Як оцінити безпеку LMS та відповідність GDPR і ISO

У навчальній системі зберігаються не лише курси. Профілі співробітників, відповіді в тестах, оцінки, письмові завдання й історія навчання можуть розповісти про людину більше, ніж звичайний корпоративний довідник. Якщо до них потрапляють кадрові коментарі чи документи з персональною інформацією, наслідки помилкового доступу стають серйознішими.

Безпека LMS починається з конкретного сценарію: керівник має бачити результати своєї команди, але не всього бізнесу; звільнений працівник має втратити доступ; адміністратор повинен розуміти, як відновити інформацію після збою. GDPR і ISO допомагають оцінювати різні частини цієї системи, але жодна назва не замінює перевірку документів і налаштувань.

Спочатку опишіть, які дані справді потрібні для навчання. Ім’я, робоча пошта й належність до підрозділу допомагають призначити курс. Копія паспорта чи пояснення медичного діагнозу зазвичай не потрібні для тієї самої задачі. Не переносіть до LMS усі поля кадрової системи лише тому, що технічно це можливо.

Для кожної категорії визначте мету, джерело, одержувачів і строк зберігання. Враховуйте не лише основну базу, а й експортовані звіти, вкладення, листи зі сповіщеннями та зовнішні сервіси. Таблиця результатів, яку керівник завантажив на особистий ноутбук, уже виходить за межі захисту навчального порталу.

Наприклад, для вступного курсу достатньо знати, кому його призначили, хто завершив навчання і кому потрібна допомога. Відкриті відповіді з описом конфліктів на роботі створюють інший ризик. Якщо вони не потрібні для навчальної мети, краще змінити саме завдання, а не намагатися компенсувати зайвий збір складнішими правами доступу.

Розділіть потреби адміністратора, автора курсу, керівника й учня. Авторові може бути потрібне редагування матеріалів, але не загальна база результатів. Керівникові потрібні дані для роботи зі своєю командою. Назва ролі сама по собі нічого не доводить: перевірте, які сторінки, звіти й операції вона реально відкриває.

Строк зберігання прив’язуйте до мети та застосовних вимог, а не до принципу «залишимо назавжди». Історія обов’язкового навчання та чернетка відповіді в необов’язковому курсі можуть мати різні правила. Зафіксуйте, хто переглядає ці строки і що запускає видалення або знеособлення. Власник навчання має знати, які записи треба зберегти, а юрист має підтвердити підстави.

Для кількох аудиторій перевірте також адміністративне розмежування порталів. Опис брендованих навчальних порталів AcademyOcean передбачає окремих адміністраторів і редакторів; межі доступу до результатів усе одно перевіряйте на власному сценарії, а не за зовнішнім оформленням академії.

SSO означає єдиний вхід через корпоративну систему ідентифікації. Це допомагає узгодити доступ до LMS з обліковим записом співробітника, проте окремо перевірте, чи залишаються інші способи входу та як припиняються вже відкриті сесії. Сам факт підключення SSO не підтверджує автоматичне видалення користувачів або перенесення всіх кадрових змін.

Документація AcademyOcean описує налаштування SSO через Microsoft Entra ID за протоколом SAML 2.0. Для перевірки доступу попросіть показати вхід тестового працівника й поведінку системи після зміни його дозволів у корпоративному середовищі. Точний сценарій блокування потрібно погодити з IT, а не припускати за назвою протоколу.

Двофакторна автентифікація додає до пароля ще одне підтвердження. В AcademyOcean описаний вхід із кодом Google Authenticator для учнів та адміністраторів. Перевірка має охоплювати не лише ввімкнення, а й відновлення доступу після втрати пристрою: хто підтверджує особу і де зберігається резервний ключ. Тестуйте це на службовому обліковому записі, не на єдиному адміністраторі робочої академії.

Розрізняйте захист даних під час передавання та під час зберігання. HTTPS захищає з’єднання браузера із сервісом, але не відповідає на всі запитання про базу даних, резервні копії чи керування ключами. Запросіть опис технічних і організаційних заходів: що саме шифрують, які компоненти охоплені та хто має службовий доступ.

