Contratación de WiFi escolar: 802.1X para empleados, dispositivos de alumnos, visitas y filtrado en una única especificación

El pliego de condiciones de la red WiFi de un centro educativo debe incluir cuatro redes: personal, dispositivos gestionados del alumnado, visitantes y dispositivos de las instalaciones. Debe definir la autenticación, la segmentación y el filtrado para cada una de ellas. El personal y los dispositivos gestionados del alumnado deben conectarse mediante 802.1X o claves por dispositivo, nunca con una contraseña compartida. El filtrado debe cumplir con los estándares de filtrado y supervisión del DfE en todas las redes, incluida la red de visitantes.

¿Para qué sirve realmente un pliego de condiciones unificado de WiFi para centros educativos?

Un pliego de condiciones unificado resuelve la falta de coordinación que surge cuando tres proveedores gestionan distintas partes de la red. En un centro educativo típico, un proveedor vende los puntos de acceso, otro gestiona el RADIUS y un tercero filtra el tráfico web. Cuando un alumno accede a contenido perjudicial a través de la red de visitantes, ningún proveedor asume la responsabilidad de forma individual.

Incluir todas las redes en una única licitación de WiFi escolar soluciona este problema desde la fase de contratación. Cada red recibe cuatro elementos:

• Un responsable asignado.
• Un método de autenticación.
• Una VLAN, es decir, una LAN virtual: una red lógica que mantiene el tráfico separado en conmutadores y puntos de acceso compartidos.
• Una política de filtrado.

Los licitadores presupuestan teniendo en cuenta la totalidad de las instalaciones. El responsable designado de protección y bienestar infantil (DSL) recibe un único conjunto de informes en lugar de tres.

En el caso de las redes WiFi de los grupos multiacadémicos (MAT), el pliego de condiciones actúa también como plantilla. Cada centro educativo adopta las mismas redes y políticas, con variaciones locales únicamente cuando el grupo lo autorice. Los centros que se incorporen al grupo el próximo año adoptarán la plantilla en lugar de llevar a cabo su propio proceso de contratación.

¿Qué necesita antes de redactar la licitación de WiFi para el centro educativo?

Recopile cinco elementos antes de comenzar la redacción. Cada uno de ellos determinará lo que solicitará a los licitadores.

Una lista de activos por centro. Registre los modelos de puntos de acceso, controladores, conmutadores y las fechas de soporte de cada fabricante. Purple es independiente del hardware y funciona como una capa en la nube sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Si su hardware se encuentra en esa lista y aún cuenta con soporte, es posible que la licitación no requiera un lote específico de hardware. En Por qué su próxima actualización de WiFi no necesita hardware nuevo se detallan todos los motivos.

Su origen de identidades. La mayoría de los centros educativos utilizan Microsoft Entra ID o Google Workspace para las cuentas del personal y del alumnado, y algunos grupos utilizan Okta. La plataforma WiFi debe autenticar con ese directorio, no con una lista secundaria de cuentas.

Un inventario de dispositivos. Cuente los iPad, Chromebooks y portátiles Windows gestionados, y registre quién se encarga de administrarlos. Compruebe si ya están inscritos en una plataforma de gestión de dispositivos móviles (MDM). El software MDM permite distribuir configuraciones, aplicaciones y credenciales a los dispositivos propiedad del centro educativo.

Su configuración actual de filtrado y supervisión. Registre el proveedor, la fecha de finalización del contrato y el cargo directivo responsable. El estándar del DfE exige la designación de funciones específicas antes de tomar cualquier decisión tecnológica.

Aprobación de protección. El DSL (responsable de protección infantil) y el gobernador responsable de la seguridad en línea deben aprobar los requisitos de filtrado antes de que se publique la licitación. La guía "Keeping Children Safe in Education" otorga al DSL la responsabilidad principal de la seguridad en línea, incluida la comprensión del filtrado y la supervisión implementados.

¿Cómo incluir cada red en la especificación de la red escolar?

Comience la especificación con una tabla como la siguiente. Indica a cada licitador quién utiliza cada red, cómo se conectan y qué se filtra. A continuación, los licitadores responden línea por línea.

