Sécurité des données et confidentialité dans le contexte : l’histoire d’un (ancien) utilisateur – Partie 1 sur 3 : Crise et adoption

En matière de confidentialité et de sécurité des données, Proctorio — pour reprendre une expression en classe — fixe la courbe. Je suis ouvert à débattre des mérites des autres fonctionnalités de Proctorio, mais sur ce sujet, il n’y a tout simplement aucune concurrence. « Tu es partial ! » dis-tu. Peut-être un peu. En tant que responsable de l’apprentissage et du développement chez Proctorio, ma responsabilité principale est d’éduquer et de responsabiliser nos utilisateurs en défendant les fonctionnalités de nos produits. Cependant, avant de rejoindre Proctorio, j’ai travaillé près de 14 ans dans l’enseignement public de la maternelle à la terminale. J’ai été enseignante en classe, spécialiste des programmes et—plus récemment—coordinatrice technologique pour le lycée de l’Université du Texas à Austin (UTHS), une école en ligne qui utilise Proctorio pour délivrer des examens de manière sécurisée à travers le monde. Je reste un éducateur dans l’âme, et si vous m’en accordez l’opportunité, je tenterai de contextualiser les pratiques de données et de sécurité de Proctorio en m’appuyant sur mon expérience.

Crise

Comme tant d’institutions, l’UTHS a dû adapter rapidement ses systèmes et processus en réponse à la pandémie de COVID-19. Fonctionnant déjà comme une école virtuelle, la transition a été moins brutale que pour d’autres, et nombre de nos services, y compris nos cours en ligne et le programme de diplôme de fin d’études secondaires, sont restés relativement inchangés. Cependant, les tests surveillés nous ont posé un défi important. Outre les examens traditionnels, notre établissement était l’un des deux accrédités par l’État pour administrer les crédits K-12 par examens (CBE), utilisés pour la récupération de crédits et le placement accéléré.

Au total, nous pourrions facilement dépasser 30 000 examens surveillés en un an. À l’époque, les étudiants pouvaient choisir de tester en ligne ou sur papier, mais chaque média nécessitait un surveillant humain. Avec la surveillance traditionnelle, les étudiants devaient trouver un centre d’examen, planifier leurs examens et organiser le transport (tout cela semble terriblement fastidieux). Ces obstacles logistiques et financiers ne nous échappaient pas, même avant la pandémie, et notre équipe avait déjà commencé à explorer des solutions de surveillance en ligne. La fermeture nationale des universités, des districts scolaires et d’autres sites de dépistage n’a fait qu’accélérer notre calendrier d’adoption.

Adoption

Une institution publique, comme UTHS, peut rarement, voire jamais, conclure un accord avec un prestataire tiers sans qu’il ne soit préalablement examiné de manière approfondie. L’examen est traditionnellement réalisé par des membres du bureau de la sécurité de l’information (ISO) de l’institution, qui, sur plusieurs semaines à mois, auditent les politiques de confidentialité et de sécurité du fournisseur, examinent les livres blancs disponibles, sollicitent des références clients et réalisent des tests de vulnérabilité système. Une analyse rigoureuse garantit que les produits et services sont en pratique sécurisés et conformes à toutes les lois, réglementations et normes applicables. L’institution assume, après tout, autant ou plus de risques que le prestataire de services.

Quels sont les risques ? Amendes, litiges et atteinte à la réputation, pour n’en citer que quelques-uns, et pas seulement pour l’institution mais aussi pour le prestataire de services. Tous deux sont liés par un cadre juridique étendu protégeant les droits des étudiants — la vie privée étant la priorité.

La loi sur les droits et la vie privée à l’éducation familiale (FERPA) est la principale législation régissant la vie privée des élèves aux États-Unis ; d’autres incluent la Children’s Online Privacy Protection Act (COPPA), la California Consumer Privacy Act (CCPA) et, au-delà des États-Unis, le Règlement général sur la protection des données (RGPD) de l’Union européenne. Avec des utilisateurs répartis dans le monde entier, Proctorio et UTHS sont responsables de ces lois et bien d’autres.

Chaque loi est très nuancée, et certaines accordent des droits et protections plus larges que d’autres, mais elles disent toutes fondamentalement la même chose : Les dossiers scolaires d’un élève, y compris toutes les informations personnelles identifiables (PII), ne peuvent pas être partagés avec un tiers sans le consentement du parent ou tuteur de l’élève. Il existe cependant une exception importante pour les écoles — nous y reviendrons plus tard.

En plus des lois mentionnées précédemment, les institutions imposent souvent des normes supplémentaires de confidentialité et de sécurité des données à leurs prestataires de services. Par exemple, presque toutes les institutions publiques et privées exigent que les prestataires de services numériques détiennent un ISO 27001 Certification. Pour faire une analogie, le certificat ISO 27001 est l’équivalent télécom d’un permis de santé pour restaurants. Cela garantit qu’une entreprise fait tout son possible pour gérer et atténuer les risques liés à la sécurité des données, et sans cela, un prestataire de services peut s’attendre à faire peu d’affaires.

Pour acquérir et maintenir ces certifications sectorielles, Proctorio doit régulièrement subir des audits de sécurité internes et externes exhaustifs. Ces éléments s’ajoutent à ceux déjà réalisés par nos clients potentiels. Les audits sont des processus complexes et gourmands en ressources, et pourtant Proctorio se soumet volontairement à un examen supplémentaire régulièrement. En s’associant à des organisations tierces de confiance, telles que iKeepSafe, HackerOne et White Oak Security, Proctorio peut garantir que ses pratiques de confidentialité et de sécurité des données soient valides et invulnérables aux menaces extérieures.

Je vous invite à visiter le Centre fiduciaire Proctorio où vous pouvez accéder aux politiques de cybersécurité, aux certifications sectorielles et aux rapports d’audit de Proctorio. Les entreprises ne rendent pas systématiquement ces informations publiques – aucun des concurrents de Proctorio ne le fait.

Proctorio a-t-il déjà été approuvé par le bureau ISO de l’UT ? Oui. Ce serait un post bien plus court si ce n’était pas le cas. Vous vous demandez peut-être aussi si UTHS a pris en compte d’autres services. Bien sûr, mais Proctorio a finalement été choisi pour trois raisons : 1) Nous voulions que seuls nos membres du personnel aient accès aux données de nos étudiants ; 2) Nous voulions une solution automatisée qui ne nécessitait pas de planification ; et 3) Nous voulions un service qui s’intègre à notre système de gestion de l’apprentissage (LMS) déjà existant.