KCSIE y la red WiFi escolar: combinando acceso seguro y filtrado de contenidos

Keeping Children Safe in Education (KCSIE) exige que las escuelas y colegios de Inglaterra cuenten con un filtrado y una supervisión adecuados. Las normas del DfE establecen que el filtrado debe aplicarse a cada persona, cuenta de invitado y dispositivo que utilice su conexión. Los registros deben identificar a la persona siempre que sea posible. Vincular la autenticación de red por persona con el filtrado DNS cumple con ambas exigencias en las redes del personal, los alumnos y los invitados.

¿Qué exige KCSIE sobre el filtrado y la supervisión del WiFi escolar?

Keeping Children Safe in Education es una guía estatutaria del Departamento de Educación (DfE). Las escuelas y colegios de Inglaterra deben tenerla en cuenta a la hora de llevar a cabo sus funciones de protección del menor. Asigna a los órganos de gobierno y propietarios la responsabilidad de contar con sistemas de filtrado y supervisión adecuados, así como de revisar periódicamente su funcionamiento.

KCSIE otorga al responsable designado de protección del menor (DSL) la responsabilidad principal sobre la seguridad en línea. Esto incluye comprender los sistemas de filtrado y supervisión instalados. Su red es ahora un control de protección, y el DSL debe saber cómo se comporta.

KCSIE agrupa los riesgos en línea en cuatro áreas: contenido, contacto, conducta y comercio. El filtrado aborda principalmente el contenido. La supervisión es la forma de detectar a tiempo los riesgos de contacto y conducta.

Los cuatro estándares de filtrado y supervisión del DfE

KCSIE remite a las escuelas a los estándares de filtrado y supervisión del DfE para escuelas y colegios, publicados por primera vez en marzo de 2023. Establecen cuatro expectativas:

1. Identificar y asignar funciones y responsabilidades para gestionar los sistemas de filtrado y supervisión.
2. Revisar la provisión de filtrado y supervisión al menos una vez al año.
3. Bloquear el contenido dañino e inapropiado sin afectar de forma desproporcionada a la enseñanza y el aprendizaje.
4. Disponer de estrategias de supervisión eficaces que satisfagan las necesidades de protección de su escuela o colegio.

Qué significa el tercer estándar para su WiFi

El tercer estándar es donde el diseño inalámbrico se vuelve específico. El filtrado debe aplicarse a todas las personas, incluidas las cuentas de invitados, los dispositivos propiedad de la escuela y cualquier dispositivo que utilice su conexión de banda ancha. Una red de personal sin filtrar o una red de visitantes en una línea independiente representan una brecha de seguridad.

El mismo estándar exige que su sistema identifique el nombre o ID del dispositivo, la dirección IP y, siempre que sea posible, a la persona. También espera la fecha y hora del intento de acceso y el término de búsqueda o contenido bloqueado.

Su proveedor de filtrado debe ser miembro de la Internet Watch Foundation (IWF). También debe bloquear el contenido de la lista de la Counter-Terrorism Internet Referral Unit (CTIRU). El UK Safer Internet Centre publica definiciones de filtrado y supervisión adecuados, y los proveedores se autocertifican con respecto a ellas. Solicite dicho documento de respuesta a cualquier proveedor que seleccione, incluyéndonos a nosotros.

¿Por qué el filtrado WiFi de KCSIE depende de saber quién está conectado?

La mayoría de los filtros escolares ya bloquean las categorías evidentes. El punto débil es la atribución. Si las redes del personal y de los alumnos funcionan con contraseñas compartidas, el filtro solo ve una dirección IP y nada más.

Esa dirección IP pasa a otro dispositivo cada vez que caduca la concesión de su dirección. Detrás de la traducción de direcciones, un edificio entero puede parecer una sola dirección para un filtro ascendente. Cuando el DSL pregunta quién buscó un término sobre autolesiones a las 13:42, la respuesta sincera suele ser "un dispositivo de la red de educación secundaria".

Las contraseñas compartidas también se filtran. Una clave de WiFi para el personal compartida en un chat de grupo permite que los teléfonos de los alumnos entren en la red del personal y accedan a sus políticas más laxas. Un profesor que se marchó el trimestre pasado aún conserva la clave guardada. Ninguno de estos eventos aparece en ningún registro, porque la red no puede diferenciar a un titular de la clave de otro.

La autenticación individual soluciona la atribución en el punto de conexión. Cada dispositivo se conecta con credenciales vinculadas a una persona con nombre y apellidos, por lo que cada línea de registro se asigna directamente a esa persona.

