Liste de sécurité des données étudiantes pour les équipes edtech

Commencez par savoir qui peut voir un lien avec un responsable légal

Avant les pare-feux et les schémas de chiffrement, répondez à une question : dans votre plateforme, qui peut voir qu’un étudiant est lié à ce parent ? Si la réponse est « n’importe quel enseignant » ou « je ne sais pas », vous avez un problème de données étudiantes qu’aucune infrastructure ne résoudra. La sécurité des données d’élèves vit d’abord dans la conception des accès.

La faille Canvas suivie par de nombreuses équipes edtech n’était pas une attaque ingénieuse. C’était une erreur élémentaire d’accès qui a changé d’échelle. Les dégâts sur les données éducatives viennent rarement d’un piratage de cinéma. Ils viennent de la mauvaise personne qui voit le mauvais dossier à grande échelle, parce que le modèle de permissions n’a jamais été conçu pour la sensibilité des données qu’il contient. Les données des étudiants sont réglementées pour une raison. Aux États-Unis, cette raison porte notamment le nom de FERPA. (Présentation de FERPA par le département américain de l’Éducation)

La liste, dans l’ordre de ce qui est réellement exposé

• Modélisez d’abord les relations. Étudiant, responsable légal, enseignant et administrateur n’ont pas la même forme de permission. Un parent voit son enfant. Un enseignant voit sa classe. Aucun ne doit voir toute l’institution par défaut.
• Appliquez le moindre privilège par défaut. Les nouveaux rôles reçoivent le minimum ; les accès sont ajoutés, pas retirés après coup. Il est beaucoup plus simple d’ajouter une permission que de découvrir qu’on en a donné une.
• Séparez « pouvoir agir » de « pouvoir voir ». Un administrateur capable de réinitialiser un mot de passe ne doit pas automatiquement pouvoir lire le dossier de chaque étudiant. Séparez la lecture sensible de l’action courante.
• Journalisez les lectures sensibles. Une piste d’audit indiquant qui a vu une relation parent-enfant ou un historique de notes rend un incident analysable. Sans elle, « nous ne savons pas qui a vu quoi » est la réponse honnête, et la pire.
• Planifiez la conservation et la suppression. Décidez ce qui expire, ce qui s’archive et qui porte cette décision. Les données dont vous n’avez plus besoin ne peuvent que vous nuire.
• Testez les frontières, pas seulement le parcours idéal. Le vrai test consiste à tenter de voir un dossier interdit avec chaque rôle, puis à confirmer que cela échoue.

La partie inconfortable

Un bon contrôle d’accès est invisible lorsqu’il fonctionne et peut définir une carrière lorsqu’il échoue. Il n’a rien de séduisant, raison exacte pour laquelle on le remet à plus tard au profit d’un tableau de bord plus joli. Je préfère livrer une interface plus simple avec un modèle de permissions défendable qu’une belle interface où un parent peut tomber sur les données d’une autre famille.

Pour l’incident qui rend cela concret, lisez la leçon de la faille Canvas. Pour la couche d’identité qui détermine qui est une personne, consultez les options SSO. Lorsqu’une plateforme détient des dossiers d’étudiants, le développement de portails scolaires et étudiants conçoit ces limites avant le premier écran, et une alternative à Canvas que vous contrôlez sert notamment aux équipes qui ont besoin de ce contrôle.