3 ноября 2026 г.
Обращение от Сатиша
Доверие завоевывается реальной работой
Предисловие Сатиша Шетти (Satish Shetty), старшего вице-президента, главного директора по технологической инфраструктуре и информационной безопасности
Защита информации учащихся, сотрудников и школьных округов — это одна из важнейших обязанностей, возложенных на образовательные организации и обслуживающие их компании. Более того, она является основой практически для каждого аспекта деятельности школьного округа. От обучения и преподавания до взаимодействия с семьями, обслуживания учащихся и ежедневных операций — школы полагаются на надежные системы и защищенные данные для эффективного служения своим сообществам.
Это также ответственность, которую нельзя сводить к простому контрольному списку для проверки соответствия требованиям.
Кибербезопасность — это не конечная точка. Угрозы эволюционируют, технологии меняются, а требования продолжают расти. Каждая организация должна постоянно оценивать свои допущения, проверять средства защиты и улучшать способность реагировать на возникающие проблемы.
Один урок стал предельно ясен: готовность важна ровно так же, как и предотвращение. Надежные программы безопасности строятся не только на технологиях. Они зависят от четкого распределения ответственности, повторяемых процессов, независимой проверки, прозрачности и приверженности постоянному совершенствованию.
В PowerSchool мы использовали накопленный опыт как возможность проанализировать, как принимаются решения в области безопасности, как контролируется доступ, как отслеживаются риски и как команды готовятся к инцидентам и реагируют на них. Эта работа продолжается и усиливает защиту данных, которые нам доверили.
В этом руководстве представлены пять практических принципов, которые могут помочь школьным округам, руководителям сферы образования и поставщикам технологий оценить собственные практики, выявить возможности для улучшения и укрепить доверие со стороны сообществ, которым они служат.
Пять принципов
- Встраивайте безопасность на каждый уровень
- Предоставьте клиентам контроль над их данными
- Внедряйте конфиденциальность на практике
- Управляйте ИИ ответственно
- Относитесь к безопасности как к общей ответственности
Принцип 1: Встраивайте безопасность на каждый уровень
Безопасность по замыслу
Почему это важно
Безопасность наиболее эффективна, когда она с самого начала заложена в инфраструктуру, продукты, процессы разработки, системы мониторинга и повседневные операции. Если безопасность рассматривается как второстепенная задача, риски могут закрепиться в системах и процессах, устранить которые впоследствии будет сложно.
Чему учит опыт
Ни один отдельный инструмент, сертификация или команда безопасности не могут защитить организацию в одиночку. Надежные программы кибербезопасности опираются на множество уровней защиты, работающих совместно в рамках идентификационных данных, конечных точек, сетей, приложений, хранилищ данных и операционных процессов.
Организации должны постоянно выявлять уязвимости, расставлять приоритеты в усилиях по их устранению, проверять корректирующие действия и переоценивать риски по мере изменения их сред. Специализированные ресурсы по безопасности, четкая подотчетность и постоянный надзор имеют важное значение для поддержания динамики.
Как выглядят передовые практики
Организации K-12 должны:
- Шифровать конфиденциальную информацию как в состоянии покоя, так и при передаче.
- Поддерживать операционные системы, приложения, фреймворки и библиотеки программного обеспечения в актуальном состоянии.
- Развертывать средства сетевой защиты, защиту конечных точек, безопасные конфигурации и непрерывный мониторинг.
- Внедрять элементы контроля доступа на основе ролей и регулярно проверять разрешения для пользователей, служебных учетных записей, облачных рабочих нагрузок и баз данных.
- Интегрировать проверки безопасности, сканирование кода, анализ зависимостей, тестирование на проникновение и практики устранения уязвимостей в процессы разработки продуктов.
- Установить четкую ответственность за управление, мониторинг, реагирование на инциденты, восстановление и непрерывное совершенствование.
Точка зрения PowerSchool
PowerSchool применяет многоуровневый подход к безопасности во всей своей технологической среде и портфеле продуктов. Примеры включают:
- Непрерывный мониторинг через специализированный Центр обеспечения безопасности (SOC).
- Регулярное сканирование уязвимостей и тестирование на проникновение для продуктов и инфраструктуры.
