek.

Az IT csapatok számára a legfontosabb pont egyszerű: a FERPA akkor alkalmazandó, amikor egy rendszer tárol, megjelenít, továbbít vagy hozzáférést biztosít a személyesen azonosítható információkhoz az oktatási nyilvántartásokból.

Kinek vonatkozik a FERPA?

A FERPA vonatkozik azokra az oktatási ügynökségekre és intézményekre, amelyek a megfelelő programok keretében pénzügyi támogatást kapnak az Egyesült Államok Oktatási Minisztériumától. Ez magában foglalja a sok K-12 iskolát, iskola körzetet, főiskolát és egyetemet.

A FERPA nem vonatkozik minden olyan cégre, amely oktatási adatokat használ. Azonban egy szoftvergyártó FERPA kötelezettségekbe is belekerülhet, amikor iskolai tisztviselőként, vállalkozóként, tanácsadóként vagy kiszervezett szolgáltatóként működik egy érintett intézmény számára. Az iskolai tisztviselői kivétel alapján a vállalkozó csak akkor férhet hozzá az oktatási nyilvántartásokhoz, ha intézményi szolgáltatást nyújt, közvetlenül az iskola irányítása alatt áll, és betartja a FERPA használatra és újra közzétételre vonatkozó korlátozásait.

Milyen hallgatói adatokat véd a FERPA?

Oktatási nyilvántartások

A FERPA védi azokat az oktatási nyilvántartásokat, amelyek közvetlenül kapcsolódnak egy diákhoz, és amelyeket egy oktatási ügynökség, intézmény vagy az ügynökség vagy intézmény nevében eljáró fél tart nyilván. A távoli hozzáférési környezetekben a védett információk közé tartozhatnak a jegyek, a bizonyítványok, a jelenléti ívek, a fegyelmi akták, a diákazonosítók, az osztálylisták, a pénzügyi támogatási nyilvántartások és a diákinformációs rendszerben található nyilvántartások.

Más személyesen azonosítható információ

A FERPA a személyesen azonosítható információkat is védi az oktatási nyilvántartásokból. Ez azért fontos, mert a távoli hozzáférési eszközök nem tárolhatják közvetlenül a diákok nyilvántartásait, de mégis kitethetik a diákok adatait képernyők, fájlok, vágólap műveletek, nyomtatási feladatok, naplók, képernyőképek vagy támogatási ülések révén.

Miért fontos a FERPA a Remote Access számára?

A távoli hozzáférés kiterjed, ahol oktatási rendszerek használható. A tanárok otthonról csatlakozhatnak, az adminisztrátorok távoli helyszínről férhetnek hozzá a diákinformációs rendszerekhez, és az IT csapatok hibaelhárítást végezhetnek az osztálytermekben, laborokban vagy távoli tanulási programokban használt eszközökön.

Ez a rugalmasság egy FERPA kérdést vet fel: ki férhet hozzá a hallgatói nyilvántartásokhoz, honnan, mely eszközön keresztül és milyen céllal?

Oktatási nyilvántartások távoli munkamenetekben

A kockázat és a kontroll fő útvonalának azonosítása

A távoli asztali munkamenet ugyanazokat az érzékeny adatokat jelenítheti meg, mint egy helyszíni munkaállomás. Ha egy tanár egy jegyzetkönyvet nyit meg egy távoli munkamenet során, a munkamenet felfedheti a FERPA által védett információkat. Ha egy adminisztrátor letölt egy jelentést egy nem kezelt eszközre, a kockázat a vezérelt szerverhozzáférésről a helyi adathalmozásra terelődik.

Legkisebb jogosultság keretrendszerek

A FERPA megköveteli az iskoláktól, hogy ésszerű módszereket alkalmazzanak a felek azonosítására és hitelesítésére, akik hozzáférést kapnak a személyesen azonosítható információkhoz az oktatási nyilvántartásokból. Emellett ésszerű módszereket is megkövetel annak biztosítására, hogy az iskolai tisztviselők csak olyan nyilvántartásokhoz férjenek hozzá, amelyekben jogos oktatási érdekeik vannak.

Az azonosítás és a hozzáférés összehangolása a nyilvánosságra hozatal kockázatának csökkentésére

Tudatosság és megelőzés

A távoli hozzáférés biztonsági problémái általában gyenge hitelesítésből, széleskörű jogosultságokból, kezelhetetlen végpontokból és nyilvános szolgáltatásokból adódnak. A távoli asztali szolgáltatások közvetlen internetes kitettsége szintén növelheti a brute-force és a hitelesítő adatokkal való feltöltés kockázatát.

