Undang-undang Pendidikan FERPA AS: Panduan untuk Mengamankan Akses Jauh

Undang-undang pendidikan FERPA AS melindungi rekod pendidikan pelajar dan membentuk cara sekolah mengurus akses digital, kerja jarak jauh dan perisian pihak ketiga. Bagi pentadbir IT sekolah dan pasukan IT pendidikan tinggi, FERPA bukan sahaja satu dasar rekod. Ia juga masalah kawalan akses pengurusan vendor dan privasi data.

Apa itu Undang-Undang Pendidikan FERPA AS?

FERPA bermaksud Akta Hak Pendidikan Keluarga dan Privasi Ia adalah undang-undang privasi pendidikan persekutuan A.S. yang melindungi privasi rekod pendidikan pelajar. Jabatan Pendidikan A.S. menerbitkan peraturan FERPA di bawah 34 CFR Bahagian 99 Akta Peruntukan Pendidikan Umum (GEPA). Mereka mentakrifkan hak, peraturan pendedahan dan kewajipan pematuhan untuk institusi pendidikan yang dilindungi. Dengan kata lain, undang-undang persekutuan A.S. 1974 ini mengawal akses kepada maklumat dan rekod pendidikan oleh entiti awam seperti ibu bapa, pelajar dan institusi.

Apa Itu FERPA?

FERPA bermaksud Akta Hak Pendidikan Keluarga dan Privasi Dalam praktiknya, FERPA memberikan hak kepada ibu bapa dan pelajar yang layak ke atas rekod pendidikan. Pelajar yang layak biasanya adalah pelajar yang telah mencapai usia 18 tahun atau menghadiri institusi pasca-sekolah menengah, di mana hak FERPA dipindahkan dari ibu bapa kepada pelajar.

Bagi pasukan IT, perkara yang paling penting adalah mudah: FERPA terpakai apabila sistem menyimpan, memaparkan, menghantar atau memberikan akses kepada maklumat peribadi yang boleh dikenalpasti daripada rekod pendidikan.

Siapa yang Terkena FERPA?

FERPA terpakai kepada agensi dan institusi pendidikan yang menerima dana di bawah program yang berkenaan dari Jabatan Pendidikan A.S. Ini termasuk banyak sekolah K-12, daerah sekolah, kolej dan universiti.

FERPA tidak terpakai kepada setiap syarikat yang menggunakan data pendidikan. Walau bagaimanapun, penjual perisian mungkin terlibat dalam kewajipan FERPA apabila ia bertindak sebagai pegawai sekolah, kontraktor, perunding atau penyedia perkhidmatan luar untuk institusi yang dilindungi. Di bawah pengecualian pegawai sekolah, kontraktor hanya boleh mengakses rekod pendidikan apabila ia melaksanakan perkhidmatan institusi, kekal di bawah kawalan langsung sekolah dan mengikuti had FERPA mengenai penggunaan dan pendedahan semula.

Data Pelajar Apa yang Dilindungi oleh FERPA?

Rekod pendidikan

FERPA melindungi rekod pendidikan yang berkaitan secara langsung dengan seorang pelajar dan diselenggarakan oleh agensi pendidikan, institusi atau pihak yang bertindak bagi agensi atau institusi tersebut. Dalam persekitaran akses jauh, maklumat yang dilindungi mungkin termasuk gred, transkrip, rekod kehadiran, fail disiplin, pengenalan pelajar, senarai kelas, rekod bantuan kewangan dan rekod dalam sistem maklumat pelajar.

Maklumat peribadi lain yang boleh dikenalpasti

FERPA juga meliputi maklumat peribadi yang boleh dikenalpasti daripada rekod pendidikan. Ini penting kerana alat akses jauh mungkin tidak menyimpan rekod pelajar secara langsung, tetapi mereka masih boleh mendedahkan data pelajar melalui skrin, fail, tindakan papan klip, kerja cetak, log, tangkapan skrin atau sesi sokongan.

Mengapa FERPA Penting untuk Akses Jauh?

Akses jauh berkembang di mana sistem pendidikan boleh digunakan. Guru boleh menyambung dari rumah, pentadbir boleh mengakses sistem maklumat pelajar dari luar kampus, dan pasukan IT boleh menyelesaikan masalah peranti yang digunakan di bilik darjah, makmal atau program pembelajaran jarak jauh.

Fleksibiliti seperti ini menimbulkan persoalan FERPA: siapa yang boleh mengakses rekod pelajar, dari mana, melalui alat yang mana dan untuk tujuan apa?

