FERPA Hukum Pendidikan AS: Panduan untuk Mengamankan Akses Jarak Jauh

Hukum pendidikan FERPA AS melindungi catatan pendidikan siswa dan membentuk cara sekolah mengelola akses digital, pekerjaan jarak jauh, dan perangkat lunak pihak ketiga. Bagi admin TI sekolah dan tim TI pendidikan tinggi, FERPA bukan hanya kebijakan catatan. Ini juga masalah kontrol akses manajemen vendor dan privasi data.

Apa itu Hukum Pendidikan FERPA AS?

FERPA adalah singkatan dari Undang-Undang Hak Pendidikan Keluarga dan Privasi Ini adalah undang-undang privasi pendidikan federal AS yang melindungi privasi catatan pendidikan siswa. Departemen Pendidikan AS menerbitkan peraturan FERPA di bawah 34 CFR Bagian 99 dari Undang-Undang Ketentuan Pendidikan Umum (GEPA). Mereka mendefinisikan hak, aturan pengungkapan, dan kewajiban kepatuhan untuk lembaga pendidikan yang tercakup. Dengan kata lain, undang-undang federal AS tahun 1974 ini mengatur akses ke informasi dan catatan pendidikan oleh entitas publik seperti orang tua, siswa, dan lembaga.

Apa itu singkatan dari FERPA?

FERPA berarti Undang-Undang Hak Pendidikan Keluarga dan Privasi Dalam praktiknya, FERPA memberikan hak kepada orang tua dan siswa yang memenuhi syarat atas catatan pendidikan. Siswa yang memenuhi syarat umumnya adalah siswa yang telah mencapai usia 18 tahun atau menghadiri institusi pasca-sekolah menengah, di mana hak FERPA berpindah dari orang tua ke siswa.

Untuk tim TI, poin yang paling penting adalah sederhana: FERPA berlaku ketika suatu sistem menyimpan, menampilkan, mentransmisikan, atau memberikan akses kepada informasi yang dapat diidentifikasi secara pribadi dari catatan pendidikan.

Siapa yang Dikenakan FERPA?

FERPA berlaku untuk lembaga pendidikan dan institusi yang menerima dana di bawah program-program yang berlaku dari Departemen Pendidikan AS. Ini mencakup banyak sekolah K-12, distrik sekolah, perguruan tinggi, dan universitas.

FERPA tidak berlaku untuk setiap perusahaan yang menggunakan data pendidikan. Namun, vendor perangkat lunak dapat terlibat dalam kewajiban FERPA ketika bertindak sebagai pejabat sekolah, kontraktor, konsultan, atau penyedia layanan yang dialihdayakan untuk institusi yang tercakup. Di bawah pengecualian pejabat sekolah, kontraktor dapat mengakses catatan pendidikan hanya ketika melakukan layanan institusi, tetap di bawah kendali langsung sekolah, dan mengikuti batasan FERPA tentang penggunaan dan pengungkapan kembali.

Data Mahasiswa Apa yang Dilindungi oleh FERPA?

Rekaman pendidikan

FERPA melindungi catatan pendidikan yang secara langsung terkait dengan seorang siswa dan dikelola oleh lembaga pendidikan, institusi, atau pihak yang bertindak untuk lembaga atau institusi tersebut. Dalam lingkungan akses jarak jauh, informasi yang dilindungi dapat mencakup nilai, transkrip, catatan kehadiran, berkas disiplin, pengenal siswa, daftar kelas, catatan bantuan keuangan, dan catatan dalam sistem informasi siswa.

Informasi pribadi lainnya

FERPA juga mencakup informasi yang dapat diidentifikasi secara pribadi dari catatan pendidikan. Ini penting karena alat akses jarak jauh mungkin tidak menyimpan catatan siswa secara langsung, tetapi mereka masih dapat mengekspos data siswa melalui layar, file, tindakan clipboard, pekerjaan cetak, log, tangkapan layar, atau sesi dukungan.

Mengapa FERPA Penting untuk Remote Access?

Akses jarak jauh memperluas di mana sistem pendidikan dapat digunakan. Guru dapat terhubung dari rumah, administrator dapat mengakses sistem informasi siswa dari luar kampus, dan tim TI dapat memecahkan masalah perangkat yang digunakan di kelas, laboratorium, atau program pembelajaran jarak jauh.

Fleksibilitas seperti ini menimbulkan pertanyaan FERPA: siapa yang dapat mengakses catatan siswa, dari mana, melalui alat apa, dan untuk tujuan apa?