Ha kétségeid vannak, válaszd a legkisebb jogosultságot.

A FERPA-tudatos telepítésekhez az iskolai IT csapatoknak a távoli hozzáférést a legkisebb jogosultsággal kell összehangolniuk. A felhasználóknak csak azokat az alkalmazásokat, asztalokat és fájlhelyeket szabad elérniük, amelyek a szerepükhöz szükségesek.

Szándékosan határozza meg a csoport- és felhasználói hozzárendeléseket

A rendszergazdáknak el kell különíteniük a tanárok, a nyilvántartó, a pénzügy, az IT támogatás és a hallgatói hozzáférési profilokat. Ezek a különböző csoportok eltérő szintű és területű hozzáférést kaphatnak, és mindegyik esetében a jogosultságokat továbbra is az igények, a használat és a felelősség szerint kell alakítani.

Távsegítség és IT-adminisztráció

A távoli támogatás FERPA-kitettséget okozhat, még akkor is, ha a támogató technikus nem szándékozik megtekinteni a diákok nyilvántartásait. Egy technikus láthat egy diáknyilvántartást, miközben egy munkatársnak segít, vagy egy felügyelet nélküli karbantartási munkamenet megnyithat egy asztalt, ahol érzékeny adatok már láthatóak. Következésképpen:

• Ezért a támogatási munkafolyamatokat a beleegyezés, a célkorlátozás és a minimális láthatóság köré kell tervezni.
• Amikor a felhasználók előre figyelmeztethetők egy beavatkozásra, ezt meg kell tenni, hogy bezárhassák a bizalmas dokumentumokat, fájlokat és alkalmazásokat.
• Hasonlóképpen, amikor lehetséges, az IT csapatoknak le kell zárniuk a hallgatói információs rendszereket, mielőtt a támogatás megkezdődik, hacsak másként nem rendelkeznek, kerülniük kell a felesleges képernyőfelvételt, és dokumentálniuk kell a támogatási hozzáférést, ha az oktatási nyilvántartások láthatóak.

FERPA Felelősségek Iskolák és Szállítók Számára

A FERPA megfelelőség intézményi felelősség. A szoftver támogathatja az ellenőrzéseket, de az iskola határozza meg a politikákat, a felhasználói szerepeket, a szerződéseket, a hozzáférési szabályokat és az elfogadható használatot.

Iskolai IT csapatok felelősségei

Az iskolai IT csapatoknak a FERPA-t működési ellenőrzésekké kell alakítaniuk. A távoli hozzáférési környezetekben ez erős hitelesítést, szerepkör alapú hozzáférést, biztonságos szállítást, megfigyelést, felhasználói képzést és beszállítói irányítást jelent.

A FERPA megköveteli az iskoláktól, hogy nyilvántartsák a hozzáférési kérelmeket és a személyesen azonosítható információk nyilvánosságra hozatalát az oktatási nyilvántartásokból, beleértve az érintett feleket és azok jogos érdekeit. Ez fontos auditálhatóságot biztosít minden olyan rendszer számára, amely érinti a diáknyilvántartásokat.

Szoftvergyártók felelősségei

A szolgáltatóknak nem szabad a FERPA-t termékjelvényként kezelniük. Az Egyesült Államok Oktatási Minisztériuma kifejezetten útmutatást nyújt a harmadik fél szolgáltatók, szállítók és vállalkozók számára, akik oktatási adatokat kezelnek az iskolák számára.

Egy FERPA-összhangú használatot támogató szolgáltatónak segítenie kell az ügyfeleket a biztonságos hozzáférés konfigurálásában, a szükségtelen adatfeldolgozás korlátozásában, a hitelesítési adatok védelmében, a releváns ellenőrzések dokumentálásában és a jogosulatlan újra közzététel elkerülésében. A szerződéseknek meg kell határozniuk engedélyezett használat, titoktartás, alvállalkozók, adatok törlése vagy visszaadása, támogatási hozzáférés és incidens értesítés.

Vedd a kezedbe a megfelelőségi döntéseidet

Ez a cikk technikai és operatív útmutatást nyújt az IT csapatok számára, és arra törekszik, hogy alapvető ismeretekkel lásson el, amelyek segítenek a diákokkal kapcsolatos információk védelmének biztosításában. Semmilyen módon nem tekinthető jogi tanácsadásnak. Az iskoláknak, kerületeknek és egyetemeknek megfelelően érvényesíteniük kell a FERPA szabályozásokat, tisztázniuk kell az értelmezéseket, finomítaniuk kell a beszállítói megállapodásokat, és meghatározniuk kell a nyilvánosságra hozatal gyakorlatait képzett jogi tanácsadóval vagy adatvédelmi tisztviselővel.