¿Cómo funcionan juntos la autenticación de red y el filtrado DNS?

Imagínelo como tres capas. La autenticación decide quién está en la red y en qué segmento entra. El filtrado DNS decide a qué puede acceder. Los registros de ambos, unidos por la dirección IP y la hora, ofrecen al DSL un registro personalizado con nombre y apellidos.

Capa 1: identidad al conectar el dispositivo

Para el personal, el estándar es IEEE 802.1X, el marco de control de acceso basado en puertos que respalda a WPA2-Enterprise y WPA3-Enterprise. El dispositivo presenta las credenciales a un servidor RADIUS (Remote Authentication Dial-In User Service), que las verifica en su directorio. El RADIUS en la nube de Purple verifica al personal a través de Microsoft Entra ID, Google Workspace o Okta. Usted gestiona una sola cuenta por persona, en lugar de una contraseña de WiFi por edificio.

Los teléfonos propios de los alumnos, las consolas de los internados y el equipo del aula que no admite 802.1X necesitan otra vía. Las claves individuales precompartidas (iPSK) proporcionan a cada persona o dispositivo su propia clave de WiFi en un único SSID (nombre de red). SecurePass de Purple emite esas claves por persona, de modo que el teléfono de un estudiante de secundaria se conecta con una clave que es exclusivamente suya.

Los visitantes, contratistas y grupos de alquiler se conectan a través de un Captive Portal. Esta es la página web que ve un dispositivo antes de acceder a internet, donde el visitante se registra o un miembro del personal lo autoriza. El WiFi para invitados gestiona ese registro y establece un límite de tiempo para cada sesión.

La respuesta de RADIUS también puede ubicar cada dispositivo en una VLAN (LAN virtual), un segmento de red lógicamente independiente. El personal, los alumnos y los invitados quedan ubicados en segmentos separados con políticas de filtrado independientes, incluso utilizando los mismos puntos de acceso.

Capa 2: filtrado DNS en cada segmento

Antes de que un navegador o una aplicación se conecte a un sitio web, solicita a un buscador DNS la dirección de ese dominio. Un buscador con filtrado comprueba el dominio en listas de categorías y devuelve una página de bloqueo si la categoría está prohibida en ese segmento.

Al actuar sobre la búsqueda, el filtrado DNS cubre todos los dispositivos del segmento, estén gestionados o no. No necesita ningún agente en el dispositivo ni certificado de inspección. Esto se adapta perfectamente a las redes de invitados y BYOD, las cuales quedan dentro del alcance de los estándares de DfE pero no se pueden gestionar. El complemento Shield de Purple aplica el filtrado de contenidos en esta capa.

También puede aplicar la búsqueda segura aquí. Google documenta una asignación DNS a forcesafesearch.google.com que fuerza SafeSearch en cualquier dispositivo que utilice su resolutor. YouTube admite una asignación similar a restrict.youtube.com para el modo restringido.

Capa 3: vincular los registros

La contabilidad RADIUS registra qué identidad tenía qué dirección IP y cuándo. El filtro DNS registra qué dirección IP solicitó qué dominio y cuándo. Al vincular ambos mediante la IP y la marca de tiempo, una búsqueda bloqueada se convierte en un alumno, dispositivo y término de búsqueda específicos.

Esa vinculación es lo que el tercer estándar entiende por identificar al individuo cuando sea posible. También proporciona evidencia para la revisión anual que exige el segundo estándar: qué categorías se consultaron, con qué frecuencia y en qué red.

Comparativa entre redes de personal, alumnos e invitados

Red	Quién se conecta	Cómo se autentican	Fuente de identidad	Política de filtrado	Qué identifica el registro	Cómo finaliza el acceso
Personal	Personal docente y de apoyo, miembros del consejo	802.1X (WPA2- o WPA3-Enterprise)	Microsoft Entra ID, Google Workspace o Okta	Contenido ilegal y dañino bloqueado, acceso más amplio para recursos docentes	Cuenta de personal y dispositivo identificados	Cuenta deshabilitada en el directorio
Alumnos, dispositivos propiedad del centro	Alumnos en portátiles y tabletas del centro	802.1X con cuentas de alumnos, o una clave por dispositivo	Directorio del centro	Política adaptada a la edad según la etapa educativa, búsqueda segura forzada	Alumno identificado o dispositivo etiquetado como activo
BYOD de alumnos	Teléfonos y portátiles propios de alumnos de bachillerato, cuando la política lo permita	iPSK por persona a través de SecurePass	Directorio del centro	Política de alumnos más bloqueo de categorías de VPN, proxy y DNS cifrado	Alumno y dispositivo identificados	Clave personal revocada
Invitados y alquileres	Visitantes, contratistas, padres, grupos de alquiler	Captive Portal con registro o patrocinio del personal	Registro de visitantes	Al menos el nivel base de alumnos en cualquier lugar donde puedan conectarse niños	Visitante y dispositivo registrados	La sesión expira al alcanzar el límite de tiempo

¿Dónde se sitúa esto respecto al filtrado que ya utiliza?

