SSO, FERPA và tuân thủ: Các trường đại học cần gì từ SaaS nghiên cứu
Danh sách kiểm tra dành cho bộ phận CNTT và mua sắm để đánh giá các nền tảng SaaS nghiên cứu. Bao gồm SSO/SAML, FERPA, SOC 2, lưu trú dữ liệu, HECVAT, khả năng truy cập và cách thực hiện đánh giá bảo mật.
Các nhóm CNTT của trường đại học cần SaaS nghiên cứu đáp ứng các yêu cầu về SSO, FERPA, SOC 2 và khả năng truy cập. Hướng dẫn này cung cấp danh sách kiểm tra đánh giá thực tiễn và giải thích các yếu tố tuân thủ dành riêng cho giáo dục đại học.
Nếu bạn làm việc trong bộ phận CNTT đại học, an ninh thông tin hoặc mua sắm, bạn biết rằng việc áp dụng phần mềm mới không bao giờ đơn giản như chỉ tìm một công cụ mà các nhà nghiên cứu yêu thích. Mọi nền tảng SaaS có liên quan đến dữ liệu của tổ chức đều phải vượt qua hàng loạt đợt rà soát bảo mật, kiểm tra tuân thủ và đàm phán hợp đồng. Đối với các công cụ tập trung vào nghiên cứu — vốn có thể xử lý bài làm của sinh viên, dữ liệu chưa công bố và đầu ra của các dự án được tài trợ bởi liên bang — các yêu cầu còn đặc biệt nghiêm ngặt hơn.
Hướng dẫn này cung cấp một danh sách kiểm tra thực tiễn để đánh giá các nền tảng SaaS phục vụ nghiên cứu, tập trung vào những yêu cầu đặc thù của giáo dục đại học.
Đăng nhập một lần không phải là tùy chọn đối với phần mềm cấp tổ chức. Các trường đại học vận hành hệ thống danh tính tập trung, và bất kỳ công cụ nào yêu cầu tên người dùng và mật khẩu riêng đều tạo ra rủi ro bảo mật, tăng gánh nặng cho bộ phận hỗ trợ và gây cản trở cho người dùng.
Những gì cần yêu cầu Hỗ trợ SAML 2.0 — giao thức tiêu chuẩn cho SSO doanh nghiệp trong giáo dục đại học Tương thích với Shibboleth — nhiều trường đại học sử dụng Shibboleth làm nhà cung cấp danh tính SAML, đặc biệt là các trường trong liên minh InCommon Tích hợp Azure AD / Entra ID — ngày càng phổ biến khi các trường đại học chuyển sang Microsoft 365 Hỗ trợ Okta — được ngày càng nhiều tổ chức sử dụng, đặc biệt tại Mỹ Cấp phát SCIM — tự động tạo và vô hiệu hóa người dùng dựa trên thay đổi trong thư mục danh tính (rất quan trọng để quản lý tài khoản khi sinh viên tốt nghiệp hoặc nhân viên nghỉ việc) Thực thi MFA — nền tảng phải tuân theo chính sách MFA của tổ chức, không được bỏ qua
Read next
- Explore more on sso
- Explore more on ferpa
- Explore more on tuân thủ
- Explore more on trường đại học
- Explore more on mua sắm
- Explore more on bảo mật
Related articles
Explore PapersFlow
Frequently Asked Questions
- FERPA có áp dụng cho các công cụ nghiên cứu chỉ được giảng viên sử dụng không?
- Điều đó còn tùy. FERPA bảo vệ hồ sơ giáo dục của sinh viên, vì vậy nếu công cụ chỉ được giảng viên sử dụng cho nghiên cứu riêng của họ (không có dữ liệu sinh viên), thì thông thường FERPA sẽ không được kích hoạt. Tuy nhiên, nếu sinh viên sử dụng nền tảng như một phần của khóa học, hoặc nếu tên, điểm số hay mã định danh của sinh viên được lưu trữ trong hệ thống, thì FERPA sẽ áp dụng. Nhiều trường đại học áp dụng rộng các yêu cầu của FERPA cho mọi SaaS như một chiến lược quản lý rủi ro, ngay cả khi phạm vi áp dụng nghiêm ngặt vẫn chưa chắc chắn.
- HECVAT là gì và tại sao nhà cung cấp cần hoàn thành nó?
- HECVAT (Higher Education Community Vendor Assessment Toolkit) là một bộ câu hỏi bảo mật tiêu chuẩn do EDUCAUSE và Internet2 phát triển. Nó thay thế nhu cầu mỗi trường đại học phải tự tạo bảng câu hỏi riêng, giúp tiết kiệm thời gian cho cả nhà cung cấp lẫn tổ chức. Có hai phiên bản: HECVAT Lite (cho các công cụ rủi ro thấp hơn) và HECVAT Full (cho các công cụ xử lý dữ liệu nhạy cảm). Hầu hết các bộ phận mua sắm của trường đại học sẽ không tiếp tục quy trình nếu chưa có HECVAT đã hoàn thành.
- Nhà cung cấp không có chứng nhận SOC 2 vẫn có thể được phê duyệt không?
- Về mặt kỹ thuật là có, nhưng sẽ phát sinh trở ngại đáng kể. Nếu không có SOC 2, nhóm bảo mật của trường đại học thường sẽ yêu cầu một đợt đánh giá sâu hơn — bao gồm tài liệu kiến trúc chi tiết, kết quả kiểm thử xâm nhập và có thể cả kiểm toán tại chỗ. Nhiều trường đại học có chính sách yêu cầu SOC 2 Type II đối với bất kỳ công cụ nào xử lý dữ liệu của tổ chức. Các nhà cung cấp nhỏ hơn đôi khi có thể dùng bằng chứng thay thế (ISO 27001, CAIQ đã hoàn thành hoặc báo cáo kiểm toán bảo mật độc lập), nhưng hãy chuẩn bị rằng quy trình mua sắm sẽ mất nhiều thời gian hơn.