На сторінці безпеки AcademyOcean зазначені SSL-з’єднання, щоденні резервні копії та шифрування резервних копій. Для рішення про закупівлю попросіть уточнити порядок відновлення, доступ до копій і параметри, які можуть бути закріплені у вашому договорі. Частота копіювання не дорівнює обіцянці відновити сервіс за певний час.

Журнал подій оцінюйте через запитання, на яке він має відповісти: хто змінив права, видалив запис або експортував дані? Попросіть зразок доступних подій, строк їх зберігання й спосіб отримання. Не називайте звичайну статистику навчання журналом безпеки: це різні задачі. Якщо потрібної події немає, IT має оцінити ризик та можливі додаткові заходи.

Для резервних копій важлива не лише наявність, а й перевірене відновлення. Обговоріть допустиму втрату даних і тривалість недоступності для вашого бізнесу. Якщо LMS потрібна для допуску до роботи, власник процесу має заздалегідь визначити тимчасовий порядок перевірки навчання під час збою.

GDPR регулює обробку персональних даних, а не є назвою функції LMS. Компанія має з’ясувати, чи застосовується регламент до її діяльності, які дані вона обробляє і на яких підставах. Наявність європейського сервера не вирішує ці питання автоматично. Для конкретної організації висновок готують юристи з урахуванням її працівників, діяльності та потоків даних.

У типовій моделі корпоративного навчання роботодавець визначає мету й обсяг обробки, а постачальник LMS обробляє дані за його дорученням. Фактичні ролі треба закріпити для конкретних операцій: той самий сервіс може окремо обробляти власні договірні чи платіжні дані. Європейська комісія пояснює відмінність між контролером і обробником через те, хто визначає цілі та засоби обробки.

Не обирайте згоду працівника як універсальне пояснення всіх операцій. Підстава залежить від мети й обставин. Повідомлення про приватність, яке бачить працівник, має узгоджуватися з реальним використанням результатів: для навчання, контролю обов’язкових програм або інших визначених процесів. Нове використання даних потребує окремої оцінки, а не лише нового звіту.

Угода про обробку даних, або DPA, описує доручення постачальнику та порядок взаємодії сторін. Перевіряйте конкретику: які дані обробляються, за чиїми інструкціями, як підтримується конфіденційність і яку допомогу постачальник надає замовнику. Попросіть також перелік субпроцесорів, їхні функції та порядок повідомлення про зміни.

Для міжнародних передавань важливі не лише адреси дата-центрів. З’ясуйте, звідки можливий доступ підтримки, які зовнішні сервіси залучені та який правовий механізм застосовується. Роз’яснення Єврокомісії про міжнародні передавання допомагає відрізнити географію зберігання від підстав і гарантій передавання за межі Європейської економічної зони.

Окремо пройдіть шлях запиту працівника: хто приймає звернення, як знаходить потрібні записи й отримує допомогу постачальника. Видалення профілю з інтерфейсу ще не пояснює долю вкладень, експортів і резервних копій. Визначте процедуру та винятки, зокрема коли певні записи треба зберігати на законній підставі. Це робочий процес із відповідальними, а не одна кнопка.

ISO/IEC 27001 визначає вимоги до системи управління інформаційною безпекою. Така система охоплює оцінювання ризиків, відповідальність, процеси та заходи захисту. Сертифікація не означає, що кожна функція програми окремо отримала гарантію безпеки, або що інцидент неможливий.

Перевірте юридичну особу, сферу дії, дату чинності й орган, що видав документ. Формулювання сфери має стосуватися послуг і процесів, якими ви користуватиметеся. Сертифікат дата-центру є інформацією про інфраструктурного партнера, але не автоматично сертифікатом постачальника LMS. Назви компаній у комерційній пропозиції, договорі й сертифікаті потрібно зіставити.

Якщо документ охоплює лише частину організації, попросіть пояснити межі: чи включені розроблення, експлуатація та підтримка потрібного сервісу. Чинність і статус перевіряйте через орган сертифікації та доступні офіційні засоби перевірки, а не за зображенням значка в презентації. Якщо підтвердження немає, залишайте пункт відкритим.

