Databeveiliging en privacy in context: Het verhaal van een (voormalig) gebruiker – Deel 2 van 3: Implementatie

Implementatie

UTHS gebruikte Proctorio's geautomatiseerde surveillancedienst om op afstand haar middelbare schoolexamens en CBE's voor de klassen 3-12 af te nemen. Om te functioneren moet Proctorio in staat zijn de gegevens van een student of examendeelnemer te koppelen aan hun examengegevens, wat betekent dat het ook toegang moet hebben tot academische en persoonlijk identificeerbare informatie (PII). Nu vraag je je misschien af of of hoe UTHS ouderlijke toestemming heeft verkregen om gegevens met Proctorio te delen. We deden het niet—niet in het begin—maar we waren er ook niet toe verplicht.

Herinner je de "uitzondering" die ik eerder noemde: De meeste privacywetten voor leerlingen bevatten ofwel een uitzondering voor "schoolfunctionaris" of "legitiem onderwijsbelang" die een school toestaat om de academische gegevens en persoonsgegevens van leerlingen te delen met externe dienstverleners zonder ouderlijke toestemming. In wezen stemt de school namens de ouder in en mag dit doen omdat de dienst aan een educatieve behoefte voorziet. Toch mag de dienstverlener geen studentengegevens gebruiken buiten het leveren van de afgesproken diensten. Dat wil zeggen, een dienstverlener kan niet dezelfde uitzondering claimen, en de uitzondering geeft een school ook niet de bevoegdheid om het delen of verkopen van leerlinggegevens namens de ouder te autoriseren. Dergelijke handelingen zouden zeker ouderlijke toestemming vereisen.

Wat onder deze uitzonderingen verplicht is, is "kennisgeving". Voor Amerikaanse ouders en leerlingen wordt de uitzondering "schoolfunctionaris" beschreven in de jaarlijkse FERPA-kennisgeving van hun instelling.

Hoewel het niet verplicht was, begon UTHS uiteindelijk alle potentiële voltijdstudenten en ouders te vragen om het examenbeleid met betrekking tot Proctorio te herzien en akkoord te gaan voordat ze zich inschrijven. Ouderlijke toestemming (of toestemming van een andere school) was altijd vereist om een CBE te behalen; daarom was het slechts een kwestie van het bijwerken van het CBE-registratieformulier en de website met informatie over Proctorio. Gezien de gevoeligheid en cynisme rond online proctoring was ons doel om zo transparant mogelijk te zijn naar al onze belanghebbenden. Hoe Proctorio functioneerde, welke data werd verzameld en wie toegang had tot de data – we deelden zoveel mogelijk in webinars, op onze website en binnen al onze online cursussen en examens.

Het is makkelijk om iets uit te leggen als er weinig nuance is. Gelukkig is Proctorio's aanpak van gegevensprivacy en -beveiliging relatief eenvoudig, ook al is de technologie die ze gebruiken behoorlijk geavanceerd.

1. Verzamel niet meer data dan absoluut noodzakelijk. Om te functioneren vereist Proctorio's geautomatiseerde surveillancedienst minimale studentendata. Dit kan de naam van de student, e-mailadres of een andere unieke identificatie van het LMS van de school omvatten, maar niet meer dan wat absoluut nodig is om te functioneren. Een testinstituut, zoals UTHS, kan er echter voor kiezen om aanvullende informatie te verzamelen door specifieke exameninstellingen in te schakelen, maar Proctorio kan die gegevens niet benaderen of bekijken tenzij toestemming van de instelling.

2. Maak het onmogelijk voor iemand anders dan geautoriseerde medewerkers om toegang te krijgen tot de gegevens van de examenkandidaten. Proctorio gebruikt twee methoden om ervoor te zorgen dat de gegevens van de testdeelnemers onleesbaar en ontoegankelijk zijn voor ongeautoriseerde personen. Een proces dat bekendstaat als Pseudonymisatie Smeekt alle identificaties, zoals naam of e-mail, in willekeurige alfanumerieke reeksen. Als technologiecoördinator aan UTHS kon ik de namen van onze studenten naast hun examengegevens zien; als Proctorio-medewerker zou ik iets zien als "c15d8d531050465196..." Je zou denken dat ik die string kan gebruiken om de examengegevens van een examendeelnemer op te zoeken. Nee. Proctorio's Zero-knowledge, end-to-end encryptie zorgt daarvoor. Net als pseudonymisatie versleutelt encryptie alle gegevens van de testnemers, en de enige manier om het te ontcijferen is door de juiste decryptiesleutel te hebben. Elke sleutel is uniek en alleen bekend bij de testinstelling (vandaar het "zero-knowledge" stuk). Met deze aanpak heeft de instelling—niet Proctorio—volledige controle over wie wel en niet toegang heeft tot de gegevens van de examenkandidaten. Inderdaad, een van de belangrijkste taken van mijn team bij UTHS was het beheren van Proctorio-toestemmingen.