La mayoría de los centros ya utilizan algún tipo de filtrado. Los proveedores de banda ancha y consorcios regionales suelen proporcionarlo, y muchos cortafuegos incluyen filtrado web. Los dispositivos propiedad del centro pueden llevar un agente de filtrado distribuido mediante gestión de dispositivos móviles (MDM). La autenticación de red y el filtrado DNS complementan estos controles en lugar de sustituirlos por completo.

Enfoque	Qué ve	Cubre dispositivos BYOD e invitados	Cubre dispositivos fuera del centro	Principal carencia
Filtrado de DNS	Nombres de dominio consultados	Sí, cualquier dispositivo que use su resolutor	No	No puede bloquear páginas individuales, y el DNS cifrado o las VPN lo eluden a menos que estén bloqueados
Filtrado por cortafuegos con inspección HTTPS	URL completas y contenido tras el descifrado	Solo a nivel de dominio, ya que los dispositivos no gestionados carecen de su certificado	No	Despliegue de certificados, problemas de privacidad y aplicaciones que dejan de funcionar con la inspección
Agente de dispositivo a través de MDM	Actividad en el propio dispositivo	No, solo dispositivos propiedad del centro educativo	Sí	Nada en dispositivos de visitantes, BYOD o no inscritos

El patrón práctico es la estratificación por capas. Mantenga los agentes de dispositivo en los portátiles del centro educativo para que el filtrado los siga a casa. Utilice el filtrado de DNS en los dispositivos BYOD y de invitados a los que no llega ningún agente. Utilice la autenticación por persona para que ambos conjuntos de registros identifiquen a un individuo.

Purple se ejecuta como una superposición en la nube en los puntos de acceso que ya posee: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Explicamos por qué esto evita una sustitución completa en Por qué su próxima actualización de WiFi no necesita hardware nuevo. Para el diseño de SSID y segmentación, consulte Buenas prácticas de red para recintos y empresas en 2026.

Si traslada al personal a WPA3-Enterprise, las tramas de gestión protegidas (IEEE 802.11w) pasan a ser obligatorias. Detienen las tramas de desconexión falsificadas, una forma barata de empujar a un dispositivo hacia una red maliciosa. Tramas de gestión protegidas: Una guía práctica para 2026 abarca todos los detalles.

Purple opera en más de 80.000 recintos activos y gestionó 440 millones de inicios de sesión en 2024 (datos de Purple), con un tiempo de actividad del 99,999 %. En el sector educativo, entre nuestros clientes se encuentran la University of Sheffield, la University of Leeds y la University of the Arts London. Las universidades quedan fuera de KCSIE, pero el modelo de identidad es el mismo.

¿Cómo se ve esto en un entorno escolar real?

Ambos escenarios a continuación son ilustrativos. Los resultados se derivan directamente de la configuración descrita.

Un colegio de educación secundaria elimina tres contraseñas compartidas

Situación. Un colegio de educación secundaria con 1.100 alumnos y bachillerato utiliza tres SSID. El personal comparte una clave, los alumnos de bachillerato comparten una clave que se cambia cada trimestre y los visitantes leen la suya en el mostrador de recepción. El filtrado se ubica en la línea de banda ancha. La DSL no puede atribuir ninguna búsqueda bloqueada a una persona, y la clave del personal ha acabado en los teléfonos de los alumnos.

Lo que se hizo. El personal se traslada a 802.1X frente a Microsoft Entra ID. Cada alumno de bachillerato recibe una clave personal de SecurePass en una VLAN de alumnos. Los visitantes se registran a través de un Captive Portal con sesiones de ocho horas. El filtrado de DNS se ejecuta por VLAN, con la búsqueda segura forzada y las categorías de VPN y DNS cifrado bloqueadas en los segmentos de alumnos e invitados.

Resultado. Las contraseñas de WiFi compartidas pasan de tres a cero. Cada línea del registro de filtrado en las redes del personal y de los alumnos de secundaria se vincula a una cuenta con nombre y apellidos. El acceso del personal finaliza cuando el departamento de TI deshabilita la cuenta en Entra ID, no en el siguiente cambio trimestral de contraseñas.

