SSO, FERPA, dan Kepatuhan: Apa yang Dibutuhkan Universitas dari Research SaaS
Daftar periksa untuk tim TI dan pengadaan dalam mengevaluasi platform research SaaS. Mencakup SSO/SAML, FERPA, SOC 2, residensi data, HECVAT, aksesibilitas, dan cara melakukan tinjauan keamanan.
Tim TI universitas membutuhkan research SaaS yang memenuhi persyaratan SSO, FERPA, SOC 2, dan aksesibilitas. Panduan ini menyediakan daftar periksa evaluasi yang praktis dan menjelaskan pertimbangan kepatuhan yang spesifik untuk pendidikan tinggi.
Jika Anda bekerja di bidang TI universitas, keamanan informasi, atau pengadaan, Anda tahu bahwa mengadopsi perangkat lunak baru tidak pernah sesederhana menemukan alat yang disukai para peneliti. Setiap platform SaaS yang menyentuh data institusional harus melewati serangkaian tinjauan keamanan, pemeriksaan kepatuhan, dan negosiasi kontrak. Untuk alat yang berfokus pada riset — yang dapat menangani pekerjaan mahasiswa, data yang belum dipublikasikan, dan keluaran proyek yang didanai pemerintah federal — persyaratannya sangat ketat.
Panduan ini menyediakan daftar periksa praktis untuk mengevaluasi platform SaaS riset, dengan fokus pada persyaratan yang khusus untuk pendidikan tinggi.
Single sign-on bukanlah opsi tambahan untuk perangkat lunak institusional. Universitas menjalankan sistem identitas terpusat, dan alat apa pun yang memerlukan nama pengguna dan kata sandi terpisah menimbulkan risiko keamanan, beban help desk, dan hambatan bagi pengguna.
Yang Harus Dipersyaratkan Dukungan SAML 2.0 — protokol standar untuk SSO perusahaan di pendidikan tinggi Kompatibilitas Shibboleth — banyak universitas menggunakan Shibboleth sebagai penyedia identitas SAML mereka, khususnya yang berada dalam federasi InCommon Integrasi Azure AD / Entra ID — semakin umum seiring universitas beralih ke Microsoft 365 Dukungan Okta — digunakan oleh semakin banyak institusi, terutama di AS Provisioning SCIM — pembuatan dan penonaktifan pengguna secara otomatis berdasarkan perubahan direktori (penting untuk mengelola akun saat mahasiswa lulus atau karyawan keluar) Penerapan MFA — platform harus mematuhi kebijakan MFA institusi, bukan melewatinya
Baca selanjutnya
- Jelajahi lebih lanjut tentang sso
- Jelajahi lebih lanjut tentang ferpa
- Jelajahi lebih lanjut tentang kepatuhan
- Jelajahi lebih lanjut tentang universitas
- Jelajahi lebih lanjut tentang pengadaan
- Jelajahi lebih lanjut tentang keamanan
Artikel terkait
Jelajahi PapersFlow
Frequently Asked Questions
- Apakah FERPA berlaku untuk alat riset yang hanya digunakan oleh dosen?
- Tergantung. FERPA melindungi catatan pendidikan mahasiswa, jadi jika alat tersebut hanya digunakan oleh dosen untuk riset mereka sendiri (tanpa data mahasiswa), FERPA biasanya tidak berlaku. Namun, jika mahasiswa menggunakan platform tersebut sebagai bagian dari mata kuliah, atau jika nama, nilai, atau pengenal mahasiswa disimpan dalam sistem, maka FERPA berlaku. Banyak universitas menerapkan persyaratan FERPA secara luas pada semua SaaS sebagai strategi manajemen risiko, bahkan ketika penerapan yang ketat masih belum pasti.
- Apa itu HECVAT dan mengapa vendor perlu melengkapinya?
- HECVAT (Higher Education Community Vendor Assessment Toolkit) adalah kuesioner keamanan standar yang dikembangkan oleh EDUCAUSE dan Internet2. Ini menggantikan kebutuhan setiap universitas untuk membuat kuesionernya sendiri, sehingga menghemat waktu bagi vendor maupun institusi. Ada dua versi: HECVAT Lite (untuk alat berisiko lebih rendah) dan HECVAT Full (untuk alat yang menangani data sensitif). Sebagian besar kantor pengadaan universitas tidak akan melanjutkan proses tanpa HECVAT yang telah dilengkapi.
- Apakah vendor tanpa sertifikasi SOC 2 masih bisa disetujui?
- Secara teknis bisa, tetapi hal ini menambah hambatan yang signifikan. Tanpa SOC 2, tim keamanan universitas biasanya akan meminta tinjauan yang lebih menyeluruh — termasuk dokumentasi arsitektur yang rinci, hasil uji penetrasi, dan mungkin audit di lokasi. Banyak universitas memiliki kebijakan yang mewajibkan SOC 2 Type II untuk setiap alat yang menangani data institusi. Vendor yang lebih kecil kadang dapat menggunakan bukti alternatif (ISO 27001, CAIQ yang telah dilengkapi, atau laporan audit keamanan independen), tetapi proses pengadaan kemungkinan akan memakan waktu lebih lama.