Datensicherheit und Datenschutz im Kontext: Die Geschichte eines (ehemalige) Nutzers – Teil 1 von 3: Krise und Einführung

Wenn es um Datenschutz und -sicherheit geht, setzt Proctorio – um einen Klassensprecher-Ausdruck zu verwenden – die Kurve vor. Ich bin offen dafür, die Vorzüge von Proctorios anderen Funktionen zu diskutieren, aber in Bezug auf dieses Thema gibt es einfach keinen Wettbewerb. "Du bist voreingenommen!" sagst du. Vielleicht ein bisschen. Als Lern- und Entwicklungsleiter bei Proctorio besteht meine Hauptaufgabe darin, unsere Nutzer zu schulen und zu stärken, indem ich die Funktionen unserer Produkte fördere. Bevor ich jedoch zu Proctorio kam, habe ich fast 14 Jahre im öffentlichen K-12-Bereich gearbeitet. Ich war als Klassenlehrer, Lehrplanspezialist und – zuletzt – als Technologiekoordinator für die University of Texas at Austin High School (UTHS) tätig, eine Online-Schule, die Proctorio nutzt, um Prüfungen weltweit sicher zu verteilen. Ich bleibe im Herzen ein Pädagoge, und wenn Sie mir die Gelegenheit geben, werde ich versuchen, Proctorios Daten- und Sicherheitspraktiken aus meiner Erfahrung zu kontextualisieren.

Krise

Wie so viele Institutionen musste die UTHS ihre Systeme und Prozesse schnell anpassen, um auf die COVID-19-Pandemie zu reagieren. Da sie bereits als virtuelle Schule betrieben wurde, war der Übergang weniger schockierend als bei anderen, und viele unserer Angebote, einschließlich unserer Online-Kurse und des High-School-Abschlussprogramms, blieben relativ unverändert. Das überwachte Testen stellte uns jedoch vor eine erhebliche Herausforderung. Neben den traditionellen Kursprüfungen war unsere Institution eine von zwei, die vom Staat akkreditiert wurden, um K-12-Prüfungen (CBEs) zu verwalten, die zur Kreditgewinnung und beschleunigten Vermittlung verwendet wurden.

Insgesamt könnten wir problemlos 30.000 beaufsichtigte Prüfungen in einem Jahr bestehen. Zu dieser Zeit konnten die Schüler entweder online oder auf Papier testen, aber beide Medien erforderten einen menschlichen Prüfer. Bei der traditionellen Aufsicht mussten die Schüler ein Testzentrum finden, ihre Prüfungen planen und den Transport organisieren (das klingt alles furchtbar mühsam). Diese logistischen und finanziellen Hürden waren uns schon vor der Pandemie nicht entgangen, und unser Team hatte bereits begonnen, Lösungen für Online-Überwachung zu untersuchen. Die landesweite Schließung von Universitäten, Schulbezirken und anderen Teststandorten hat unseren Einführungszeitplan nur beschleunigt.

Einführung

Eine öffentliche Institution wie UTHS kann selten, wenn überhaupt, eine Vereinbarung mit einem Drittanbieter eingehen, ohne dass diese zunächst umfassend geprüft wurde. Die Überprüfung wird traditionell von Mitgliedern des Informationssicherheitsbüros (ISO) der Institution durchgeführt, die über Wochen bis Monate die Datenschutz- und Sicherheitsrichtlinien des Anbieters prüfen, verfügbare Whitepapers prüfen, Kundenreferenzen einholen und Systemschwachstellentests durchführen. Eine gründliche Analyse stellt sicher, dass das Produkt und die Dienstleistungen in der Praxis sicher und konform mit allen geltenden Gesetzen, Vorschriften und Standards sind. Die Institution übernimmt schließlich genauso viel oder mehr Risiko als der Dienstleister.

Was sind die Risiken? Bußgelder, Rechtsstreitigkeiten und Reputationsschäden, um nur einige zu nennen, und das nicht nur für die Institution, sondern auch für den Dienstleister. Beide sind an einen umfangreichen rechtlichen Rahmen gebunden, der die Rechte der Studierenden schützt – Privatsphäre steht dabei an erster Stelle.

Der Family Educational Rights and Privacy Act (FERPA) ist das wichtigste Gesetz zur Regelung des Datenschutzes von Schülern in den USA; weitere sind der Children's Online Privacy Protection Act (COPPA), der California Consumer Privacy Act (CCPA) und, über die USA hinaus, die Datenschutzverordnung der Europäischen Union (DSGVO). Da Nutzer weltweit verteilt sind, sind Proctorio und UTHS für diese Gesetze und weitere verantwortlich.

Jedes Gesetz ist sehr nuanciert, und einige bieten größere Rechte und Schutzmaßnahmen als andere, aber im Grunde sagen sie alle dasselbe: Die Bildungsunterlagen eines Schülers, einschließlich aller personenbezogenen Daten (PII), dürfen ohne Zustimmung des Elternteils oder Erziehungsberechtigten des Schülers nicht mit Dritten geteilt werden. Es gibt jedoch eine wichtige Ausnahme für Schulen – darauf kommen wir später zurück.

Zusätzlich zu den genannten Gesetzesakten erheben Institutionen ihren Dienstanbietern häufig zusätzliche Datenschutz- und Sicherheitsstandards. Zum Beispiel verlangen fast alle öffentlichen und privaten Einrichtungen, dass digitale Dienstanbieter eine ISO 27001 Zertifizierung. Um eine Analogie zu ziehen: Das ISO-27001-Zertifikat ist das Telekommunikationsäquivalent einer Gesundheitsgenehmigung für Restaurants. Sie stellt sicher, dass ein Unternehmen alles tut, um Datensicherheitsrisiken zu managen und zu mindern, und ohne sie kann ein Dienstleister erwarten, wenig Geschäft zu machen.

Um solche Branchenzertifikate zu erwerben und aufrechtzuerhalten, muss Proctorio regelmäßig umfassende interne und externe Sicherheitsprüfungen durchlaufen. Diese kommen zusätzlich zu den bereits von potenziellen Kunden durchgeführten Projekten zusammen. Audits sind verworrene, ressourcenintensive Prozesse, und dennoch unterzieht sich Proctorio freiwillig regelmäßig einer zusätzlichen Kontrolle. Durch die Zusammenarbeit mit vertrauenswürdigen Drittanbieterorganisationen wie iKeepSafe, HackerOne und White Oak Security kann Proctorio sicherstellen, dass seine Datenschutz- und Sicherheitspraktiken gültig und immun gegenüber externen Bedrohungen sind.

Ich lade Sie ein, die Proctorio Trust Center wo Sie auf Proctorios Cybersicherheitsrichtlinien, Branchenzertifikate und Auditberichte zugreifen können. Unternehmen machen solche Informationen nicht routinemäßig öffentlich zugänglich – sicherlich tun keine der Konkurrenten von Proctorio das.

Wurde Proctorio jemals vom ISO-Büro der UT genehmigt? Ja. Dies wäre ein viel kürzerer Beitrag, wenn er es nicht gewesen wäre. Du fragst dich vielleicht auch, ob UTHS andere Dienste in Betracht gezogen hat. Sicherlich, aber Proctorio wurde letztlich aus drei Gründen ausgewählt: 1) Wir wollten, dass nur unser Personal Zugang zu den Daten unserer Schüler hat; 2) Wir wollten eine automatisierte Lösung, die keine Terminplanung erfordert; und 3) Wir wollten einen Service, der sich mit unserem bereits bestehenden Lernmanagementsystem (LMS) integriert.