Rekod Pendidikan dalam Sesi Jauh

Mengenal pasti laluan utama risiko dan kawalan

Sesi desktop jauh boleh memaparkan data sensitif yang sama seperti stesen kerja di kampus. Jika seorang guru membuka buku gred melalui sesi jauh, sesi tersebut mungkin mendedahkan maklumat yang dilindungi oleh FERPA. Jika seorang pentadbir memuat turun laporan ke peranti yang tidak diurus, risiko berpindah dari akses pelayan yang terkawal kepada penyebaran data tempatan.

Rangka kerja keistimewaan minimum

FERPA memerlukan sekolah untuk menggunakan kaedah yang munasabah untuk mengenal pasti dan mengesahkan pihak yang menerima akses kepada maklumat peribadi yang boleh dikenalpasti daripada rekod pendidikan. Ia juga memerlukan kaedah yang munasabah untuk memastikan bahawa pegawai sekolah hanya mengakses rekod yang mempunyai kepentingan pendidikan yang sah.

Menyelaraskan Pengesahan dan Akses untuk Mengurangkan Risiko Pendedahan

Kesedaran dan pencegahan

Isu keselamatan akses jauh biasanya berpunca dari pengesahan yang lemah, kebenaran yang luas, titik akhir yang tidak diurus dan perkhidmatan yang terdedah. Pendedahan langsung perkhidmatan desktop jauh kepada Internet juga boleh meningkatkan risiko serangan brute-force dan pengisian kelayakan.

Apabila ragu, pilih keistimewaan yang paling rendah

Untuk penyebaran yang peka terhadap FERPA, pasukan IT sekolah harus menyelaraskan akses jauh dengan prinsip hak minimum. Pengguna hanya boleh mengakses aplikasi, desktop dan lokasi fail yang diperlukan untuk peranan mereka.

Secara sengaja menentukan kumpulan dan penugasan pengguna

Pentadbir juga harus memisahkan profil akses guru, pendaftar, kewangan, sokongan IT dan pelajar. Kumpulan yang berbeza ini boleh menerima tahap dan kawasan akses yang berbeza, dan dalam setiap kumpulan, kebenaran masih harus disesuaikan mengikut keperluan, penggunaan dan tanggungjawab.

Sokongan Jauh dan Pentadbiran IT

Sokongan jarak jauh boleh mencipta pendedahan FERPA walaupun juruteknik sokongan tidak berniat untuk melihat rekod pelajar. Seorang juruteknik mungkin melihat rekod pelajar semasa membantu seorang anggota staf, atau sesi penyelenggaraan yang tidak diawasi mungkin membuka desktop di mana data sensitif sudah kelihatan. Oleh itu:

• Oleh sebab itu, aliran kerja sokongan harus direka berdasarkan persetujuan, had tujuan dan keterlihatan minimum.
• Apabila pengguna dapat diberi amaran awal tentang intervensi, ini harus dilakukan supaya mereka dapat menutup dokumen, fail dan aplikasi yang sensitif.
• Begitu juga, apabila mungkin, pasukan IT harus menutup sistem maklumat pelajar sebelum sokongan bermula kecuali jika ditetapkan sebaliknya, mengelakkan rakaman skrin yang tidak perlu dan mendokumentasikan akses sokongan sekiranya rekod pendidikan dapat dilihat.

Tanggungjawab FERPA untuk Sekolah dan Vendor

Kepatuhan FERPA adalah tanggungjawab institusi. Perisian boleh menyokong kawalan, tetapi sekolah menentukan dasar, peranan pengguna, kontrak, peraturan akses dan penggunaan yang boleh diterima.

Tanggungjawab untuk Pasukan IT Sekolah

Pasukan IT sekolah harus menterjemahkan FERPA ke dalam kawalan operasi. Dalam persekitaran akses jauh, itu bermakna pengesahan yang kuat, akses berdasarkan peranan, pengangkutan yang selamat, pemantauan, latihan pengguna dan tadbir urus vendor.

FERPA memerlukan sekolah untuk menyimpan rekod permintaan untuk akses dan pendedahan maklumat peribadi yang boleh dikenalpasti daripada rekod pendidikan, termasuk pihak yang terlibat dan kepentingan sah mereka. Ini menjadikan kebolehan diaudit penting untuk mana-mana sistem yang melibatkan rekod pelajar.

Tanggungjawab untuk Vendor Perisian

Vendor tidak seharusnya menganggap FERPA sebagai lencana produk. Jabatan Pendidikan A.S. memberikan panduan khusus untuk penyedia perkhidmatan pihak ketiga, vendor dan kontraktor yang mengendalikan data pendidikan untuk sekolah.