Rekaman Pendidikan dalam Sesi Jarak Jauh

Mengidentifikasi rute utama risiko dan kontrol

Sesi desktop jarak jauh dapat menampilkan data sensitif yang sama seperti workstation di kampus. Jika seorang guru membuka buku nilai melalui sesi jarak jauh, sesi tersebut dapat mengekspos informasi yang dilindungi oleh FERPA. Jika seorang administrator mengunduh laporan ke perangkat yang tidak dikelola, risikonya berpindah dari akses server yang terkontrol ke penyebaran data lokal.

Kerangka kerja hak akses minimum

FERPA mengharuskan sekolah untuk menggunakan metode yang wajar untuk mengidentifikasi dan mengautentikasi pihak-pihak yang menerima akses ke informasi yang dapat diidentifikasi secara pribadi dari catatan pendidikan. Ini juga mengharuskan metode yang wajar untuk memastikan bahwa pejabat sekolah hanya mengakses catatan yang memiliki kepentingan pendidikan yang sah.

Menyelaraskan Autentikasi dan Akses untuk Mengurangi Risiko Pengungkapan

Kesadaran dan pencegahan

Masalah keamanan akses jarak jauh biasanya berasal dari otentikasi yang lemah, izin yang luas, titik akhir yang tidak dikelola, dan layanan yang terekspos. Paparan langsung layanan desktop jarak jauh ke Internet juga dapat meningkatkan risiko serangan brute-force dan pengisian kredensial.

Ketika ragu, pilihlah hak akses paling sedikit

Untuk penerapan yang memperhatikan FERPA, tim TI sekolah harus menyelaraskan akses jarak jauh dengan prinsip hak akses minimum. Pengguna hanya boleh mengakses aplikasi, desktop, dan lokasi file yang diperlukan untuk peran mereka.

Secara sengaja mendefinisikan penugasan grup dan pengguna

Administrator juga harus memisahkan profil akses guru, pendaftar, keuangan, dukungan TI, dan siswa. Kelompok-kelompok yang berbeda ini dapat menerima tingkat dan area akses yang berbeda, dan di dalam masing-masing, otorisasi harus tetap disesuaikan dengan kebutuhan, penggunaan, dan tanggung jawab.

Dukungan Jarak Jauh dan Administrasi TI

Dukungan jarak jauh dapat menciptakan paparan FERPA bahkan ketika teknisi dukungan tidak berniat untuk melihat catatan siswa. Seorang teknisi mungkin melihat catatan siswa saat membantu anggota staf, atau sesi pemeliharaan yang tidak terawasi dapat membuka desktop di mana data sensitif sudah terlihat. Akibatnya:

• Oleh karena itu, alur kerja dukungan harus dirancang berdasarkan persetujuan, pembatasan tujuan, dan visibilitas minimal.
• Setiap kali pengguna dapat diperingatkan tentang intervensi, ini harus dilakukan agar mereka dapat menutup dokumen, file, dan aplikasi yang sensitif.
• Demikian pula, jika memungkinkan, tim TI harus menutup sistem informasi siswa sebelum dukungan dimulai kecuali ditentukan lain, menghindari perekaman layar yang tidak perlu dan mendokumentasikan akses dukungan jika catatan pendidikan terlihat.

Tanggung Jawab FERPA untuk Sekolah dan Vendor

Kepatuhan FERPA adalah tanggung jawab institusi. Perangkat lunak dapat mendukung kontrol, tetapi sekolah menentukan kebijakan, peran pengguna, kontrak, aturan akses, dan penggunaan yang dapat diterima.

Tanggung jawab untuk Tim TI Sekolah

Tim IT sekolah harus menerjemahkan FERPA ke dalam kontrol operasional. Dalam lingkungan akses jarak jauh, itu berarti otentikasi yang kuat, akses berbasis peran, transportasi yang aman, pemantauan, pelatihan pengguna, dan tata kelola vendor.

FERPA mengharuskan sekolah untuk menyimpan catatan permintaan akses dan pengungkapan informasi yang dapat diidentifikasi secara pribadi dari catatan pendidikan, termasuk pihak-pihak yang terlibat dan kepentingan sah mereka. Hal ini menjadikan auditabilitas penting untuk setiap sistem yang berhubungan dengan catatan siswa.

Tanggung Jawab untuk Vendor Perangkat Lunak

Vendor tidak boleh menganggap FERPA sebagai lencana produk. Departemen Pendidikan AS memberikan panduan khusus untuk penyedia layanan pihak ketiga, vendor, dan kontraktor yang menangani data pendidikan untuk sekolah.