Red	Quién la utiliza	Cómo se autentica	Segmentación	Política de filtrado	Componente de Purple
Personal	Profesores, personal de apoyo, personal sustituto, equipo central del trust	IEEE 802.1X frente a Microsoft Entra ID, Google Workspace o Okta; certificados en portátiles gestionados	VLAN propia con acceso a MIS, impresoras y carpetas compartidas	Política de personal, filtrada y registrada con nombre y apellidos	Purple Access, Shield
Dispositivos de alumnos gestionados	iPads, Chromebooks y portátiles propiedad del colegio	Certificado EAP-TLS o iPSK por dispositivo, entregado mediante inscripción MDM	VLAN propia, sin ruta a recursos del personal	Política de alumnos adaptada a la edad, registrada por dispositivo	Purple Access, Purple MDM, Shield
Dispositivos propios de alumnos (opcional, bachillerato)	Estudiantes de bachillerato con teléfonos y portátiles personales	802.1X con cuenta de alumno o iPSK por alumno	VLAN propia, solo internet	Política de alumnos, registrada por alumno	Purple Access, Shield
Visitantes y contratistas	Padres, gobernadores, contratistas, arrendatarios del salón	Captive Portal con acceso patrocinado o de duración limitada	Aislamiento de cliente, solo internet	Política de visitantes, filtrada y registrada	Purple Access, Shield
Dispositivos de edificio	Impresoras, AV, control de accesos, CCTV, sensores	iPSK por dispositivo	VLAN aislada, solo los servicios que requiere cada dispositivo	Bloqueado a los destinos requeridos	Purple Access, Shield

Personal: 802.1X frente al directorio que ya gestiona

IEEE 802.1X es el estándar para el control de acceso a la red. Un dispositivo debe autenticarse ante un servidor RADIUS antes de recibir cualquier acceso a la red. RADIUS (Remote Authentication Dial-In User Service) es el protocolo que comprueba la credencial y devuelve una aceptación o un rechazo.

Redacte el requisito de forma clara: "Los dispositivos del personal se autentican con IEEE 802.1X frente al proveedor de identidades del trust. No hay una contraseña compartida para el personal." Purple Access proporciona RADIUS en la nube, por lo que no tendrá que implementar ningún servidor local en cada colegio.

Solicite dos métodos:

• EAP-TLS para portátiles gestionados del personal. Cada dispositivo presenta un certificado distribuido por MDM, por lo que nadie tiene que escribir nada.
• PEAP o claves por persona para los teléfonos del personal. PEAP envía una contraseña dentro de un túnel TLS cifrado.

Especifique WPA3-Enterprise cuando los puntos de acceso y los dispositivos lo admitan, con WPA2-Enterprise como alternativa secundaria. How to Set Up Enterprise WiFi on iOS and macOS with 802.1X explica los pasos que se deben seguir en el dispositivo.

Automatice las altas, bajas y cambios de puesto. Cuando la fundación desactive la cuenta de directorio de una persona que cause baja, su acceso a la WiFi debe finalizar en ese mismo instante. Pida a los licitadores que expliquen con exactitud cómo se transmiten los cambios de cuenta a la red. Esto puede ser mediante SCIM, un estándar para sincronizar cuentas entre sistemas, o bien una consulta en tiempo real al directorio. Evalúelos en función del desfase temporal entre la desactivación de la cuenta y la revocación del acceso.

Dispositivos gestionados de los alumnos: registrados, no tecleados

Una contraseña compartida en 600 iPads de alumnos falla de forma predecible. En cuanto un alumno descubre la clave, su teléfono personal se conecta a una red destinada exclusivamente a dispositivos del centro escolar. A partir de ahí, los registros muestran tráfico imposible de atribuir a ningún dispositivo gestionado.