Seorang vendor yang menyokong penggunaan selaras dengan FERPA harus membantu pelanggan mengkonfigurasi akses yang selamat, mengehadkan pemprosesan data yang tidak perlu, melindungi kelayakan, mendokumentasikan kawalan yang relevan dan mengelakkan pendedahan semula yang tidak dibenarkan. Kontrak harus menentukan penggunaan yang dibenarkan, kerahsiaan, subkontraktor, pemadaman atau pengembalian data, akses sokongan dan pemberitahuan insiden.

Miliki Keputusan Pematuhan Anda

Artikel ini memberikan panduan teknikal dan operasi untuk pasukan IT dan berusaha untuk membekalkan anda dengan asas untuk menavigasi keselamatan sistem berkaitan maklumat pelajar. Ia tidak boleh dianggap sebagai nasihat undang-undang. Sekolah, daerah dan universiti harus mengesahkan peraturan FERPA, menjelaskan tafsiran, memperhalusi perjanjian vendor dan mendefinisikan amalan pendedahan dengan penasihat undang-undang yang berkelayakan atau pegawai privasi.

Peraturan Privasi Pelajar dan Kanak-Kanak Lain yang Perlu Diketahui

Peraturan AS dengan skop dalam talian yang lebih luas:

Walaupun FERPA berpusat di A.S., pasukan IT pendidikan sering beroperasi di bawah rangka kerja privasi yang lebih luas. COPPA terpakai kepada pengendali laman web atau perkhidmatan dalam talian yang ditujukan kepada kanak-kanak di bawah 13 tahun, atau pengendali yang mempunyai pengetahuan sebenar bahawa mereka mengumpul maklumat peribadi daripada kanak-kanak di bawah 13 tahun.

Pindaan Perlindungan Hak Pelajar, atau PPRA, adalah undang-undang privasi pelajar lain di AS yang diuruskan oleh Jabatan Pendidikan AS. Jabatan tersebut mengenal pasti FERPA dan PPRA sebagai undang-undang privasi pelajar yang diurus dan dikuatkuasakan olehnya.

Arahan global daripada UNICEF:

Pada tahun 2024, pejabat wilayah UNICEF untuk ECA menerbitkan laporan praktikal empat bahagian mengenai perlindungan data di sekolah tersedia sebagai PDF. Bahagian 1 menetapkan latar belakang dan bahagian 2 berkaitan secara global dengan perlindungan data dan privasi semasa mengumpul dan memproses serta memastikan pematuhan semasa proses tersebut. Mereka termasuk kewajipan, garis panduan dan langkah-langkah yang ditetapkan berdasarkan pertimbangan utama dan tindakan berkaitan.

Sementara itu, bahagian 3 dan 4 memberi tumpuan kepada pengajaran dan pembelajaran yang diperkasakan oleh teknologi serta kawalan keselamatan siber. Kawasan terakhir berkaitan secara langsung dengan akses jarak jauh dan pemprosesan data, dengan perkara-perkara yang perlu dipertimbangkan dan tindakan yang disorot juga.

Eropah dan GDPR

Untuk program pendidikan global, Peraturan Perlindungan Data Umum (GDPR) Kesatuan Eropah merangkumi langkah-langkah perlindungan khusus untuk data peribadi kanak-kanak. Suruhanjaya Eropah menerangkan bahawa persetujuan ibu bapa atau penjaga mungkin diperlukan sehingga had umur yang berbeza antara 13 dan 16 bergantung kepada Negara Anggota.

Peraturan mengikut negara

Di negara-negara di seluruh dunia, peraturan khusus dalam talian menetapkan rangka kerja untuk perkhidmatan yang ditujukan kepada golongan muda. Dua contoh:

• Kod Reka Bentuk Sesuai Umur ICO UK, yang menetapkan 15 piawaian untuk perkhidmatan dalam talian yang mungkin diakses oleh kanak-kanak. Kod ini menekankan perlindungan terbina dalam dan kepentingan terbaik kanak-kanak dalam reka bentuk perkhidmatan.
• Penerbitan jabatan pendidikan Perancis mengenai langkah-langkah untuk membendung buli atau garis panduan untuk melindungi data pelajar di tengah-tengah aktiviti sekolah harian.

Senarai Semak Akses Jauh FERPA untuk Sekolah

Sebelum memperluas akses jauh ke sistem yang mungkin mengandungi rekod pelajar, pasukan IT sekolah harus mengesahkan kawalan berikut.

