Lista de seguridad de datos de estudiantes para equipos edtech

Empieza por quién puede ver una relación con un tutor legal

Antes de cortafuegos y diagramas de cifrado, responde una pregunta: en tu plataforma, ¿quién puede ver que este estudiante está vinculado a este padre o tutor? Si la respuesta es «cualquier docente» o «no estoy seguro», tienes un problema de datos de estudiantes que ninguna infraestructura arreglará. El diseño de acceso es donde vive realmente la seguridad de los datos.

La brecha de Canvas que siguieron muchas equipos edtech no fue un ataque ingenioso. Fue un error básico de acceso que escaló. El daño en datos educativos rara vez viene de un hackeo de película. Viene de que la persona equivocada pueda ver el registro equivocado a escala, porque el modelo de permisos nunca se diseñó para la sensibilidad de lo que guarda. Los datos de estudiantes están regulados por una razón. En Estados Unidos, una de esas reglas se llama FERPA. (Resumen de FERPA del Departamento de Educación de Estados Unidos)

La lista, en el orden de lo que realmente se expone

• Modela primero las relaciones. Estudiante, tutor legal, docente y administrador no tienen la misma forma de permiso. Un padre ve a su hijo. Un docente ve a su clase. Ninguno debe ver toda la institución por defecto.
• Usa el mínimo privilegio por defecto. Los roles nuevos reciben lo mínimo y el acceso se concede hacia arriba, no se recorta después. Es mucho más fácil añadir un permiso que descubrir que has entregado uno.
• Separa «puede actuar» de «puede ver». Un administrador que puede restablecer una contraseña no debería poder leer automáticamente los registros de todos los estudiantes. Separa la lectura sensible de la acción rutinaria.
• Registra las lecturas sensibles. Una pista de auditoría que indique quién vio una relación de tutor o un historial de calificaciones hace investigable un incidente. Sin ella, «no sabemos quién vio qué» es la respuesta honesta y la peor.
• Planifica retención y eliminación. Decide qué caduca, qué se archiva y quién toma esa decisión. Los datos que ya no necesitas son datos que solo pueden dañarte.
• Prueba los límites, no solo el camino feliz. La prueba real es intentar ver un registro que no deberías con cada rol y confirmar que no puedes.

La parte incómoda

Un buen control de acceso es invisible cuando funciona y puede definir una carrera cuando falla. Tampoco es glamuroso, precisamente por eso se omite a favor de un panel más bonito. Prefiero entregar una interfaz más sencilla con un modelo de permisos que pueda defender, que una bonita donde un padre pueda encontrarse con datos de otra familia.

Para el incidente que vuelve esto concreto, lee la lección de la brecha de Canvas. Para la capa de identidad que decide quién es una persona, consulta las opciones de SSO. Cuando la plataforma guarda registros de estudiantes, el desarrollo de portales escolares y de estudiantes diseña estos límites antes de la primera pantalla, y una alternativa a Canvas que controlas existe en parte para equipos que necesitan tener ese control.