Vendor yang mendukung penggunaan yang sesuai dengan FERPA harus membantu pelanggan mengonfigurasi akses yang aman, membatasi pemrosesan data yang tidak perlu, melindungi kredensial, mendokumentasikan kontrol yang relevan, dan menghindari pengungkapan kembali yang tidak sah. Kontrak harus mendefinisikan penggunaan yang diizinkan, kerahasiaan, subkontraktor, penghapusan atau pengembalian data, akses dukungan dan pemberitahuan insiden.

Kendalikan Keputusan Kepatuhan Anda

Artikel ini memberikan panduan teknis dan operasional untuk tim TI dan bertujuan untuk membekali Anda dengan dasar-dasar untuk menavigasi pengamanan sistem terkait informasi siswa. Ini tidak dapat dianggap sebagai nasihat hukum. Sekolah, distrik, dan universitas harus memvalidasi peraturan FERPA dengan tepat, memperjelas interpretasi, memperbaiki perjanjian vendor, dan mendefinisikan praktik pengungkapan dengan penasihat hukum yang berkualitas atau petugas privasi.

Regulasi Privasi Siswa dan Anak Lain yang Perlu Diketahui

Regulasi AS dengan cakupan online yang lebih luas:

Meskipun FERPA berfokus pada AS, tim TI pendidikan sering beroperasi di bawah kerangka privasi yang lebih luas. COPPA berlaku untuk operator situs web atau layanan online yang ditujukan untuk anak-anak di bawah 13 tahun, atau operator yang memiliki pengetahuan nyata bahwa mereka mengumpulkan informasi pribadi dari anak-anak di bawah 13 tahun.

Perlindungan Amandemen Hak Siswa, atau PPRA, adalah undang-undang privasi siswa AS lainnya yang dikelola oleh Departemen Pendidikan AS. Departemen mengidentifikasi FERPA dan PPRA sebagai undang-undang privasi siswa yang dikelolanya dan ditegakkannya.

Arahan global dari UNICEF:

Pada tahun 2024, kantor regional UNICEF untuk ECA menerbitkan laporan praktis empat bagian tentang perlindungan data di sekolah tersedia sebagai PDF. Bagian 1 menetapkan latar belakang dan bagian 2 secara global berkaitan dengan perlindungan data dan privasi saat mengumpulkan dan memproses serta selama proses memastikan kepatuhan. Mereka mencakup kewajiban, pedoman, dan langkah-langkah yang ditetapkan seputar pertimbangan kunci dan tindakan terkait.

Sementara itu, bagian 3 dan 4 berfokus pada pengajaran dan pembelajaran yang didukung teknologi serta pada kontrol keamanan siber. Area terakhir secara langsung terkait dengan akses jarak jauh dan pemrosesan data, dengan poin-poin pertimbangan dan tindakan yang juga disorot.

Eropa dan GDPR

Untuk program pendidikan global, Peraturan Perlindungan Data Umum Uni Eropa (GDPR) mencakup langkah-langkah perlindungan khusus untuk data pribadi anak-anak. Komisi Eropa menjelaskan bahwa persetujuan orang tua atau wali mungkin diperlukan hingga batas usia yang bervariasi antara 13 dan 16 tergantung pada Negara Anggota.

Regulasi berdasarkan negara

Di negara-negara di seluruh dunia, regulasi khusus online menetapkan kerangka untuk layanan yang ditujukan kepada publik muda. Dua contoh:

• Kode Desain yang Sesuai Usia ICO Inggris, yang menetapkan 15 standar untuk layanan online yang kemungkinan diakses oleh anak-anak. Kode ini menekankan perlindungan yang terintegrasi dan kepentingan terbaik anak dalam desain layanan.
• Publikasi dari departemen pendidikan Prancis mengenai langkah-langkah untuk mengatasi perundungan atau pedoman untuk melindungi data siswa di tengah kegiatan sekolah sehari-hari.

Daftar Periksa Akses Jarak Jauh FERPA untuk Sekolah

Sebelum memperluas akses jarak jauh ke sistem yang mungkin berisi catatan siswa, tim TI sekolah harus mengonfirmasi kontrol berikut.