ISO 27001 допомагає оцінити управління ризиками інформаційної безпеки. GDPR охоплює також законність, прозорість обробки й права людей. Компанія може мати формалізовані безпекові процеси, але збирати надмірні дані або неправильно визначити мету їх використання. Саме тому сертифікат не замінює правову перевірку.

У публічному описі безпеки AcademyOcean є згадки стандартів у контексті серверної інфраструктури. Для висновку про сертифікацію конкретної юридичної особи потрібен сам документ із відповідною сферою дії. Запросіть його, якщо це обов’язкова умова вашої закупівлі; не робіть ширшого висновку з короткого формулювання на сайті.

Надішліть одну узгоджену анкету від IT, юристів і власника навчання. Так постачальник розумітиме ваш сценарій, а команда не отримає кілька відповідей на по-різному сформульовані запити. До демонстрації можна підготувати компактний перелік:

• Де зберігатимуться основні дані й копії, звідки можливий службовий доступ?
• Які способи входу та обмеження доступу доступні для потрібних ролей?
• Які безпекові події фіксуються і як замовник отримує ці записи?
• Як повідомляють про інцидент і хто координує взаємодію із замовником?
• Як перевіряють відновлення та які параметри сторони готові погодити?
• Які дані експортуються і як відбувається їх повернення або видалення після договору?

Для кожної відповіді вкажіть потрібний доказ: пункт DPA, технічний опис, демонстрацію або зразок файлу. Усна відповідь корисна для початку розмови, але істотні умови мають залишитися в документах. Якщо параметр залежить від тарифу чи окремої домовленості, зафіксуйте саме вашу конфігурацію.

Під час обговорення можливостей навчальної платформи використовуйте тестові профілі й вигадані результати. Наприклад, попросіть показати, як керівник отримує потрібну інформацію про команду, а потім перевірте доступ з іншої ролі. Не завантажуйте реальні кадрові дані лише заради первинної оцінки постачальника.

Зведіть висновки в матрицю. Вона потрібна не для умовної оцінки «безпечності у відсотках», а для рішення: що підтверджено, що треба виправити і хто має право прийняти залишковий ризик. Нижче наведений приклад структури, а не оцінка конкретної LMS.

Додайте до робочої версії статус, строк усунення й особу, що погоджує виняток. Не плутайте відсутність документа з доведеним порушенням, але й не позначайте неперевірений пункт як виконаний. Якщо для вашого процесу критично обмежити доступ до результатів, невизначеність у цьому пункті може зупинити запуск навіть за зручного інтерфейсу.

Перед підписанням пройдіть короткий сценарій із тестовими даними: створення профілю, призначення навчання, перегляд результату потрібною роллю, експорт і завершення доступу. Порівняйте фактичний результат із погодженою картою даних. Якщо частина дій виконується через підтримку, перевірте, як подається запит і що має надати замовник.

Наприкінці потрібне спільне рішення, а не три незалежні погодження без зв’язку між собою. IT оцінює захист і відновлення, юрист перевіряє обробку та договір, власник навчання підтверджує, що права й строки не заважають робочому процесу. Після запуску поверніться до перевірки під час зміни інтеграцій, складу даних або вимог компанії.

Ні. ISO 27001 стосується системи управління інформаційною безпекою в зазначеній сфері дії. GDPR також вимагає оцінювати законність і прозорість обробки, права людей та інші правові умови. Сертифікат не замінює перевірку конкретного процесу використання LMS.

Запросіть DPA, опис технічних і організаційних заходів, перелік субпроцесорів, інформацію про локації та передавання даних, порядок реагування на інциденти, відновлення й завершення обробки. Якщо сертифікація є вимогою закупівлі, потрібен чинний документ зі сферою дії, а не лише логотип стандарту.

Доступ залежить від ролей і налаштувань конкретної LMS. Компанія має визначити, кому результати потрібні для роботи, і перевірити ці межі тестовими обліковими записами. Окремо врахуйте адміністраторів, керівників, службовий доступ постачальника та одержувачів експортованих звітів.

Погодьте в договорі склад даних, строки й процедуру видалення або повернення, порядок роботи з резервними копіями та форму підтвердження. Перевірте також власні експорти й зовнішні системи. Закриття доступу до порталу саме по собі не підтверджує видалення всіх копій інформації.