SSO, FERPA ve Uyumluluk: Üniversitelerin Araştırma SaaS'ından Bekledikleri
Araştırma SaaS platformlarını değerlendirmek için BT ve satın alma kontrol listesi. SSO/SAML, FERPA, SOC 2, veri yerleşimi, HECVAT, erişilebilirlik ve güvenlik incelemesinin nasıl yürütüleceğini kapsar.
Üniversite BT ekipleri, SSO, FERPA, SOC 2 ve erişilebilirlik gereksinimlerini karşılayan araştırma SaaS çözümlerine ihtiyaç duyar. Bu rehber, pratik bir değerlendirme kontrol listesi sunar ve yükseköğretime özgü uyumluluk hususlarını açıklar.
Üniversite BT, bilgi güvenliği veya satın alma alanında çalışıyorsanız, yeni bir yazılımı benimsemenin araştırmacıların sevdiği bir araç bulmak kadar basit olmadığını bilirsiniz. Kurumsal verilere temas eden her SaaS platformu; güvenlik incelemeleri, uyumluluk kontrolleri ve sözleşme müzakerelerinden oluşan zorlu bir süreçten geçmek zorundadır. Öğrenci çalışmaları, yayımlanmamış veriler ve federal olarak finanse edilen proje çıktıları gibi unsurları işleyebilen araştırma odaklı araçlar için gereksinimler özellikle katıdır.
Bu rehber, yükseköğretime özgü gereksinimlere odaklanarak araştırma amaçlı SaaS platformlarını değerlendirmek için pratik bir kontrol listesi sunar.
Tek oturum açma, kurumsal yazılımlar için isteğe bağlı değildir. Üniversiteler merkezi kimlik sistemleri kullanır ve ayrı bir kullanıcı adı ile parola gerektiren herhangi bir araç; güvenlik riski, yardım masası yükü ve kullanıcı sürtünmesi yaratır.
Talep Edilmesi Gerekenler SAML 2.0 desteği — yükseköğretimde kurumsal SSO için standart protokol Shibboleth uyumluluğu — birçok üniversite, özellikle InCommon federasyonundakiler, SAML kimlik sağlayıcısı olarak Shibboleth kullanır Azure AD / Entra ID entegrasyonu — üniversiteler Microsoft 365'e geçtikçe giderek daha yaygın hale geliyor Okta desteği — özellikle ABD'de olmak üzere giderek artan sayıda kurum tarafından kullanılıyor SCIM sağlama — dizin değişikliklerine göre otomatik kullanıcı oluşturma ve devre dışı bırakma (öğrenciler mezun olduğunda veya çalışanlar ayrıldığında hesapları yönetmek için kritik) MFA zorunluluğu — platform, kurumun MFA politikalarına uymalı, bunları atlatmamalıdır
Read next
- Explore more on sso
- Explore more on ferpa
- Explore more on uyumluluk
- Explore more on üniversite
- Explore more on satın alma
- Explore more on güvenlik
Related articles
Explore PapersFlow
Frequently Asked Questions
- FERPA yalnızca öğretim üyeleri tarafından kullanılan araştırma araçları için geçerli midir?
- Bu duruma bağlıdır. FERPA, öğrenci eğitim kayıtlarını korur; dolayısıyla araç yalnızca öğretim üyeleri tarafından kendi araştırmaları için kullanılıyorsa (öğrenci verisi yoksa), FERPA genellikle devreye girmez. Ancak öğrenciler platformu bir dersin parçası olarak kullanıyorsa veya öğrenci adları, notlar ya da tanımlayıcı bilgiler sistemde saklanıyorsa FERPA geçerlidir. Birçok üniversite, sıkı anlamda uygulanabilirlik belirsiz olsa bile, risk yönetimi stratejisi olarak FERPA gerekliliklerini tüm SaaS çözümlerine geniş kapsamlı şekilde uygular.
- HECVAT nedir ve sağlayıcıların neden bunu tamamlaması gerekir?
- HECVAT (Higher Education Community Vendor Assessment Toolkit), EDUCAUSE ve Internet2 tarafından geliştirilen standartlaştırılmış bir güvenlik anketidir. Her üniversitenin kendi anketini oluşturma ihtiyacını ortadan kaldırarak hem sağlayıcılar hem de kurumlar için zaman kazandırır. İki sürümü vardır: HECVAT Lite (daha düşük riskli araçlar için) ve HECVAT Full (hassas verileri işleyen araçlar için). Çoğu üniversite satın alma ofisi, tamamlanmış bir HECVAT olmadan sürece devam etmez.
- SOC 2 sertifikası olmayan bir sağlayıcı yine de onay alabilir mi?
- Teknik olarak evet, ancak bu önemli ölçüde ek zorluk yaratır. SOC 2 olmadan, üniversitenin güvenlik ekibi genellikle daha kapsamlı bir inceleme talep eder — buna ayrıntılı mimari dokümantasyon, sızma testi sonuçları ve muhtemelen yerinde denetim dahildir. Birçok üniversitenin, kurumsal verileri işleyen her araç için SOC 2 Type II zorunluluğu getiren bir politikası vardır. Daha küçük sağlayıcılar bazen alternatif kanıtlar kullanabilir (ISO 27001, tamamlanmış bir CAIQ veya bağımsız güvenlik denetimi raporları), ancak satın alma sürecinin daha uzun süreceğini beklemelisiniz.