Redacte este requisito: «Los dispositivos gestionados del alumnado reciben su credencial de red a través del registro MDM. Ningún alumno ni miembro del personal teclea o conoce la clave». Dos métodos cumplen este requisito:

• Certificados EAP-TLS, uno por dispositivo. Es la opción más sólida.
• iPSK (clave precompartida de identidad, también llamada PPSK). Cada dispositivo recibe su propia clave bajo el mismo nombre de red, lo que permite revocar un único dispositivo sin afectar a los demás.

El MDM de Purple registra los dispositivos gestionados del alumnado para que la credencial se suministre junto con la configuración del dispositivo. La pérdida de un iPad se traduce en una única credencial revocada, en lugar de un cambio de clave en todo el centro educativo.

Los dispositivos de los carros compartidos requieren una línea adicional en el pliego de condiciones. Los registros de filtrado identificarán el dispositivo, no al alumno. Solicite a los licitadores que demuestren cómo se cotejan los registros de los dispositivos con sus registros de préstamo o de horarios. De este modo, su responsable de protección escolar (DSL) podrá identificar quién tenía el dispositivo en ese momento.

Visitantes y contratistas: tiempo limitado y filtrado continuado

Los visitantes se conectan a través de un portal cautivo. Se trata de una página web que se muestra antes de conceder acceso a la red. Especifique tres tipos de acceso:

• Acceso para eventos para familias y grupos comunitarios, que expira al finalizar el evento.
• Acceso patrocinado para miembros del consejo escolar y profesionales visitantes, autorizado por un miembro específico del personal.
• Acceso para contratistas, que expira en la fecha de finalización del contrato.

Recopile únicamente los datos que necesite, con arreglo al GDPR, y con autorizaciones expresas e informadas para cualquier finalidad adicional al mero acceso. La solución de WiFi para invitados de Purple ejecuta este modelo en más de 80 000 ubicaciones activas repartidas en 90 países.

La red para visitantes no está exenta de filtrado. La normativa del DfE aplica el filtrado a las cuentas de invitados y a todos los dispositivos que utilicen la conexión de banda ancha del centro escolar.

Caso práctico: un centro de secundaria con cesiones vespertinas de espacios. Un centro de secundaria alquila su polideportivo y salón de actos a entidades comunitarias cuatro tardes a la semana. A los arrendatarios se les facilitaba la contraseña de la WiFi para empleados mediante una tarjeta plastificada. Sus dispositivos se conectaban a la VLAN para empleados bajo la directiva de filtrado del personal.

El centro adoptó tres medidas:

1. Migró al personal a 802.1X, eliminando cualquier clave compartida que se pudiera distribuir.
2. Asignó a cada uno de los cuatro alquileres semanales su propio código de portal cautivo, con caducidad fijada a la hora de finalización de la reserva.
3. Aplicó la directiva de filtrado para visitantes a todos los dispositivos de los arrendatarios.

El resultado modelado es medible. Las credenciales compartidas del personal en circulación pasaron de una a cero. Cada alquiler obtuvo su propio código con fecha de caducidad. Ahora, cada sesión de un arrendatario en el registro de filtrado incluye un código que se vincula con una referencia de reserva.

Dispositivos del edificio: aislados de forma predeterminada

Las impresoras, los sistemas audiovisuales, los controles de acceso y las cámaras de videovigilancia rara vez son compatibles con 802.1X. Asigne a cada dispositivo, o a cada clase de dispositivo, su propio iPSK en una VLAN aislada. Limite cada dispositivo a los servicios que necesita. Un proyector no necesita una ruta hacia el servidor del MIS.

Filtrado y monitorización en todas las redes: qué exigen los estándares del DfE

Los estándares de filtrado y monitorización del DfE, que forman parte de sus estándares digitales y tecnológicos para escuelas e institutos, establecen cuatro expectativas:

1. Identificar y asignar roles y responsabilidades para gestionar los sistemas de filtrado y monitorización.
2. Revisar la provisión de filtrado y monitorización al menos una vez por curso académico.
3. Bloquear el contenido dañino e inapropiado sin perjudicar injustificadamente la enseñanza y el aprendizaje.
4. Disponer de estrategias de monitorización eficaces que satisfagan las necesidades de protección de menores del centro educativo.