Más diák- és gyermekvédelmi szabályozások, amelyeket érdemes ismerni

Az Egyesült Államok szabályozása szélesebb online hatókörrel:

Bár a FERPA az Egyesült Államokra összpontosít, az oktatási IT csapatok gyakran szélesebb adatvédelmi keretek között működnek. A COPPA a 13 év alatti gyermekeknek szóló weboldalak vagy online szolgáltatások üzemeltetőire vonatkozik, vagy azokra az üzemeltetőkre, akik tudomással bírnak arról, hogy személyes adatokat gyűjtenek 13 év alatti gyermekektől.

A Tanulói Jogok Védelméről Szóló Módosítás, vagyis PPRA, egy másik amerikai diákok adatvédelmét védő törvény, amelyet az Egyesült Államok Oktatási Minisztériuma irányít. A Minisztérium a FERPA-t és a PPRA-t az általa irányított és érvényesített diákok adatvédelmi törvényeként azonosítja.

Globális irányelvek az UNICEF-től:

2024-ben az UNICEF ECA regionális irodája egy gyakorlati négy részből álló jelentést tett közzé a iskolai adatvédelem elérhető PDF formátumban. Az 1. rész felvázolja a helyzetet, a 2. rész pedig globálisan foglalkozik az adatvédelemmel és a magánélet védelmével az adatok gyűjtése és feldolgozása során, valamint a folyamat során a megfelelőség biztosításával. Tartalmazzák a kötelezettségeket, irányelveket és lépéseket, amelyek a kulcsfontosságú szempontok és a kapcsolódó intézkedések köré épülnek.

Közben a 3. és 4. rész a technológia által támogatott tanítással és tanulással, valamint a kiberbiztonsági intézkedésekkel foglalkozik. Az utóbbi területek közvetlenül kapcsolódnak az adatok távoli eléréséhez és feldolgozásához, figyelembe veendő szempontokkal és cselekvési lehetőségekkel is.

Európa és a GDPR

A globális oktatási programok esetében az Európai Unió Általános Adatvédelmi Rendelete (GDPR) konkrét védelmi intézkedéseket tartalmaz a gyermekek személyes adatainak védelme érdekében. Az Európai Bizottság elmagyarázza, hogy a szülői vagy gondviselői hozzájárulásra lehet szükség egy olyan életkorhatárig, amely a tagállamtól függően 13 és 16 év között változik.

Országonkénti szabályozások

A világ különböző országaiban az online-specifikus szabályozások kereteket állítanak fel a fiatal közönségnek szóló szolgáltatások számára. Két példa:

• Az Egyesült Királyság ICO Korosztályhoz Illeszkedő Tervezési Kódexe, amely 15 szabványt állapít meg az online szolgáltatásokra, amelyeket valószínűleg gyermekek fognak igénybe venni. A kód hangsúlyozza a beépített védelmet és a gyermek legjobb érdekeit a szolgáltatás tervezésében.
• A francia oktatási minisztérium kiadványai a zaklatás visszaszorítására irányuló lépésekről vagy a diákadatok védelmét szolgáló irányelvekről a napi iskolai tevékenységek közepette.

FERPA Távhozzáférési Ellenőrzőlista Iskolák Számára

A távoli hozzáférés bővítése előtt olyan rendszerekhez, amelyek diáknyilvántartásokat tartalmazhatnak, az iskolai IT csapatoknak meg kell erősíteniük a következő ellenőrzéseket.

