L’état de la cybersécurité dans l’éducation : les responsabilités du secteur EdTech envers les enfants

La dépendance croissante de l’enseignement primaire et secondaire vis-à-vis des technologies numériques a conduit à augmentation de la cybercriminalité dans les écoles britanniques. Contrairement à d’autres secteurs des technologies de l’information et de la communication, l’industrie EdTech a tendance à échapper aux enquêtes de recherche critiques concernant leur état de cybersécurité. Les entreprises EdTech travaillent dans un environnement en évolution rapide et relativement non réglementé et leurs mesures de cybersécurité restent largement inconnues. dans un nouveau Document de travail Media@LSE sur laquelle se base ce billet, Velislava Hillman se concentre sur l’état de la cybersécurité dans l’éducation en s’adressant aux entreprises EdTech, pour cartographier les défis et identifier les besoins de sûreté et de sécurité dans l’éducation.

Alors que le discours autour de l’éducation numérisée continue de passer sous silence les questions de collecte de données, ceux qui demandent des données d’un côté (décideurs politiques) et ceux qui les collectent de l’autre (fournisseurs EdTech) ont tendance à rester incontestés. Parler des données sur l’éducation ou de la perte de confidentialité des données comme une chose à part entière sans aborder les entreprises qui créent les problèmes en premier lieu, ne fait que conduire à une plus grande absence de responsabilité individuelle et collective pour la vie privée des enfants dans une éducation numérisée. Réitérer uniquement les problèmes risque de désensibiliser le public aux pratiques d’exploitation des entreprises qui conduisent le capitalisme des données et de légitimer encore plus leur domination et leur pouvoir. Alors que nous assistons à la dépendance progressive de l’éducation vis-à-vis de l’EdTech, il y a eu un changement radical d’un discours significatif autour : du but de l’éducation et de la cybercriminalité croissante dans les écoles. Cela est également allé de pair avec une explosion de conceptions incontestées et dirigées par l’industrie pour l’éducation des enfants sans code clair de bonnes pratiques, de références ou, en fait, de mandats et de validation externe sur qui les respecte.

Cette recherche a tenté d’aborder directement les enjeux de la digitalisation de l’éducation en allant à la rencontre de ses prestataires : les métiers de l’EdTech. Les aborder en parlant de cybersécurité – plutôt que de dire, la pédagogie leur a permis de pointer concrètement les problèmes actuels et tangibles émergeant du fait de leur prolifération dans les écoles, et même de discuter de solutions actionnables, dont une grande partie a été proposée par les entreprises elles-mêmes. Et donc, cette recherche a été ne pas sur la valeur pédagogique des EdTech ou leur contribution aux résultats d’apprentissage, au programme ou au bien-être des enfants. Au lieu de cela, il visait à entamer une conversation honnête avec les entreprises EdTech sur ce qu’elles font et comment elles protègent la vie privée et les droits fondamentaux des enfants. Simultanément, il visait également à échanger des connaissances et à aligner leurs priorités sur les avantages et les droits fondamentaux des enfants.

Le coût de la cyber-insécurité

La cybercriminalité dans l’éducation continue de croître en fréquence et en ampleur. Entre 2021 et 2022, environ 41 % des écoles primaires et 70 % des écoles secondaires du Royaume-Uni ont été victimes de cyber-violations. Compte tenu de la dépendance des écoles à la technologie numérique, la cybercriminalité perturbe l’éducation et prive les enfants de leur droit fondamental à celle-ci, tout en augmentant d’autres risques tels que celui de la perte de la vie privée. La cybercriminalité entraîne la perte d’informations sensibles sur les enfants et les enseignants et rend les systèmes inutilisables. On estime que le coût de la cybercriminalité dans l’enseignement primaire et secondaire dépasse le coût des cyber-violations dans tout autre secteur à l’échelle mondiale. La cybercriminalité entraîne la perte d’informations sensibles sur les enfants et les enseignants et rend les systèmes inutilisables.