- Статическое и динамическое тестирование безопасности приложений, интегрированное в рабочие процессы разработки.
- Текущие инициативы по безопасности, ориентированные на обновление операционных систем, исправление уязвимостей фреймворков, управление учетными данными, контроль удаленного доступа, облачные разрешения, стандарты шифрования и модернизацию протоколов безопасности.
Программа безопасности PowerSchool регулярно оценивается в ходе независимых проверок и на основе признанных стандартов, включая:
- Сертификацию ISO 27001:2022
- Соответствие требованиям SOC 2
- Сертификацию 1EdTech TrustEd Apps
Вопросы, которые стоит задать вашей организации
- Есть ли у нас видимость наших наиболее критических рисков безопасности?
- Как быстро выявляются и устраняются уязвимости?
- Последовательно ли применяются средства управления безопасностью в различных системах и средах?
- Кто несет ответственность за управление безопасностью и надзор за ней?
Принцип 2: Знайте свои данные и управляйте ими
Контроль клиентов над данными
Почему это важно
Округа не могут защитить данные, которые они не видят или не контролируют. Четкое представление о том, какую информацию они собирают, где она находится, как перемещается, кто имеет к ней доступ и когда ее следует удалять, позволяет руководству устанавливать надежные правила и привлекать к ответственности как внутренние команды, так и поставщиков технологий.
Чему учит опыт
Многие организации со временем накапливают конфиденциальную информацию, не до конца понимая риски, создаваемые экспортом, интеграциями, резервными копиями, историческими записями и сторонними системами. Чем больше копий информации существует, тем выше важность четко определенной ответственности, политик хранения и процедур удаления.
Как выглядят передовые практики
Организации K-12 должны:
- Собирать только ту информацию, которая необходима для определенных образовательных или операционных целей.
- Документировать, где конфиденциальные данные собираются, хранятся, обрабатываются, передаются, резервно копируются и удаляются.
- Внедрять элементы контроля доступа на основе ролей и регулярно проверять привилегированный доступ.
- Определять графики хранения данных на основе юридических, нормативных, образовательных и операционных требований.
- Проверять, распространяются ли процессы удаления на подключенные системы, экспортированные файлы, архивы и резервные копии, где это применимо.
- Проверять практики работы с данными третьих сторон перед закупкой и на протяжении всего периода отношений с поставщиком.
Точка зрения PowerSchool
Школы и округи должны сохранять контроль над тем, как осуществляется доступ к их информации, как она используется, хранится и удаляется. Поставщики технологий должны предоставлять им четкую информацию, практические элементы управления и надежные процессы для реализации этих полномочий.
Примеры включают:
- Сроки хранения данных, контролируемые округом.
- Возможности очистки записей учащихся в PowerSchool SIS.
- Поддержку каскадного удаления в подключенных системах, где это доступно.
- Управляемые округом разрешения и интеграции с поставщиками удостоверений (IdP).
- Решения по дизайну продуктов, которые минимизируют сбор конфиденциальной информации, когда такая информация не требуется для предоставления функциональности.
Вопросы, которые стоит задать вашей организации
- Знаем ли мы, где хранятся все данные учащихся и сотрудников?
- Официально ли задокументированы графики хранения данных?
- Можем ли мы с уверенностью удалить информацию, когда она больше не нужна?
- Как часто мы пересматриваем доступ к конфиденциальной информации?
Принцип 3: Внедряйте конфиденциальность на практике
Конфиденциальность как практика
Почему это важно
Конфиденциальность — это нечто большее, чем просто сбор, хранение и защита данных. Она требует от организаций принятия осознанных решений о том, как информация используется, объясняется, проверяется и регулируется на протяжении всего ее жизненного цикла.
Обязательства в сфере конфиденциальности имеют смысл только тогда, когда они подкреплены четкой подотчетностью и последовательным исполнением.
Чему учит опыт
Требования комплаенса формируют важную основу, однако результаты в области конфиденциальности определяются повседневными решениями в масштабах всей организации.
Семьи, педагоги и руководители школьных округов должны иметь возможность понимать, как используется информация, без необходимости обладать юридическими или техническими знаниями. Прозрачность, документация и управление помогают укрепить уверенность и доверие.