1. Biztosítani kell, hogy a tudás eljusson az alapvető dolgokhoz, mint például a pszeudonimok, mozaikszavak és egyéb azonosítási módszerek használata, ahol lehetséges, valamint a bonyolult, megfelelőségi jelszavak.
2. Azonosítsa be, hogy mely távoli alkalmazások és asztalok tudják megjeleníteni az oktatási nyilvántartásokat.
3. Vásároljon alkalmazásokat és harmadik fél szolgáltatókat, és használja azokat, amelyeket a legbiztonságosabbnak hagytak jóvá.
4. Térképezze fel a felhasználói csoportokat a jogos oktatási érdekekhez.
5. Kényszerítse a többtényezős hitelesítést a személyzet, az adminisztrátorok és a külső támogatási felhasználók számára.
6. Tervezze meg és rendszeresen ellenőrizze a csoportokat, felhasználókat, azok igényeit és a megengedett alkalmazásokat vagy hozzáférési területeket.
7. Csak azokat az alkalmazásokat publikálja, amelyekre az egyes felhasználói csoportoknak szüksége van.
8. Tiltsa le a felesleges vágólap, fájlátvitel és nyomtatási funkciókat, ahol lehetséges.
9. Korlátozza a távoli hozzáférést IP-cím, ország, szerep vagy munkamódszer (idők) alapján, ha szükséges.
10. Kerülje el a diáknyilvántartások szükségtelen helyi letöltését személyes eszközökre.
11. A diákadatokat tartalmazó rendszerekhez való hozzáférés naplózása.
12. Ellenőrizze a szállítói megállapodásokat a FERPA használatára, az újra közzétételi és törlési záradékokra vonatkozóan.
13. Képezze ki a tanárokat, a személyzetet és a támogató csapatokat a biztonságos távoli hozzáférési magatartásra.
14. Rendszeresen tájékoztassa a felhasználókat a kiberkockázatokról és arról, hogyan védjék meg az adatokat.

Ez a ellenőrző lista nem helyettesíti a FERPA megfelelőségi programot. Inkább gyakorlati alapot ad az IT csapatoknak az elkerülhető kitettség csökkentésére a távoli hozzáférés és a távoli támogatási munkafolyamatokban.

Hogyan támogatja a TSplus a FERPA-összhangú Remote Access-t

A TSplus egy biztonságos távoli hozzáférést és infrastruktúra védelmet nyújtó platformot biztosít, amely segít az iskoláknak a FERPA-összhangú ellenőrzések végrehajtásában. Azonban félrevezető lenne azt gondolni, hogy a szoftver önmagában megfelelőséget biztosít egy intézmény számára. Helyesen megvalósítva és használva, az olyan szoftverek, mint a TSplus csomag, segítenek az iskoláknak érvényesíteni a hozzáférési, hitelesítési, megfigyelési és megerősítési ellenőrzéseket a FERPA-tudatos működés támogatására.

TSplus Advanced Security

360° kiber védelem alkalmazás szerverek számára

A TSplus Advanced Security a legfontosabb biztonsági termékünk. Valójában részben a FERPA távoli hozzáférés a szerver védelmétől és a hozzáférés korlátozásától függ. A TSplus Advanced Security az alkalmazás szerver biztonságára lett kifejlesztve, ezért egy 360°-os védelmet nyújt a frontvonalban a fenyegetésekkel szemben. Brute Force Protection például, egy olyan funkció, amely figyeli a Windows hibás bejelentkezési kísérleteit, és automatikusan blokkolja a problémás IP-címeket ismételt hibák után.

Robusztus biztonsági funkciók

Oktatási környezetekben ez segít csökkenteni a jogosulatlan hozzáférési kísérletek kockázatát a nyilvános távoli hozzáférési infrastruktúrával szemben. Az iskolák a Földrajzi Védelem funkciót is használhatják, hogy csak kiválasztott országokból engedélyezzék a távoli hozzáférést, vagy IP-korlátozást alkalmazhatnak a magán és fehérlistás IP-címekhez való hozzáférés korlátozására.

FERPA-nak megfelelő konfigurációk

Ajánlott FERPA-tudatos konfigurációk közé tartozik a Brute Force Protection engedélyezése, a földrajzi hozzáférés korlátozása, amikor ez indokolt, az IP whitelist fenntartása az adminisztratív hozzáféréshez és a használata Ransomware védelem a szélesebb körű szerver megerősítés részeként.

TSplus Távhozzáférés

Oktatási használat

A TSplus Remote Access segíti az iskolákat, hogy Windows alkalmazásokat és asztalokat tegyenek közzé pedagógusok, diákok és IT munkatársak számára. Oktatási megoldásként biztonságos, többfelhasználós Remote Desktop Access-t és Application Delivery-t biztosít oktatási és akadémiai környezetek számára.

A FERPA-hoz igazított ellenőrzések alkalmazása

A FERPA szempontjából az érték a korlátozott hozzáférés. Ahelyett, hogy minden felhasználónak széleskörű hozzáférést biztosítanának egy teljes munkaállomáshoz vagy hálózathoz, az IT csapatok csak a szükséges alkalmazásokat tehetik közzé. Egy tanár hozzáférést kaphat egy jegykezelő alkalmazáshoz, míg egy nyilvántartó hozzáférést kap a hallgatói nyilvántartó szoftverhez, és egy hallgató csak egy laboratóriumi alkalmazást kap. A csoportok és felhasználók finomhangolhatóak, még az időpontjaik és eszközeik szintjén is.

