Seguridad de los datos y privacidad en contexto: la historia de un usuario (anterior) – Parte 1 de 3: Crisis y adopción

En lo que respecta a la privacidad y seguridad de los datos, Proctorio—para usar una expresión del aula—marca la curva. Estoy abierto a debatir los méritos de las otras características de Proctorio, pero respecto a este tema, simplemente no hay competencia. "¡Eres parcial!" dices. Quizá un poco. Como responsable de aprendizaje y desarrollo de Proctorio, mi principal responsabilidad es educar y empoderar a nuestros usuarios defendiendo las características de nuestros productos. Sin embargo, antes de unirme a Proctorio, trabajé en educación pública de K-12 durante casi 14 años. Trabajé como profesora en aula, especialista en currículos y—más recientemente—coordinadora de tecnología en el instituto de la Universidad de Texas en Austin (UTHS), una escuela online que utiliza Proctorio para impartir exámenes de forma segura en todo el mundo. Sigo siendo educador de corazón, y si me concedes la oportunidad, intentaré contextualizar las prácticas de datos y seguridad de Proctorio basándome en mi experiencia.

Crisis

Como tantas instituciones, UTHS tuvo que adaptar rápidamente sus sistemas y procesos en respuesta a la pandemia de COVID-19. Ya funcionando como una escuela virtual, la transición fue menos brusca que para otros, y muchos de nuestros servicios, incluidos los cursos online y el programa de diploma de secundaria, permanecieron relativamente sin cambios. Sin embargo, las pruebas supervisadas nos supusieron un desafío importante. Además de los exámenes tradicionales, nuestra institución fue una de las dos acreditadas por el estado para administrar los exámenes de créditos K-12 por exámenes (CBE), utilizados para la recuperación de créditos y la colocación acelerada.

En total, podríamos superar fácilmente los 30.000 exámenes supervisados en un año. En ese momento, los estudiantes podían elegir hacer el examen online o en papel, pero cualquiera de los dos medios requería un supervisor humano. Con la supervisión tradicional, los estudiantes tenían que localizar un centro de exámenes, programar sus exámenes y organizar el transporte (todo suena terriblemente tedioso). Estas barreras logísticas y financieras no pasaron desapercibidas para nosotros, incluso antes de la pandemia, y nuestro equipo ya había comenzado a investigar soluciones de supervisión online. El cierre nacional de universidades, distritos escolares y otros lugares de pruebas simplemente aceleró nuestro calendario de adopción.

Adopción

Una institución pública, como UTHS, rara vez, si es que alguna vez, puede llegar a un acuerdo con un proveedor de servicios externo sin que este sea revisado a fondo. La revisión la realizan tradicionalmente miembros de la oficina de seguridad de la información (ISO) de la institución, quienes, durante semanas o meses, auditarán las políticas de privacidad y seguridad del proveedor, revisarán los documentos técnicos disponibles, solicitarán referencias de clientes y realizarán pruebas de vulnerabilidad del sistema. Un análisis riguroso garantiza que el producto y servicios sean en la práctica seguros y cumplan con todas las leyes, normativas y estándares aplicables. La institución, al fin y al cabo, asume tanto o más riesgo que el proveedor del servicio.

¿Cuáles son los riesgos? Multas, litigios y daños reputacionales, por nombrar algunos, y no solo para la institución sino también para el proveedor de servicios. Ambos están sujetos a un amplio marco legal que protege los derechos de los estudiantes, siendo la privacidad la prioridad.

La Ley de Derechos y Privacidad Educativa Familiar (FERPA) es la principal legislación que regula la privacidad de los estudiantes en EE. UU.; otros incluyen la Ley de Protección de la Privacidad Infantil en Línea (COPPA), la Ley de Privacidad del Consumidor de California (CCPA) y, mirando más allá de EE. UU., el Reglamento General de Protección de Datos (RGPD) de la Unión Europea. Con usuarios repartidos por todo el mundo, Proctorio y UTHS son responsables de estas leyes y más.

Cada ley es muy matizada, y algunas otorgan mayores derechos y protecciones que otras, pero todas dicen fundamentalmente lo mismo: Los registros educativos de un estudiante, incluyendo toda la información personal identificable (PII), no pueden compartirse con un tercero sin el consentimiento del padre o tutor del estudiante. Sin embargo, hay una excepción importante para las escuelas—volveremos a eso más adelante.

Además de las leyes mencionadas, las instituciones suelen imponer estándares adicionales de privacidad y seguridad de datos a sus proveedores de servicios. Por ejemplo, casi todas las instituciones públicas y privadas exigen que los proveedores de servicios digitales mantengan un ISO 27001 Certificación. Para hacer una analogía, el certificado ISO 27001 es el equivalente en telecomunicaciones de un permiso sanitario para restaurantes. Garantiza que una empresa haga todo lo posible para gestionar y mitigar los riesgos de seguridad de los datos, y sin ella, un proveedor de servicios puede esperar hacer poco negocio.

Para adquirir y mantener estas certificaciones industriales, Proctorio debe someterse regularmente a exhaustivas auditorías de seguridad internas y externas. Estos se suman a los que ya realizan nuestros posibles clientes. Las auditorías son procesos enrevesados y que requieren muchos recursos, y sin embargo Proctorio se somete voluntariamente a un escrutinio adicional de forma regular. Al asociarse con organizaciones de terceros de confianza, como iKeepSafe, HackerOne y White Oak Security, Proctorio puede garantizar que sus prácticas de privacidad y seguridad de datos sean válidas e inmunes a amenazas externas.

Te invito a visitar el Centro de Fideicomiso Proctorio donde puedes acceder a las políticas de ciberseguridad de Proctorio, certificaciones del sector e informes de auditoría. Las empresas no suelen hacer pública esa información; desde luego, ninguno de los competidores de Proctorio lo hace.

¿Alguna vez Proctorio fue aprobado por la oficina ISO de UT? Sí. Esta publicación sería mucho más corta si no lo hubiera sido. También podrías preguntarte si UTHS consideró otros servicios. Por supuesto, pero Proctorio fue finalmente elegido por tres razones: 1) Queríamos que solo nuestro personal tuviera acceso a los datos de nuestros estudiantes; 2) Queríamos una solución automatizada que no requiriera planificación; y 3) Queríamos un servicio que se integrara con nuestro sistema de gestión de aprendizaje (LMS) preexistente.