[论文解读] Virtual Classrooms and Real Harms.

Shaanan Cohney, Ross Teixeira+5 more|arXiv (Cornell University)|Dec 10, 2020

Information and Cyber Security被引用 5

一句话总结

本文通过分析23个平台的参与者激励、隐私政策、州法律及技术漏洞，为大学在线学习平台开发了一套风险评估模型。该模型为管理人员提供了评估安全与隐私风险的方法论，并提出了可操作的建议，以保护机构相关利益方。

ABSTRACT

Universities have been forced to rely on remote educational technology to facilitate the rapid shift to online learning. In doing so, they acquire new risks of security vulnerabilities and privacy violations. To help universities navigate this landscape, we develop a model that describes the actors, incentives, and risks, informed by surveying 49 educators and 14 administrators at U.S. universities. Next, we develop a methodology for administrators to assess security and privacy risks of these products. We then conduct a privacy and security analysis of 23 popular platforms using a combination of sociological analyses of privacy policies and 129 state laws, alongside a technical assessment of platform software. Based on our findings, we develop recommendations for universities to mitigate the risks to their stakeholders.

研究动机与目标

• 识别并绘制大学在采用远程教育技术过程中涉及的关键参与者、激励机制与风险。
• 为大学管理人员开发一种实用的方法论，以评估教育科技平台的安全与隐私风险。
• 通过隐私政策审查、州法律合规性分析及技术安全评估，分析23款流行的在线学习平台。
• 生成基于证据的建议，以减轻虚拟课堂中的隐私与安全危害。
• 支持大学在快速推进在线学习的过程中保护学生与教师的数据。

提出的方法

• 对美国大学的49名教育工作者和14名管理人员进行调查，以绘制利益相关者的激励机制与风险认知。
• 构建了在线教育技术采纳过程中参与者、激励机制与风险的理论模型。
• 运用社会学分析方法，对23个平台的隐私政策进行分析，以识别数据处理实践。
• 绘制平台对129项与数据隐私和保护相关的州法律的合规情况。
• 对平台软件执行技术评估，以检测安全漏洞。
• 将研究发现整合为一套风险评估方法论，供大学管理人员评估教育科技工具。

实验结果

研究问题

• RQ1 美国大学在线学习平台面临的主要安全与隐私风险是什么？
• RQ2 在远程教育环境中，教育工作者、管理人员与教育科技供应商的激励机制如何协同或冲突？
• RQ3 主流教育科技平台在多大程度上符合州级数据隐私法律？
• RQ4 广泛使用的虚拟课堂平台中存在哪些技术漏洞？
• RQ5 大学如何系统性地评估并减轻其在线学习技术选型中的风险？

主要发现

• 许多流行的教育科技平台在隐私政策中未明确获得同意或缺乏透明度，即收集了敏感的学生数据。
• 平台的隐私声明与实际数据处理实践之间存在显著差异。
• 众多平台未能遵守129项州隐私法律的关键条款，特别是在数据保留和第三方数据共享方面。
• 技术评估揭示了多种安全漏洞，包括弱身份认证和未加密的数据传输。
• 研究发现，大学在教育科技采购中普遍缺乏标准化的风险评估框架。
• 管理人员往往对其所选平台中的数据流动与第三方集成缺乏清晰认知。