MFA és bejelentkezési biztonság

A szoftver támogatja a kétfaktoros hitelesítést a Web portálhoz, beleértve a HTML5 és RemoteApp kapcsolatokat. Az MFA-val rendelkező felhasználók számára dokumentációnk kiemeli, hogy a standard Microsoft Remote Desktop kliens kapcsolatok elutasításra kerülnek, ami biztonságosabb webalapú hozzáférési mintákat támogat.

TSplus Szerver Figyelés

A FERPA nemcsak a hozzáférés blokkolásáról szól. Arról is szól, hogy láthatóságot biztosítunk azokba a rendszerekbe, ahol a diákok adatai feldolgozásra kerülhetnek. A TSplus Server Monitoring történeti és valós idejű adatokat nyújt a szerverekről, weboldalakról, alkalmazásokról és felhasználókról, valós idejű jelentésekkel és figyelmeztetésekkel a távoli munkainfrastruktúrához.

Az oktatási IT csapatok számára a megfigyelés segíthet a túlterhelt szerverek, szokatlan használati minták, teljesítményproblémák és a távoli tanulást vagy adminisztratív rendszereket érintő elérhetőségi problémák észlelésében. A megfigyelés önmagában nem bizonyítja a FERPA megfelelést, de támogatja a felelősségvállalást és a működési ellenállóságot.

TSplus Remote Support

TSplus Remote Support személyre szabott és személytelen távoli segítséget nyújt csapatok és ügyfelek számára. A TSplus támogatja a távoli asztali vezérlést, a képernyőmegosztást, a személyes segítséget, a személytelen karbantartást és a távoli képzést.

A FERPA-tudatos támogatás érdekében az iskoláknak úgy kell konfigurálniuk a támogatási munkafolyamatokat, hogy a technikusok csak a szükséges információkhoz férjenek hozzá, és csak azt láthassák, amire szükségük van. A diákok információinak láthatósága esetén a felügyelt ülések előnyösebbek lehetnek. A felügyelet nélküli hozzáférést korlátozni kell a kezelt eszközökre, a dokumentált célokra és az engedélyezett karbantartási időszakokra.

TSplus Fejlesztési Etika és Pozicionálás

A FERPA megfelelőség az oktatási intézményhez tartozik, amelyet jogi megállapodások, belső politikák és technikai védelmek támogatnak. A TSplus szoftver segít biztosítani ezeket a védelmeket termékeivel és szolgáltatásaival: biztonságos távoli hozzáférés, szerver megerősítés, hálózati megfigyelés és ellenőrzött támogatás.

A fejlesztési etika szempontjából a tervezés általi adatvédelem, az adatok minimalizálása és az ügyfélkontroll középpontban áll. A távoli hozzáférési szoftvernek el kell kerülnie a szükségtelen hozzáférést a diákok tartalmához, lehetőségeket kell adnia az adminisztrátoroknak a konfigurációs beállításokra, támogatnia kell a biztonságos alapértelmezett beállításokat, és meg kell könnyítenie az iskolák számára a legkisebb jogosultság alkalmazását.

A TSplus robusztus, gondosan kidolgozott termékeivel célja, hogy segítsen az iskolai IT-adminisztrátoroknak és a felsőoktatási csapatoknak csökkenteni a FERPA-kockázatot, miközben a távoli hozzáférést gyakorlatiasan tartja.

Következtetés

A FERPA, az Egyesült Államok oktatási törvénye védi a diákok oktatási nyilvántartásait, és közvetlen hatással van arra, hogyan kezelik az iskolák a távoli hozzáférést, a távoli támogatást és a harmadik fél szoftvereket. Az IT csapatok számára a FERPA az azonosítást, a legkisebb jogosultságot, a biztonságos munkameneteket, a nyomon követhetőséget, a beszállítói irányítást és a fegyelmezett támogatási munkafolyamatokat jelenti.

TSplus Advanced Security és valóban az egész TSplus szoftverkínálat segíthet az iskoláknak biztonságosabb távoli hozzáférési környezetek kialakításában, miközben teret ad az intézményeknek, hogy minden beállítást a saját specifikus igényeikhez és használatukhoz igazítsanak. A végső FERPA megfelelőség minden intézmény politikáitól, konfigurációjától, szerződéseitől és jogi felülvizsgálatától függ. Próbálja ki ingyen a TSplus-t, és fedezze fel, hogyan támogatják a FERPA megfelelőségi intézkedéseket nagymértékben olyan egyszerű, sokoldalú eszközök, mint a TSplus szoftver.