SSO, FERPA e conformità: cosa serve alle università da un SaaS per la ricerca
Una checklist per IT e uffici acquisti per valutare piattaforme SaaS per la ricerca. Copre SSO/SAML, FERPA, SOC 2, residenza dei dati, HECVAT, accessibilità e come condurre una revisione della sicurezza.
I team IT universitari hanno bisogno di un SaaS per la ricerca che soddisfi i requisiti di SSO, FERPA, SOC 2 e accessibilità. Questa guida fornisce una checklist pratica di valutazione e spiega le considerazioni sulla conformità specifiche per l'istruzione superiore.
Se lavori nell'IT universitario, nella sicurezza delle informazioni o negli acquisti, sai che adottare un nuovo software non è mai semplice come trovare uno strumento che piaccia ai ricercatori. Ogni piattaforma SaaS che tratta dati istituzionali deve superare una serie di revisioni di sicurezza, verifiche di conformità e negoziazioni contrattuali. Per gli strumenti orientati alla ricerca — che possono gestire lavori degli studenti, dati non pubblicati e risultati di progetti finanziati a livello federale — i requisiti sono particolarmente rigorosi.
Questa guida fornisce una checklist pratica per valutare le piattaforme SaaS per la ricerca, con particolare attenzione ai requisiti specifici dell'istruzione superiore.
Il single sign-on non è facoltativo per il software istituzionale. Le università gestiscono sistemi di identità centralizzati e qualsiasi strumento che richieda nome utente e password separati crea rischi per la sicurezza, aumenta il carico sull'help desk e genera attrito per gli utenti.
Cosa richiedere Supporto SAML 2.0 — il protocollo standard per l'SSO aziendale nell'istruzione superiore Compatibilità con Shibboleth — molte università usano Shibboleth come provider di identità SAML, in particolare quelle della federazione InCommon Integrazione con Azure AD / Entra ID — sempre più comune man mano che le università passano a Microsoft 365 Supporto Okta — utilizzato da un numero crescente di istituzioni, soprattutto negli Stati Uniti Provisioning SCIM — creazione e disattivazione automatica degli utenti in base alle modifiche della directory (fondamentale per gestire gli account quando gli studenti si laureano o i dipendenti lasciano l'istituzione) Applicazione dell'MFA — la piattaforma dovrebbe rispettare le policy MFA dell'istituzione, non aggirarle
Read next
- Explore more on sso
- Explore more on ferpa
- Explore more on conformità
- Explore more on università
- Explore more on approvvigionamento
- Explore more on sicurezza
Related articles
Explore PapersFlow
Frequently Asked Questions
- FERPA si applica agli strumenti di ricerca usati solo dai docenti?
- Dipende. FERPA protegge i registri educativi degli studenti, quindi se lo strumento è usato solo dai docenti per la propria ricerca (senza dati degli studenti), in genere FERPA non si applica. Tuttavia, se gli studenti usano la piattaforma come parte di un corso, oppure se nomi, voti o identificatori degli studenti sono archiviati nel sistema, FERPA si applica. Molte università applicano i requisiti FERPA in modo ampio a tutto il SaaS come strategia di gestione del rischio, anche quando l'applicabilità rigorosa non è certa.
- Che cos'è HECVAT e perché i fornitori devono compilarlo?
- HECVAT (Higher Education Community Vendor Assessment Toolkit) è un questionario di sicurezza standardizzato sviluppato da EDUCAUSE e Internet2. Sostituisce la necessità che ogni università crei il proprio questionario, facendo risparmiare tempo sia ai fornitori sia alle istituzioni. Esistono due versioni: HECVAT Lite (per strumenti a rischio inferiore) e HECVAT Full (per strumenti che gestiscono dati sensibili). La maggior parte degli uffici acquisti universitari non procederà senza un HECVAT compilato.
- Un fornitore senza certificazione SOC 2 può comunque essere approvato?
- Tecnicamente sì, ma aggiunge notevoli attriti. Senza SOC 2, il team di sicurezza dell'università richiederà in genere una revisione più approfondita, inclusa documentazione dettagliata dell'architettura, risultati dei penetration test e possibilmente un audit in sede. Molte università hanno una policy che richiede SOC 2 Type II per qualsiasi strumento che gestisca dati istituzionali. I fornitori più piccoli possono talvolta usare prove alternative (ISO 27001, un CAIQ compilato o report di audit di sicurezza indipendenti), ma è prevedibile che il processo di approvvigionamento richieda più tempo.