1. Pastikan pengetahuan disebarluaskan tentang hal-hal penting seperti menggunakan nama samaran, akronim, dan cara lain untuk identifikasi jika memungkinkan serta kata sandi yang kompleks dan sesuai.
2. Identifikasi aplikasi dan desktop jarak jauh mana yang dapat menampilkan catatan pendidikan.
3. Vet aplikasi dan vendor pihak ketiga dan gunakan yang disetujui sebagai yang paling aman.
4. Peta kelompok pengguna ke kepentingan pendidikan yang sah.
5. Terapkan otentikasi multi-faktor untuk staf, administrator, dan pengguna dukungan eksternal.
6. Rencanakan dan audit secara teratur kelompok, pengguna, kebutuhan mereka, serta aplikasi atau area akses yang diizinkan.
7. Terbitkan hanya aplikasi yang dibutuhkan oleh setiap kelompok pengguna.
8. Nonaktifkan fitur clipboard, transfer file, dan pencetakan yang tidak perlu jika memungkinkan.
9. Batasi akses jarak jauh berdasarkan alamat IP, negara, peran, atau pola kerja (waktu) jika diperlukan.
10. Hindari unduhan lokal yang tidak perlu dari catatan siswa ke perangkat pribadi.
11. Akses log ke sistem yang berisi data siswa.
12. Tinjau perjanjian vendor untuk penggunaan FERPA, klausul redisclosure, dan penghapusan.
13. Latih guru, staf, dan tim dukungan tentang perilaku akses jarak jauh yang aman.
14. Secara teratur meningkatkan kesadaran pengguna tentang risiko siber dan cara menjaga data tetap aman.

Checklist ini tidak menggantikan program kepatuhan FERPA. Sebaliknya, ini memberikan tim TI dasar praktis untuk mengurangi paparan yang dapat dihindari dalam alur kerja akses jarak jauh dan dukungan jarak jauh.

Bagaimana TSplus Mendukung Akses Jarak Jauh yang Sesuai dengan FERPA

TSplus menyediakan platform akses jarak jauh yang aman dan perlindungan infrastruktur yang membantu sekolah menerapkan kontrol yang sesuai dengan FERPA. Namun, akan menyesatkan untuk berpikir bahwa perangkat lunak saja membuat suatu institusi patuh. Jika diterapkan dan digunakan dengan benar, perangkat lunak seperti suite TSplus membantu sekolah menegakkan kontrol akses, otentikasi, pemantauan, dan penguatan untuk mendukung operasi yang sadar akan FERPA.

TSplus Advanced Security

perlindungan siber 360° untuk server aplikasi

TSplus Advanced Security adalah produk keamanan terdepan kami. Memang, sebagian, akses jarak jauh FERPA bergantung pada perlindungan server dan pembatasan akses. TSplus Advanced Security dikembangkan untuk keamanan server aplikasi dan karenanya merupakan penjaga 360° di garis depan melawan ancaman. Perlindungan Brute Force misalnya, adalah fitur yang memantau upaya login Windows yang gagal dan secara otomatis memblokir alamat IP yang melanggar setelah kegagalan berulang.

Fitur keamanan yang kuat

Untuk lingkungan pendidikan, ini membantu mengurangi risiko upaya akses tidak sah terhadap infrastruktur akses jarak jauh yang terekspos. Sekolah juga dapat menggunakan Perlindungan Geografis untuk mengizinkan akses jarak jauh hanya dari negara-negara terpilih atau menggunakan pembatasan IP untuk membatasi akses ke alamat IP pribadi dan yang telah diizinkan.

Konfigurasi untuk memenuhi FERPA

Konfigurasi yang disarankan yang memperhatikan FERPA termasuk mengaktifkan Perlindungan Brute Force, membatasi akses secara geografis jika perlu, mempertahankan daftar putih IP untuk akses administratif dan menggunakan Perlindungan Ransomware sebagai bagian dari penguatan server yang lebih luas.

TSplus Remote Access

Penggunaan pendidikan

TSplus Remote Access membantu sekolah menerbitkan aplikasi Windows dan desktop untuk pendidik, siswa, dan staf TI. Sebagai solusi pendidikan, ini menyediakan Akses Remote Desktop dan Pengiriman Aplikasi yang aman dan multi-pengguna untuk lingkungan pendidikan dan akademik.

menerapkan kontrol yang disesuaikan dengan FERPA

Dari sudut pandang FERPA, nilai tersebut adalah akses yang terkontrol. Alih-alih memberikan setiap pengguna akses luas ke workstation atau jaringan penuh, tim TI dapat menerbitkan hanya aplikasi yang diperlukan. Seorang guru mungkin menerima akses ke aplikasi buku nilai, sementara seorang pendaftar menerima akses ke perangkat lunak catatan siswa dan seorang siswa hanya menerima aplikasi laboratorium. Grup dan pengguna dapat dikonfigurasi pada tingkat yang terperinci, bahkan sesuai dengan waktu dan perangkat mereka.