Un grupo de centros educativos abre sus instalaciones para alquileres comunitarios

Situación. Un grupo de ocho escuelas de educación primaria alquila sus instalaciones para clubes de tarde, ferias de fin de semana y un programa de fútbol los sábados. Los grupos que alquilan reciben la clave de invitados de cada escuela. Tras varias incorporaciones de centros, las instalaciones cuentan con una combinación de Cisco Meraki y Ubiquiti UniFi con diferentes configuraciones locales.

Qué se hizo. El grupo implementó un Captive Portal en los ocho centros como una capa superpuesta en ambos proveedores. Los responsables de las instalaciones autorizan sesiones de alquiler adaptadas al horario de cada reserva. La red de los alquileres aplica el nivel básico de filtrado para alumnos, ya que a la mayoría de las reservas asisten menores de 18 años.

Resultado. Ocho configuraciones locales de invitados se convierten en una sola directiva centralizada. Cada dispositivo utilizado en los alquileres se vincula a un contacto registrado y a una reserva. El grupo genera la documentación para la revisión anual de las ocho escuelas desde un único lugar, lo que responde al segundo estándar. WiFi Analytics muestra el número de conexiones por centro, lo que ayuda al equipo de gestión de instalaciones a planificar el personal necesario para los alquileres.

¿Cuáles son los límites que conviene conocer?

El filtrado DNS detecta dominios, no páginas individuales

El filtrado DNS toma decisiones basadas en el nombre de dominio. No puede bloquear un vídeo perjudicial dentro de un dominio permitido. Para lograrlo, utilice la inspección HTTPS en dispositivos gestionados o aplique controles dentro de la propia plataforma, como el Modo restringido de YouTube.

El DNS cifrado y las redes VPN pueden eludir el filtrado

Los navegadores pueden enviar DNS sobre HTTPS (DoH), lo que oculta las consultas dentro del tráfico web cifrado y omite su servidor DNS. Bloquee los servidores DoH públicos conocidos, así como las categorías de VPN y proxy. A continuación, bloquee en el firewall el tráfico DNS saliente dirigido a cualquier servidor que no sea el suyo. Firefox deshabilita DoH por defecto cuando su servidor DNS bloquea su dominio canario, use-application-dns.net. La definición de filtrado del UK Safer Internet Centre establece que los proveedores deben gestionar este tipo de elusiones.

Los datos móviles quedan fuera de su red

El dispositivo de un alumno que utiliza 4G o 5G nunca se conecta a su WiFi. La propia normativa KCSIE señala que muchos menores tienen acceso no restringido a internet mediante redes móviles y exige que su plan de seguridad digital contemple esta realidad. La guía del DfE de 2024 sobre teléfonos móviles en los centros educativos respalda la prohibición del uso del teléfono durante la jornada escolar.

Los registros son evidencias, no supervisión activa

El cuarto estándar exige estrategias de supervisión, y un registro que nadie lee no cumple ningún propósito. Acuerde quién revisa las alertas, con qué rapidez y de qué forma se transmiten las incidencias al responsable de protección al menor (DSL). La supervisión en el aula forma parte de la estrategia, no es un último recurso.

Un bloqueo excesivo conlleva sus propios riesgos

La normativa KCSIE advierte a los órganos de gobierno sobre el riesgo de aplicar bloqueos excesivos que impongan restricciones desproporcionadas en la enseñanza. Establecer directivas diferenciadas para el personal y los alumnos, adaptadas por etapa educativa, permite que una clase de política de bachillerato acceda a portales de noticias mientras el primer ciclo de secundaria mantiene un filtrado estricto.

KCSIE solo se aplica en Inglaterra

Gales, Escocia e Irlanda del Norte publican su propia guía de protección para escuelas. La arquitectura aquí descrita funciona en las cuatro naciones, pero compruebe las expectativas locales.

¿Qué debería hacer a continuación?

1. Mapee cada red. Enumere cada SSID en cada ubicación con su método de autenticación y política de filtrado. Marque cualquier red con una clave compartida o sin política.
2. Nombre los roles. El primer estándar exige que un líder sénior sea responsable del filtrado y la supervisión, que el DSL dirija y que haya un proveedor de TI designado. Ponlo por escrito.
3. Realice pruebas desde cada SSID. La herramienta de prueba de filtrado de SWGfL comprueba si una conexión bloquea las categorías clave, incluido el contenido de IWF y CTIRU. Ejecútela desde las redes de invitados y BYOD, no solo desde la red del personal.
4. Organice la transición. Comience con el personal en 802.1X, ya que una clave de personal filtrada expone a los alumnos a la política más laxa. A continuación, añada claves por alumno y, por último, el Captive Portal de invitados.
5. Filtre por segmento. Aplique el filtrado DNS por VLAN, exija la búsqueda segura y bloquee el DNS cifrado y las categorías de VPN.
6. Ensaye la pregunta. Pregunte "¿quién buscó esto y cuándo?" con el DSL antes de que un incidente lo obligue a hacerlo. Registre el resultado en su revisión anual.