1. Pastikan pengetahuan disebarkan tentang perkara asas seperti menggunakan nama samaran, akronim dan cara lain untuk pengenalan jika boleh serta kata laluan yang kompleks dan mematuhi syarat.
2. Kenal pasti aplikasi dan desktop jauh mana yang boleh memaparkan rekod pendidikan.
3. Saring aplikasi dan vendor pihak ketiga dan gunakan yang disetujui sebagai yang paling selamat.
4. Pemetaan kumpulan pengguna kepada kepentingan pendidikan yang sah.
5. Tegakkan pengesahan pelbagai faktor untuk kakitangan, pentadbir dan pengguna sokongan luar.
6. Rancang dan audit secara berkala kumpulan, pengguna, keperluan mereka dan aplikasi atau kawasan akses yang dibenarkan.
7. Hanya terbitkan aplikasi yang diperlukan oleh setiap kumpulan pengguna.
8. Matikan ciri papan klip, pemindahan fail dan pencetakan yang tidak perlu di mana mungkin.
9. Hadkan akses jauh mengikut alamat IP, negara, peranan atau corak kerja (masa) apabila sesuai.
10. Elakkan muat turun rekod pelajar yang tidak perlu ke peranti peribadi.
11. Log akses ke sistem yang mengandungi data pelajar.
12. Semak perjanjian vendor untuk penggunaan FERPA, klausa redisclosure dan penghapusan.
13. Latih guru, kakitangan dan pasukan sokongan mengenai tingkah laku akses jauh yang selamat.
14. Secara berkala meningkatkan kesedaran pengguna tentang risiko siber dan cara untuk menjaga data selamat.

Senarai semak ini tidak menggantikan program pematuhan FERPA. Sebaliknya, ia memberikan pasukan IT asas praktikal untuk mengurangkan pendedahan yang boleh dielakkan dalam aliran kerja akses jauh dan sokongan jauh.

Bagaimana TSplus Menyokong Akses Jauh yang Selaras dengan FERPA

TSplus menyediakan platform akses jauh yang selamat dan perlindungan infrastruktur yang membantu sekolah melaksanakan kawalan yang selaras dengan FERPA. Walau bagaimanapun, adalah salah untuk berfikir bahawa perisian sahaja menjadikan institusi mematuhi. Jika dilaksanakan dan digunakan dengan betul, perisian seperti suite TSplus membantu sekolah menguatkuasakan kawalan akses, pengesahan, pemantauan dan pengukuhan untuk menyokong operasi yang peka terhadap FERPA.

TSplus Advanced Security

perlindungan siber 360° untuk pelayan aplikasi

TSplus Advanced Security adalah produk keselamatan terkemuka kami. Sebenarnya, sebahagiannya, akses jauh FERPA bergantung pada perlindungan pelayan dan sekatan akses. TSplus Advanced Security dibangunkan untuk keselamatan pelayan aplikasi dan oleh itu merupakan pengawal 360° di barisan hadapan terhadap ancaman. Perlindungan Brute Force contohnya, adalah ciri yang memantau percubaan log masuk Windows yang gagal dan secara automatik menyekat alamat IP yang melanggar selepas kegagalan berulang.

Ciri keselamatan yang kukuh

Untuk persekitaran pendidikan, ini membantu mengurangkan risiko percubaan akses tidak sah terhadap infrastruktur akses jauh yang terdedah. Sekolah juga boleh menggunakan Perlindungan Geografi untuk membenarkan akses jauh hanya dari negara terpilih atau menggunakan sekatan IP untuk mengehadkan akses kepada alamat IP persendirian dan yang telah disenaraikan.

Konfigurasi untuk memenuhi FERPA

Konfigurasi yang disyorkan yang peka terhadap FERPA termasuk mengaktifkan Brute Force Protection, mengehadkan akses secara geografi apabila sesuai, mengekalkan senarai putih IP untuk akses pentadbiran dan menggunakan Perlindungan Ransomware sebagai sebahagian daripada pengukuhan pelayan yang lebih luas.

TSplus Remote Access

Penggunaan pendidikan

TSplus Remote Access membantu sekolah menerbitkan aplikasi Windows dan desktop untuk pendidik, pelajar, dan kakitangan IT. Sebagai penyelesaian pendidikan, ia menyediakan Akses Desktop Jauh dan Penghantaran Aplikasi yang selamat dan berbilang pengguna untuk persekitaran pendidikan dan akademik.