Как выглядит передовая практика
Организациям K-12 следует:
- Оценивать последствия для конфиденциальности до внедрения новых систем, интеграций, форм, функций или вариантов использования данных.
- Четко документировать, почему собирается информация и как она будет использоваться.
- Ограничивать вторичное использование, выходящее за рамки исходной цели сбора.
- Устанавливать процессы для доступа, исправления, удаления и запросов, связанных с конфиденциальностью.
- Проверять обязательства поставщиков, субподрядчиков, места хранения данных и договорные обязательства.
- Обучать сотрудников распознаванию вопросов конфиденциальности в ходе повседневной работы.
Перспектива PowerSchool
PowerSchool стремится поддерживать конфиденциальность посредством документированных обязательств, практик управления и процессов постоянного пересмотра.
Примеры включают в себя:
- Обязательства по конфиденциальности, согласованные с конкретными фреймворками и соглашениями.
- Доступ клиентов к документации по обработке данных и соблюдению нормативных требований.
- Учет принципов конфиденциальности и минимизации данных при принятии продуктовых решений.
- Регулярные проверки для обеспечения того, чтобы практика развивалась в ногу с меняющимися нормативными требованиями и ожиданиями клиентов.
Вопросы, которые стоит задать вашей организации
- Включены ли вопросы конфиденциальности в планирование проектов?
- Понимают ли заинтересованные стороны, как именно используется информация?
- Назначены ли и задокументированы ли обязанности в сфере конфиденциальности?
- Как часто пересматриваются политики и процедуры обеспечения конфиденциальности?
Принцип 4: Ответственное управление ИИ
Ответственное управление искусственным интеллектом
Почему это важно
Искусственный интеллект открывает новые возможности в сфере образования, но в то же время порождает новые обязанности. Системы ИИ должны управляться с той же строгостью, которая применяется к программам кибербезопасности, конфиденциальности и управления данными.
Чему учит опыт
Управление ИИ не может начинаться после развертывания решения. Организации должны понимать, какую информацию получают системы ИИ, как эта информация обрабатывается, сохраняется ли она и как проверяются результаты работы.
Человеческая ответственность остается ключевым фактором независимо от того, насколько продвинутой становится технология.
Как выглядит передовая практика
Организациям следует:
- Вести учет утвержденных инструментов ИИ и сценариев их использования.
- Определить зоны ответственности за утверждение, настройку и мониторинг возможностей на базе ИИ.
- Минимизировать объем конфиденциальной информации, передаваемой системам ИИ.
- Понимать, сохраняются ли данные клиентов, передаются ли они третьим лицам или используются ли для обучения моделей.
- Требовать надлежащей проверки результатов и рекомендаций со стороны человека.
- Оценивать предвзятость, точность, конфиденциальность, безопасность, прозрачность и соответствие возрасту.
- Отслеживать изменения в моделях, практике работы поставщиков, условиях обслуживания и политиках обработки данных.
Перспектива PowerSchool
PowerSchool считает, что управление ИИ должно отражать те же ожидания в отношении безопасности и конфиденциальности, которые применяются ко всему портфолио компании. Ознакомьтесь с Заявлением PowerSchool об ответственном использовании ИИ здесь.
Организациям K-12, внедряющим ИИ, следует сосредоточиться на следующем:
- Согласование функций ИИ с устоявшимися стандартами безопасности и конфиденциальности.
- Предоставление административных элементов управления при наличии технической поддержки.
- Документирование практик обработки данных на уровне продукта и сценария использования.
- Оценка сторонних интеграций и потоков данных до развертывания.
Вопросы, которые стоит задать вашей организации
- Знаем ли мы, какие инструменты ИИ одобрены и почему?
- Как данные клиентов обрабатываются в системах на базе ИИ?
- Кто несет ответственность за решения по управлению ИИ?
- Какие средства защиты предусмотрены для контроля со стороны человека?
Принцип 5: Рассматривайте безопасность как общую ответственность
Безопасность как общая ответственность
Почему это важно
Поставщики технологий и школьные округа играют критически важную роль в защите информации. Высокий уровень безопасности зависит от того, понимают ли обе стороны свои обязанности и работают ли совместно над снижением рисков.