El estándar es específico con respecto al sistema de filtrado. Debe aplicarse a las cuentas de invitados, a los dispositivos propiedad del centro y a cualquier dispositivo que utilice la conexión de banda ancha de la escuela. Debe:

• Filtrar todo el tráfico de internet, incluida cualquier conexión de respaldo.
• Adaptarse a la edad y a las capacidades.
• Gestionar contenido multilingüe, imágenes, errores ortográficos habituales y abreviaturas.
• Identificar y bloquear métodos de evasión como VPN y servicios proxy.
• Enviar alertas cuando se bloquee contenido.

El proveedor de filtrado debe ser miembro de la Internet Watch Foundation (IWF). Debe estar adherido a la lista de la Unidad de Notificación de Contenidos Terroristas en Internet (CTIRU) y bloquear contenido ilegal, incluido el material de abuso sexual infantil. Los informes de filtrado deben mostrar:

• El nombre o ID del dispositivo y la dirección IP, así como la persona individual siempre que sea posible.
• La hora y fecha del intento de acceso.
• El término de búsqueda o el contenido bloqueado.

Convierta cada punto en un requisito numerado y solicite a cada licitador pruebas demostrables, no un simple «sí». Esas pruebas deben incluir su pertenencia a la IWF, su estado en la CTIRU y su respuesta publicada a las definiciones de filtrado adecuado del UK Safer Internet Centre.

Purple Shield aplica el filtrado por red. Las redes de alumnos, personal y visitantes pueden albergar cada una una directiva diferente bajo un único conjunto de registros. Dado que Purple Access reconoce quién o qué se ha autenticado, una solicitud bloqueada se asocia a un miembro identificado del personal, a un dispositivo gestionado o a un código de visitante. Esa identidad es exactamente lo que exige el requisito de generación de informes del DfE.

Informes, soporte e implantación en un trust educativo

Informes. Solicite informes en tres niveles: por red, por centro educativo y para todo el trust. El responsable de protección de menores necesita alertas e informes de solicitudes bloqueadas. El responsable de administración necesita datos de conexión y capacidad. La junta directiva necesita justificantes para la revisión anual. Los informes de la red de visitantes pueden combinarse con WiFi Analytics para obtener datos sobre eventos y alquileres.

Soporte. Especifique los tiempos de respuesta durante la jornada escolar, en vacaciones y para derivaciones de protección de menores. Indique la vía de escalado para alertas de filtrado fuera del horario habitual. Solicite certificaciones. Purple cuenta con certificación ISO 27001 y Cyber Essentials, cumple con GDPR y ofrece una disponibilidad del 99,999 %.

Despliegue. Incluya por contrato una escuela piloto antes del despliegue en toda la fundación o agrupación educativa. Programe las escuelas restantes en periodos vacacionales. Pida a los licitadores un plan de ejecución en paralelo: la red antigua con clave compartida se mantiene activa brevemente mientras se migran los dispositivos y luego se retira en una fecha fija.

Caso práctico: una agrupación de ocho colegios. Una agrupación de dos centros de secundaria y seis de primaria gestionaba ocho configuraciones de WiFi distintas. El filtrado se dividía en tres contratos independientes. Los iPads de los alumnos de todos los centros se conectaban mediante una clave compartida.

La agrupación siguió cuatro pasos:

1. Publicó una única especificación con la tabla de red de cinco filas descrita anteriormente.
2. Especificó una solución superpuesta en la nube sobre sus puntos de acceso Cisco Meraki y HPE Aruba existentes.
3. Llevó a cabo una prueba piloto en un centro de primaria durante las vacaciones de Semana Santa.
4. Desplegó la solución en los siete centros restantes durante el verano.

El resultado previsto: las ocho claves compartidas para alumnos pasaron a ser cero. Tres contratos de filtrado se transformaron en un conjunto único de políticas por red. Ocho informes de revisión anual independientes se unificaron en un único informe global.

¿Cómo comprobar las respuestas de los licitadores y la red en producción?