MFA dan keamanan masuk

Perangkat lunak ini juga mendukung otentikasi dua faktor untuk portal Web, termasuk koneksi HTML5 dan RemoteApp. Untuk pengguna dengan MFA yang diaktifkan, dokumentasi kami menyoroti bahwa koneksi klien Microsoft Remote Desktop standar ditolak, yang mendukung pola akses berbasis web yang lebih aman.

TSplus Server Monitoring

FERPA tidak hanya tentang memblokir akses. Ini juga tentang mempertahankan visibilitas ke dalam sistem di mana data siswa dapat diproses. TSplus Server Monitoring menyediakan data historis dan waktu nyata tentang server, situs web, aplikasi, dan pengguna, dengan laporan dan peringatan waktu nyata untuk infrastruktur kerja jarak jauh.

Untuk tim IT pendidikan, pemantauan dapat membantu mendeteksi server yang kelebihan beban, pola penggunaan yang tidak biasa, masalah kinerja, dan isu ketersediaan yang mempengaruhi pembelajaran jarak jauh atau sistem administratif. Pemantauan tidak membuktikan kepatuhan FERPA dengan sendirinya, tetapi mendukung akuntabilitas dan ketahanan operasional.

TSplus Remote Support

TSplus Remote Support menyediakan bantuan jarak jauh yang dihadiri dan tidak dihadiri untuk tim dan klien. TSplus mendukung kontrol desktop jarak jauh, berbagi layar, bantuan yang dihadiri, pemeliharaan tidak dihadiri, dan pelatihan jarak jauh.

Untuk dukungan yang memperhatikan FERPA, sekolah harus mengonfigurasi alur kerja dukungan sehingga teknisi mengakses semua yang diperlukan namun hanya apa yang mereka butuhkan. Sesi yang dihadiri mungkin lebih disukai ketika informasi siswa mungkin terlihat. Akses yang tidak diawasi harus dibatasi pada perangkat yang dikelola, tujuan yang didokumentasikan, dan jendela pemeliharaan yang diotorisasi.

Etika dan Posisi Pengembangan TSplus

Kepatuhan FERPA menjadi tanggung jawab institusi pendidikan, didukung oleh perjanjian hukum, kebijakan internal, dan langkah-langkah teknis. Perangkat lunak TSplus membantu menyediakan langkah-langkah tersebut melalui produk dan layanan: akses jarak jauh yang aman, penguatan server, pemantauan jaringan, dan dukungan yang terkontrol.

Dari perspektif etika pengembangan, privasi berdasarkan desain, minimisasi data, dan kontrol pelanggan adalah hal yang penting. Perangkat lunak akses jarak jauh harus menghindari akses yang tidak perlu ke konten siswa, memberikan pilihan konfigurasi kepada administrator, mendukung pengaturan aman secara default, dan memudahkan sekolah untuk menerapkan prinsip hak akses paling rendah.

Melalui produk yang kuat dan dikembangkan dengan hati-hati, TSplus bertujuan untuk membantu admin TI sekolah dan tim pendidikan tinggi mengurangi risiko FERPA sambil menjaga akses jarak jauh tetap praktis.

Kesimpulan

FERPA adalah undang-undang pendidikan AS yang melindungi catatan pendidikan siswa dan secara langsung mempengaruhi bagaimana sekolah mengelola akses jarak jauh, dukungan jarak jauh, dan perangkat lunak pihak ketiga. Bagi tim TI, FERPA diterjemahkan menjadi otentikasi, hak akses minimal, sesi yang aman, kemampuan audit, tata kelola vendor, dan alur kerja dukungan yang disiplin.

TSplus Advanced Security dan memang seluruh penawaran perangkat lunak TSplus dapat membantu sekolah membangun lingkungan akses jarak jauh yang lebih aman sambil memberikan ruang bagi institusi untuk menyesuaikan setiap pengaturan dengan kebutuhan dan penggunaan spesifik mereka. Kepatuhan akhir terhadap FERPA tergantung pada kebijakan, konfigurasi, kontrak, dan tinjauan hukum masing-masing institusi. Coba TSplus secara gratis dan temukan bagaimana tindakan kepatuhan FERPA sangat didukung oleh alat yang sederhana dan serbaguna seperti perangkat lunak TSplus.