Чему учит опыт
Даже самые надежные технологии безопасности могут быть скомпрометированы из-за слабых паролей, общих учетных записей, чрезмерных привилегий, фишинговых атак или нечеткого распределения ответственности.
Готовность должна выходить за рамки предотвращения и включать в себя коммуникацию, координацию, восстановление и непрерывное обучение.
Как выглядит передовая практика
Организациям K-12 следует:
- Требовать многофакторную аутентификацию везде, где это возможно.
- Использовать уникальные учетные данные и проверенные менеджеры паролей.
- Исключить общие учетные записи и небезопасное хранение учетных данных.
- Регулярно проверять административные, привилегированные, служебные и неактивные учетные записи.
- Проводить регулярное обучение по повышению осведомленности в вопросах безопасности, адаптированное под конкретные роли.
- Учить пользователей распознавать попытки фишинга, подозрительные сообщения, небезопасные ссылки и атаки с использованием методов социальной инженерии.
- Четко определять ответственность поставщика, округа и общие обязанности до начала внедрения.
- Проверять контакты для реагирования на инциденты, процедуры эскалации, резервные копии, планы коммуникации и процессы восстановления путем регулярного тестирования.
Перспектива PowerSchool
PowerSchool поддерживает округа с помощью настраиваемых средств контроля безопасности, интеграций удостоверений, руководств по внедрению и четких операционных процессов. Чтобы помочь округам соблюдать стандарты передового опыта в рамках концепции разделенной ответственности, системы PowerSchool требуют двухфакторной аутентификации и соблюдения минимальных требований к паролям.
Примеры включают в себя:
- Настраиваемые округом элементы контроля доступа.
- Интеграции с поставщиками удостоверений (Identity Provider).
- Контролируемые процедуры поддержки и доступа для обслуживания.
- Совместное планирование и сотрудничество в вопросах безопасности.
Вопросы, которые стоит задать вашей организации
- Включена ли многофакторная аутентификация везде, где это возможно?
- Задокументированы ли четко обязанности в сфере безопасности?
- Проходят ли пользователи регулярное обучение по безопасности?
- Проверялись ли недавно процессы реагирования на инциденты?
Практическая 90-дневная отправная точка
Повышение уровня кибернетической безопасности не требует решения всех задач одновременно. Наиболее эффективные программы сосредоточены на устойчивом, измеримом прогрессе.
В течение следующих 90 дней:
Оцените текущую практику
Оцените свою организацию по пяти принципам, изложенным в этом руководстве.
Выявите приоритетные пробелы
Определите, какие уязвимости представляют наибольший риск для учащихся, сотрудников и операционной деятельности.
Назначьте ответственных
Убедитесь, что за каждой областью улучшений закреплен конкретный владелец, отвечающий за исполнение и отчетность.
Сосредоточьтесь на измеримых улучшениях
Выберите небольшое число реалистичных мер, которые могут быть выполнены и проверены в течение 90 дней.
Примеры могут включать в себя:
- Включение многофакторной аутентификации для администраторов.
- Проверку прав привилегированного доступа.
- Обновление графика хранения данных.
- Тестирование процедур восстановления из резервных копий.
- Создание инвентарного перечня систем управления ИИ.
- Проведение кабинетных учений по реагированию на инциденты.
Анализируйте и повторяйте
По истечении 90 дней оцените прогресс, выявите оставшиеся пробелы и установите следующий набор приоритетов.
Работа по обеспечению кибербезопасности никогда не заканчивается
Кибербезопасность — это не проект с финишной прямой. Это постоянное обязательство по защите людей, обеспечению безопасности информации, поддержанию доверия и непрерывному совершенствованию.
Независимо от того, являетесь ли вы руководителем школьного округа, администратором технологий, педагогом или поставщиком технологических решений, самым важным шагом является начало работы, честная оценка, постоянное улучшение и сохранение подотчетности на этом пути. Доверие завоевывается трудом.
Обязательства PowerSchool по защите ваших данных
Узнайте о действиях и политике PowerSchool по обеспечению безопасности данных ваших учащихся, семей и системы образования.