Mengaplikasikan kawalan yang disesuaikan dengan FERPA

Dari sudut pandang FERPA, nilai tersebut adalah akses terkawal. Daripada memberikan setiap pengguna akses luas kepada stesen kerja atau rangkaian penuh, pasukan IT boleh menerbitkan hanya aplikasi yang diperlukan. Seorang guru mungkin menerima akses kepada aplikasi buku gred, sementara seorang pendaftar menerima akses kepada perisian rekod pelajar dan seorang pelajar hanya menerima aplikasi makmal. Kumpulan dan pengguna boleh disesuaikan pada tahap terperinci, termasuk masa dan peranti mereka.

MFA dan keselamatan log masuk

Perisian ini juga menyokong pengesahan dua faktor untuk portal Web, termasuk sambungan HTML5 dan RemoteApp. Untuk pengguna dengan MFA diaktifkan, dokumentasi kami menekankan bahawa sambungan klien Microsoft Remote Desktop standard ditolak, yang menyokong corak akses berasaskan web yang lebih selamat.

Pemantauan Server TSplus

FERPA bukan hanya tentang menyekat akses. Ia juga tentang mengekalkan keterlihatan ke dalam sistem di mana data pelajar mungkin diproses. TSplus Server Monitoring menyediakan data sejarah dan masa nyata tentang pelayan, laman web, aplikasi dan pengguna, dengan laporan dan amaran masa nyata untuk infrastruktur kerja jarak jauh.

Bagi pasukan IT pendidikan, pemantauan dapat membantu mengesan pelayan yang terbeban, corak penggunaan yang tidak biasa, masalah prestasi dan isu ketersediaan yang mempengaruhi pembelajaran jarak jauh atau sistem pentadbiran. Pemantauan tidak membuktikan pematuhan FERPA dengan sendirinya, tetapi ia menyokong tanggungjawab dan ketahanan operasi.

TSplus Remote Support

TSplus Remote Support menyediakan bantuan jarak jauh yang dihadiri dan tidak dihadiri untuk pasukan dan pelanggan. TSplus menyokong kawalan desktop jarak jauh, perkongsian skrin, bantuan yang dihadiri, penyelenggaraan tidak dihadiri dan latihan jarak jauh.

Untuk sokongan yang peka terhadap FERPA, sekolah harus mengkonfigurasi aliran kerja sokongan supaya juruteknik mengakses semua yang diperlukan tetapi hanya apa yang mereka perlukan. Sesi yang dihadiri mungkin lebih disukai apabila maklumat pelajar mungkin dapat dilihat. Akses tanpa pengawasan harus terhad kepada peranti yang diurus, tujuan yang didokumenkan dan tingkap penyelenggaraan yang dibenarkan.

Etika dan Penempatan Pembangunan TSplus

Kepatuhan FERPA adalah milik institusi pendidikan, disokong oleh perjanjian undang-undang, dasar dalaman dan langkah-langkah teknikal. Perisian TSplus membantu menyediakan langkah-langkah tersebut melalui produk dan perkhidmatannya: akses jauh yang selamat, pengukuhan pelayan, pemantauan rangkaian dan sokongan terkawal.

Dari perspektif etika pembangunan, privasi melalui reka bentuk, pengurangan data dan kawalan pelanggan adalah pusat. Perisian akses jauh harus mengelakkan akses yang tidak perlu kepada kandungan pelajar, memberikan pilihan konfigurasi kepada pentadbir, menyokong tetapan selamat secara lalai dan memudahkan sekolah untuk menerapkan hak minimum.

Melalui produk yang kukuh dan dibangunkan dengan teliti, TSplus bertujuan untuk membantu pentadbir IT sekolah dan pasukan pendidikan tinggi mengurangkan risiko FERPA sambil memastikan akses jauh tetap praktikal.

Kesimpulan

Undang-undang pendidikan FERPA di AS melindungi rekod pendidikan pelajar dan secara langsung mempengaruhi cara sekolah mengurus akses jauh, sokongan jauh dan perisian pihak ketiga. Bagi pasukan IT, FERPA diterjemahkan kepada pengesahan, hak minimum, sesi selamat, kebolehan diaudit, tadbir urus vendor dan aliran kerja sokongan yang teratur.

TSplus Advanced Security dan sebenarnya keseluruhan tawaran perisian TSplus, dapat membantu sekolah membina persekitaran akses jauh yang lebih selamat sambil membiarkan institusi menyesuaikan setiap penyediaan mengikut keperluan dan penggunaan khusus mereka. Pematuhan FERPA akhir bergantung kepada dasar, konfigurasi, kontrak dan semakan undang-undang setiap institusi. Cuba TSplus secara percuma dan temui bagaimana tindakan pematuhan FERPA sangat disokong oleh alat yang serba boleh dan mudah seperti perisian TSplus.