Si también gestiona WiFi en espacios comerciales, nuestra Lista de comprobación RFP para WiFi de hoteles: autenticación, filtrado de contenidos y marketing de invitados aplica las mismas preguntas a un entorno público.

Preguntas frecuentes

¿Exige KCSIE el filtrado en la red WiFi de invitados de un colegio?

Sí. Los estándares de filtrado y supervisión del DfE establecen que el filtrado debe aplicarse a todo el mundo, incluidas las cuentas de invitados, y a cualquier dispositivo que utilice su conexión de banda ancha. Una red de visitantes o de alquileres que omita su filtro es una brecha que su revisión anual debería detectar. Bloquee el contenido ilegal y nocivo como mínimo, y aplique la política de los alumnos allí donde los niños puedan conectarse, como clubes nocturnos, jornadas de puertas abiertas y programas de vacaciones.

¿Puede Purple ejecutarse en los puntos de acceso que ya tenemos?

Sí. Purple es independiente del hardware y se ejecuta como una capa en la nube sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. Los grupos de academias que heredan hardware mixto mediante conversiones pueden ejecutar una sola política de autenticación y filtrado en todos los centros. Solo tiene que apuntar sus controladores al RADIUS en la nube y al Captive Portal de Purple, siguiendo la documentación de soporte de Purple para su proveedor.

¿Tenemos que sustituir el filtro de nuestro proveedor de banda ancha?

No. Muchas escuelas mantienen el filtro de su proveedor o consorcio y añaden autenticación por persona, de modo que sus registros identifican a un individuo en lugar de una dirección IP. Otras añaden filtrado DNS en los segmentos BYOD e invitados a los que el filtro existente no llega. Ejecute lo que ejecute, compruebe que cumple la definición de filtrado adecuado del UK Safer Internet Centre. Confirme también que su proveedor es miembro de la IWF y bloquea la lista de la CTIRU.

¿Es suficiente el filtrado DNS por sí solo para cumplir los estándares del DfE?

No. El filtrado DNS cubre todos los dispositivos de su red para el estándar de filtrado, pero ve dominios en lugar de páginas completas. Por sí solo no sirve para la monitorización. Los estándares también requieren roles designados, una revisión anual y una estrategia de monitorización gestionada por personas y liderada por su DSL. Combine el filtrado DNS con autenticación por persona, agentes de dispositivo en el equipamiento propiedad del centro y supervisión en el aula.

¿Qué ocurre con el acceso a la WiFi cuando un miembro del personal se marcha?

Con las Identity-Based Networks, el acceso finaliza cuando se deshabilita la cuenta en Microsoft Entra ID, Google Workspace u Okta. El personal se autentica mediante 802.1X contra su directorio, por lo que ninguna clave compartida permanece en el teléfono de un exempleado. Las altas, cambios de puesto y bajas siguen el proceso de RR. HH. que ya ejecuta. Ya no tendrá que cambiar una contraseña compartida ni volver a introducir la clave en cada dispositivo tras cada salida.

¿Cómo debemos gestionar los teléfonos propios de los alumnos?

Defina primero la política y luego aplíquela en la red. Si los alumnos no pueden usar teléfonos durante la jornada escolar, en línea con la guía de teléfonos móviles de 2024 del DfE, manténgalos totalmente fuera de la WiFi del colegio. Si los alumnos de bachillerato pueden conectarse, proporcione a cada uno una clave SecurePass personal en un segmento de alumnos filtrado. Los teléfonos con 4G o 5G eluden su red, por lo que la política de conducta y la supervisión siguen siendo fundamentales.

¿Cómo se gestionan los datos de autenticación y filtrado según el GDPR?

Purple cumple con el GDPR y cuenta con las certificaciones ISO 27001 y Cyber Essentials. Los registros que vinculan a un alumno identificado con términos de búsqueda constituyen datos personales de menores. Complete una evaluación de impacto de protección de datos antes de activarlos. Establezca un periodo de conservación que coincida con su política de protección y restrinja el acceso al DSL y a sus suplentes designados. Registre la base legal en su aviso de privacidad.