[論文レビュー] Virtual Classrooms and Real Harms.

Shaanan Cohney, Ross Teixeira+5 more|arXiv (Cornell University)|Dec 10, 2020

Information and Cyber Security被引用数 5

ひとこと要約

本論文は、23のプラットフォームを対象に、アクターのインセンティブ、プライバシーポリシー、州法、技術的脆弱性を分析することで、大学のオンライン学習プラットフォームのリスク評価モデルを構築した。本研究は、管理者がセキュリティおよびプライバシーのリスクを評価するための手法を提供し、機関のステークホルダーを保護するための実行可能な提言を提示する。

ABSTRACT

Universities have been forced to rely on remote educational technology to facilitate the rapid shift to online learning. In doing so, they acquire new risks of security vulnerabilities and privacy violations. To help universities navigate this landscape, we develop a model that describes the actors, incentives, and risks, informed by surveying 49 educators and 14 administrators at U.S. universities. Next, we develop a methodology for administrators to assess security and privacy risks of these products. We then conduct a privacy and security analysis of 23 popular platforms using a combination of sociological analyses of privacy policies and 129 state laws, alongside a technical assessment of platform software. Based on our findings, we develop recommendations for universities to mitigate the risks to their stakeholders.

研究の動機と目的

• 大学におけるリモート教育技術の導入に関連する主要なアクター、インセンティブ、リスクを特定およびマッピングすること。
• 大学の管理者が教育技術プラットフォームのセキュリティおよびプライバシーのリスクを評価するための実用的な手法を開発すること。
• 23の一般的なオンライン学習プラットフォームを、プライバシーポリシーのレビュー、州法への準拠、技術的セキュリティ評価を通じて分析すること。
• 仮想教室におけるプライバシーおよびセキュリティの被害を軽減する根拠に基づいた提言を生成すること。
• 急激なオンライン学習への移行のなかで、大学が学生および教員のデータを保護するのを支援すること。

提案手法

• 米国の大学の教育者49名および管理者14名に対してアンケート調査を実施し、関係者によるインセンティブおよびリスク認識をマッピングした。
• オンライン教育技術の導入におけるアクター、インセンティブ、リスクの概念的モデルを構築した。
• 23のプラットフォームのプライバシーポリシーに社会学的分析を適用し、データ取り扱いの実態を特定した。
• データプライバシーおよび保護に関連する129の州法に準拠しているかをプラットフォームごとにマッピングした。
• プラットフォームのソフトウェアに対して技術的評価を実施し、セキュリティ脆弱性を同定した。
• 調査結果を統合し、大学管理者が教育技術ツールを評価するためのリスク評価手法を構築した。

実験結果

リサーチクエスチョン

• RQ1 米国の大学におけるオンライン学習プラットフォームに関連する主なセキュリティおよびプライバシーのリスクは何か？
• RQ2 リモート教育環境において、教育者、管理者、教育技術ベンダーのインセンティブはどのように一致または対立するか？
• RQ3 一般的な教育技術プラットフォームは、州レベルのデータプライバシー法にどの程度準拠しているか？
• RQ4 広く使われている仮想教室プラットフォームにどのような技術的脆弱性が存在するか？
• RQ5 大学は、オンライン学習技術の選定において、どのようにして体系的にリスクを評価・軽減できるか？

主な発見

• 多くの一般的な教育技術プラットフォームが、プライバシーポリシーに明確な同意や透明性がないまま、機微な学生データを収集していた。
• プラットフォームのプライバシーに関する主張と、実際のデータ取り扱いの実態との間に顕著な乖離が確認された。
• 多くのプラットフォームが、特にデータ保持および第三者機関とのデータ共有に関する点で、129の州プライバシー法の主要な規定に準拠していなかった。
• 技術的評価により、弱い認証および暗号化されていないデータ送信といった複数のセキュリティ脆弱性が判明した。
• 大学における教育技術調達のための標準化されたリスク評価フレームワークの欠如が同定された。
• 管理者が選定したプラットフォーム内のデータフローおよび第三者統合の状況を把握する能力に欠けていた。