Evalúe demostraciones prácticas, no documentos. Pida a cada licitador preseleccionado que realice cinco tareas en directo:

• Desactivar una cuenta de personal en su directorio y demostrar que el acceso a WiFi finaliza.
• Revocar la credencial de un iPad de alumno sin que afecte a los demás.
• Mostrar una solicitud bloqueada junto con el identificador del dispositivo, la hora y el término de búsqueda.
• Mostrar cómo la red de invitados aplica su correspondiente política de filtrado.
• Mostrar una vista a nivel de colegio y otra a nivel de toda la agrupación con los mismos datos.

Tras el despliegue, realice pruebas de aceptación desde cada una de las redes. Emplee la herramienta SWGfL Test Filtering para verificar que el contenido de IWF y CTIRU esté bloqueado en las conexiones de personal, alumnos, invitados y de respaldo. A continuación, compruebe la segmentación: intente acceder a los recursos del personal desde un dispositivo de alumno y desde la red de invitados. Instale una aplicación VPN habitual en un dispositivo de prueba y confirme que el filtro la detecta. Registre los resultados; constituirán la primera entrada de su revisión anual.

¿Qué suele fallar y cómo solucionarlo?

La línea de respaldo carece de filtrado. Los colegios con una conexión de banda ancha secundaria a menudo solo filtran la principal. La normativa del DfE cubre todas las conexiones a internet, por lo que debe incluir la conexión de respaldo de forma explícita en la especificación.

Los certificados caducan a mitad de curso. Si los certificados de los dispositivos de los alumnos caducan en marzo, un curso entero se queda sin conexión. Exija la renovación mediante MDM antes de su vencimiento, con alertas dirigidas al responsable de red con 30 días de antelación.

Los dispositivos más antiguos no admiten 802.1X. Ciertos equipos audiovisuales e impresoras antiguas solo admiten claves precompartidas. Migrelos a iPSK por dispositivo en la VLAN de dispositivos del edificio en lugar de mantener activa una clave compartida.

El bloqueo excesivo interrumpe las clases. El estándar exige que no se afecte a la docencia de forma injustificada. Especifique una vía de solicitud de desbloqueo en el mismo día para los docentes, registrando cada cambio para la revisión anual.

Los teléfonos del personal piden confiar en un certificado. Los teléfonos no gestionados solicitan al personal que acepte el certificado del servidor de RADIUS en la primera conexión. Publique una guía de conexión de una sola página con capturas de pantalla e implemente perfiles en los dispositivos gestionados para que el aviso no vuelva a aparecer.

Los dispositivos de carritos compartidos generan registros anónimos. Los registros a nivel de dispositivo solo se convierten en pruebas a nivel de persona cuando coinciden con un registro de asignación. Acuerde el proceso de asignación con su responsable de protección (DSL) antes de la puesta en marcha.

¿Cuánto cuesta y qué beneficios se obtienen a cambio?

No permita que los licitadores presenten una única suma global. Pídales que desglosen el precio en seis conceptos:

• Número de centros educativos.
• Redes por centro educativo.
• Dispositivos gestionados.
• Complementos.
• Despliegue inicial puntual.
• Renovación anual.

Purple ofrece sus precios mediante tres planes: Connect, Capture y Engage. SecurePass, Verify y Shield están disponibles como complementos de seguridad. La reutilización del hardware compatible elimina la mayor partida de capital de la mayoría de las licitaciones.

El retorno de la inversión proviene de la eliminación de tareas y contratos:

• Sin claves compartidas que rotar. Ya no es necesario cambiar las contraseñas compartidas del personal y los alumnos tras cada filtración.
• Revocación automática de bajas. Las personas que causan baja pierden el acceso a la red WiFi en cuanto RR. HH. inhabilita su cuenta en el directorio.
• Un único paquete de revisión anual. La revisión del DfE se basa en un único conjunto de informes, y no en uno por centro educativo.
• Menos contratos. WiFi, RADIUS y el filtrado se unifican de tres contratos a uno solo.

En Sustituir proveedores independientes de WiFi para invitados, RADIUS y filtrado DNS se detallan todos los argumentos a favor de la consolidación en entornos multisede.

