Vad bör skolan tänka på vid inloggning i digitala system?
Skolan bör säkerställa att inloggning är säker, spårbar och anpassad till systemets känslighet. Det ska vara tydligt vem som loggar in, i vilken roll och vilken information personen får åtkomst till.
Digitala system är en central del av skolans vardag. Rektorer, lärare, administratörer, elevhälsa och huvudmän använder system för frånvaro, dokumentation, betyg, kommunikation, ekonomi och stödinsatser.
Det gör inloggningen till en säkerhetsfråga, inte bara en teknisk fråga.
Skolledningen bör veta vilka krav som gäller för olika system. Ett enklare informationssystem kan kräva en annan nivå än ett system där personal hanterar känsliga personuppgifter, elevhälsodata eller sekretessbelagd information.
Digg framhåller att den som erbjuder en e-tjänst behöver bedöma vilken tillitsnivå som ska krävas för åtkomst och välja e-legitimation utifrån det.
I praktiken bör skolan eller huvudmannen ha svar på fem frågor:
Vem får logga in?
Hur identifieras personen?
Vilken roll har personen?
Vilka system och uppgifter får personen åtkomst till?
Hur följs inloggningar och behörigheter upp?
Det räcker alltså inte att inloggningen är “säker” i allmän mening. Den måste också hänga ihop med skolans organisation, ansvarsfördelning och behörighetsstyrning.
En bra rutin bör omfatta både anställda, vikarier, konsulter och personal som byter roll. Särskilt viktigt är att behörigheter snabbt ändras eller tas bort när en person inte längre behöver åtkomst.
Tre viktiga saker att tänka på
Olika system kräver olika säkerhetsnivå
Ett system för allmän information är inte samma sak som ett system för elevhälsa, betyg, frånvaro eller sekretessbelagda uppgifter.
Inloggning ska kopplas till roll och ansvar
Det räcker inte att veta vem personen är. Skolan behöver också veta i vilken yrkesroll personen loggar in och vilken åtkomst rollen ska ge.
Tillitsnivå och åtkomst behöver bedömas
Digg lyfter att den som erbjuder en e-tjänst behöver bedöma hur säkert användaren behöver vara identifierad och vilken åtkomst som ska ges.
Vanliga misstag
Att samma inloggningslösning används för alla system utan riskbedömning.
Att behörigheter sätts tekniskt men inte följs upp organisatoriskt.
Att vikarier och tillfällig personal får för bred åtkomst.
Att skolan saknar rutin för vad som händer när någon byter roll.