3. Beheer risico's voor gegevensprivacy en -beveiliging. Risicobeheer draait helemaal om het identificeren van potentiële bedreigingen en aansprakelijkheden en het bouwen van systemen en processen om deze duidelijk te maken. Zoals eerder vermeld, is Proctorio verantwoordelijk voor dezelfde privacywetten voor leerlingen als elke openbare school en ondergaat het regelmatige interne en externe audits om naleving te waarborgen. De systemen van Procotrio worden bovendien onderworpen aan routinematige kwetsbaarheidsscans en penetratietests (d.w.z. opzettelijke aanvallen) om mogelijke beveiligingsrisico's te identificeren. Risico is echter niet alleen intrinsiek aan software, maar ook aan mensen en processen. Dus, Alle Proctorio-medewerkers moeten een FBI-achtergrondcontrole ondergaan en deelnemen aan FERPA- en cybersecuritytrainingen. Geen enkele andere online surveillatiedienst vereist, voor zover wij weten, dit van hun medewerkers.

Er zijn nu acceptabele omstandigheden waarin een aangewezen Proctorio-medewerker toegang heeft tot de gegevens van de examenkandidaten. Als een instelling technische hulp nodig heeft, kan zij een supportmedewerker of productingenieur tijdelijk toegang geven tot haar LMS of beoordelingsplatform. Ik heb dit meerdere keren gedaan bij UTHS. Destijds was ik verrast (en een beetje gefrustreerd) om te ontdekken dat niemand bij Proctorio toegang had tot de examengegevens van onze studenten. Hoe konden ze geen toegang hebben tot hun eigen systeem, hun eigen data? Maar het is waar, en niet een scenario dat ik vaak tegenkwam bij onze andere dienstverleners. In plaats daarvan moest ik een "Proctorio"-gebruiker aanmaken, de juiste rechten toewijzen en toevoegen aan de betreffende cursus. Pas dan kon een Proctorio-medewerker zien wat ik als instellingsbeheerder zag en het probleem oplossen.

Examenkandidaten kunnen ook op elk moment (24/7/365) bellen, mailen of chatten met een Proctorio Support-medewerker als ze technische hulp nodig hebben of gewoon een vraag of zorg hebben. Tijdens deze uitwisselingen kan een testdeelnemer persoonlijke informatie opgeven, zoals hun naam of e-mailadres, of een supportmedewerker toestaan hun scherm en apparaatconfiguratie te bekijken. Deze informatie kan tijdelijk worden opgeslagen in Proctorio's systemen, maar wordt nooit gebruikt buiten het bieden van gevraagde hulp.

Hoewel UTHS alleen gebruikmaakte van Proctorio's geautomatiseerde surveillancedienst, abonneren andere instellingen zich op aanvullende Proctorio-diensten. Live Proctoring, Live ID, Verify Environment en Professional Review zijn allemaal diensten waarbij Proctorio-medewerkers toegang krijgen tot en de gegevens van de examenkandidaten beoordelen. Opnieuw moet de instelling eerst deze diensten inschakelen; pas dan kan Proctorio toegang krijgen tot de gegevens.

Oké. Dat was veel. Hier wordt het samengevat in drie belangrijke punten:

-Proctorio voldoet aan en overtreft vaak de eisen voor gegevensprivacy en -beveiliging, zowel hier in de VS als daarbuiten.

-Proctorio kan en zal gebruikersgegevens niet delen of verkopen. Het is toch een rommel, dus het is nutteloos.

-Alleen door de instelling geselecteerde bevoegde personen kunnen toegang krijgen tot en de gegevens van de examenkandidaten bekijken. De enige manier waarop Proctorio de gegevens van een examendeelnemer ziet, is als de instelling het toestaat.

Natuurlijk is de meest veilige data die niet bestaat. Daarom wil Proctorio beperken hoeveel data het kan benaderen en verzamelen, en waarom alle instellingen een gegevensbewaringsbeleid moeten invoeren als onderdeel van hun overeenkomst met Proctorio. Een gegevensbewaringsbeleid definieert de periode waarin data bewaard mag worden voordat ze worden vernietigd—niet alleen verwijderd. Voor de meeste instellingen worden de gegevens van het Proctorio-examen tussen 1 en 12 maanden bewaard. Instellingen kunnen ook handmatig verwijderen en vernietigen examengegevens, maar eventuele resterende dossiers worden automatisch door Proctorio vernietigd zodra de bewaarperiode afloopt. Is de data echt onherstelbaar? Ja, ik spreek uit ervaring. Op een of twee gelegenheden bij UTHS vroeg ik Proctorio om de examengegevens van een examendeelnemer te herstellen; Ik werd beleefd geïnformeerd dat het niet mogelijk was.