Preguntas frecuentes

¿Puede Purple ejecutarse en los puntos de acceso que nuestros centros educativos ya tienen?

Sí. Purple es independiente del hardware y funciona como una capa superpuesta en la nube sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Si sus puntos de acceso están en esa lista y aún cuentan con soporte del fabricante, es posible que la licitación de WiFi de su centro educativo no necesite un lote de hardware. Solicite a los licitadores que confirmen las fechas de fin de soporte de cada modelo incluido en su lista de activos antes de proceder a la evaluación.

¿Debe aplicarse el filtrado a la red de visitas?

Sí. Los estándares de filtrado y supervisión del DfE aplican el filtrado a las cuentas de invitados y a cualquier dispositivo que utilice la conexión de banda ancha del centro escolar. La red de visitas necesita su propia directiva de filtrado, registrada al igual que cualquier otra red. Purple Shield aplica el filtrado por red, de modo que visitas, alumnos y personal pueden tener directivas distintas bajo un único conjunto de informes.

¿Cómo se conectan los iPad y Chromebook gestionados de los alumnos sin una contraseña compartida?

Reciben una credencial única a través del registro en MDM, ya sea un certificado EAP-TLS o una iPSK por dispositivo. Ningún alumno ni profesor ve o teclea la clave jamás. MDM de Purple registra los dispositivos gestionados de los alumnos para que la credencial se entregue con la configuración del dispositivo. La pérdida de un dispositivo supone revocar una única credencial, no cambiar la contraseña en todo el centro educativo.

¿Puede el personal iniciar sesión con sus cuentas de Microsoft Entra ID o Google Workspace?

Sí. Purple Access autentica al personal a través de IEEE 802.1X contra Microsoft Entra ID, Okta o Google Workspace mediante RADIUS en la nube. No es necesario mantener una lista independiente de cuentas de WiFi. Cuando la entidad educativa desactiva la cuenta de directorio de una persona que causa baja, su acceso a la red finaliza con ella. Solicite a los licitadores que muestren esta secuencia en directo durante la evaluación.

¿Se debe adquirir el filtrado junto con la WiFi o licitarse por separado?

Indique el filtrado por red en el pliego de especificaciones de la WiFi, independientemente de la opción elegida. Adquirir ambos elementos de forma conjunta a través de Purple Access y Purple Shield permite que cada solicitud bloqueada lleve asociada la identidad que se autenticó. Esa identidad es precisamente lo que exige el requisito de generación de informes del DfE. Con contratos independientes, resulta más difícil demostrar dicha vinculación en su revisión anual.

¿Puede una entidad educativa realizar un piloto en un centro antes de comprometer a todos los demás?

Sí. Incluya un centro piloto en el contrato con pruebas de aceptación y, a continuación, planifique el despliegue en los demás centros durante los periodos de vacaciones. La superposición en la nube de Purple permite que cada centro herede la plantilla de red de la entidad. Cada centro solo mantiene variaciones locales donde la entidad lo permite, de modo que la configuración del piloto se convierte en el estándar de la entidad.

¿Se gestionan los datos de las visitas de conformidad con el GDPR?

Sí. Purple cumple con el GDPR y cuenta con la certificación ISO 27001. El portal cautivo puede recopilar el mínimo necesario para el acceso, con consentimientos explícitos para cualquier otra finalidad. Establezca su propio periodo de retención en el pliego de condiciones. Solicite a cada licitador que detalle dónde se almacenan los datos de las visitas y quién tiene acceso a ellos.

¿Cómo se debe solicitar el precio a los licitadores para una licitación de WiFi escolar?

Solicite los precios desglosados por centro, red, dispositivo gestionado, complemento, despliegue puntual y renovación anual. Purple estructura sus precios a través de sus planes Connect, Capture y Engage, con SecurePass, Verify y Shield como complementos. Un desglose línea por línea permite comparar a los licitadores de manera equitativa. Además, refleja el ahorro derivado de reutilizar los puntos de acceso que ya posee.