Pour identifier les rôles, les responsabilités et les lacunes qui mènent aux cyber-insécurités dans l’éducation, cette recherche a utilisé deux méthodologies. Tout d’abord, des entretiens approfondis ont été menés avec des représentants de l’industrie, des fondateurs d’EdTech, des experts en sécurité et en logiciels, des directeurs généraux et/ou des responsables de la technologie. Des entretiens ont également été menés avec des représentants du National Cyber ​​Security Center (NCSC) et du consortium IASME qui fournit le cadre de cybersécurité CyberEssentials, du National Institute of Standards and Technology (NIST) qui fournit le cadre de cybersécurité NIST (NIST CSF) et d’autres cadres ( NIST 800-171/800-53) et l’Initiative nationale pour la cybersécurité dans l’éducation (NICE). Et deuxièmement, la littérature accessible au public (écrite en anglais) a été analysée pour identifier le discours dominant entourant la cybersécurité dans l’éducation numérisée.

Résumé des conclusions

1. Il y a un manque d’orientations claires pour les entreprises EdTech sur quoi, comment, quand et pourquoi elles peuvent et doivent mettre en œuvre des contrôles de cybersécurité qui garantissent la sécurité et la confidentialité des données des enfants.
2. Les cadres de cybersécurité génériques existants ont tendance à être fastidieux et bureaucratiques difficiles à mettre en œuvre pour la plupart des start-up EdTech.
3. Il n’y a relativement aucun mandat strict imposé aux entreprises EdTech pour mettre en œuvre des contrôles de cybersécurité. Les cadres de cybersécurité existants (par exemple, CyberEssentials au Royaume-Uni, NIST CSF aux États-Unis) sont volontaires et difficiles à mettre en œuvre pour les entreprises EdTech.
4. Les coûts et les ressources nécessaires pour répondre aux normes de cybersécurité sont généralement élevés, ce qui rend presque impossible pour les start-ups de passer au niveau supérieur. Cela ne fait qu’augmenter les risques pour les enfants.
5. Certaines start-up ont une compréhension limitée de la nature et de l’étendue des dommages causés par les risques de cybersécurité. Certains petits fournisseurs considèrent que la sécurité autour des données d’éducation n’est pas aussi proche de l’os que, par exemple, les données de santé.
6. Il y a une volonté parmi les entreprises EdTech d’avoir une norme de cybersécurité dédiée et (un) organisme indépendant dédié qui peut les guider vers la maturité.
7. Un scénario idéal pour une norme de cybersécurité est qu’elle soit adaptée pour répondre aux besoins et aux vulnérabilités de l’enseignement primaire et secondaire. Cependant, pour que le secteur EdTech mène vers la maturité et les bonnes pratiques, une telle norme devrait être obligatoire.
8. Les investisseurs ne voient pas les contrôles et la validation de la cybersécurité comme un facteur décisif. La plupart du temps, les investisseurs ne posent pas de questions sur les risques de cybersécurité (et les coûts qui en découlent). S’ils le font, c’est quelque chose de mineur, pas un facteur influençant les décisions d’investissement.
9. La communauté scolaire est de plus en plus sensibilisée aux questions de cybersécurité. Les chefs d’établissement, les enseignants et les acheteurs d’EdTech exigent de voir une sorte de validation externe que les fournisseurs d’EdTech ont ce qu’il faut pour protéger les données des étudiants.
10. Il existe des lacunes importantes dans la littérature sur la cybersécurité et le secteur EdTech des écoles primaires et secondaires. La plupart des publications existantes traitent de ce que la communauté éducative devrait faire en matière de cybersécurité ; on parle peu du rôle du secteur EdTech ou des gouvernements.
11. De la réglementation laxiste à l’autorégulation n’est pas le moyen de gouverner l’industrie EdTech en pleine croissance faire confiance mais vérifier, comme l’a dit un fournisseur, marquer ses propres devoirs n’est pas idéal.

Les conclusions du rapport et une proposition de plan directeur pour la cybersécurité sous-tendant la protection de la confidentialité des données dans l’enseignement primaire et secondaire dans le monde seront présentées lors d’un événement spécial le 8 février 2023, de 10h00 à 11h00 GMT, via Zoom. pour plus d’informations, contactez Vélislava Hillman.

Cet article représente le point de vue de l’auteur et non la position du blog Media@LSE, ni de la London School of Economics and Political Science.

L’image sélectionnée: Photo par Annie Spratt sur Unsplash