KCSIE y WiFi escolar: combinación de acceso seguro con filtrado de contenido

Keeping Children Safe in Education (KCSIE) exige a las escuelas y colegios en Inglaterra operar un filtrado y monitoreo adecuados. Los estándares del DfE esperan filtrado en cada persona, cuenta de invitado y dispositivo que utilice su conexión. Los registros deben identificar al individuo cuando sea posible. Vincular la autenticación de red por persona con el filtrado DNS cumple con ambas exigencias en las redes de personal, alumnos e invitados.

¿Qué exige KCSIE para el filtrado y monitoreo de WiFi escolar?

Keeping Children Safe in Education es una guía estatutaria del Departamento de Educación (DfE). Las escuelas y colegios en Inglaterra deben tomarla en cuenta al cumplir con sus funciones de protección infantil. Asigna a los órganos de gobierno y propietarios la responsabilidad de contar con sistemas adecuados de filtrado y monitoreo, así como de revisar qué tan bien funcionan dichos sistemas.

KCSIE otorga al líder designado de protección infantil (DSL) la responsabilidad principal de la seguridad en línea. Esto incluye comprender los sistemas de filtrado y monitoreo implementados. Su red es ahora un control de protección infantil, y el DSL necesita saber cómo se comporta.

KCSIE agrupa los riesgos en línea en cuatro áreas: contenido, contacto, conducta y comercio. El filtrado aborda principalmente el contenido. El monitoreo es la forma en que se detectan a tiempo los riesgos de contacto y conducta.

Los cuatro estándares de filtrado y monitoreo del DfE

KCSIE remite a las escuelas a los estándares de filtrado y monitoreo del DfE para escuelas y colegios, publicados por primera vez en marzo de 2023. Estos establecen cuatro expectativas:

1. Identificar y asignar roles y responsabilidades para gestionar sus sistemas de filtrado y monitoreo.
2. Revisar su provisión de filtrado y monitoreo al menos una vez al año.
3. Bloquear contenido dañino e inapropiado sin impactar de manera irrazonable la enseñanza y el aprendizaje.
4. Contar con estrategias de monitoreo efectivas que satisfagan las necesidades de protección infantil de su escuela o colegio.

Lo que el tercer estándar significa para su WiFi

El tercer estándar es donde el diseño inalámbrico se vuelve específico. El filtrado debe aplicarse a todos, incluidas las cuentas de invitados, los dispositivos propiedad de la escuela y cualquier dispositivo que utilice su conexión de banda ancha. Una red de personal sin filtrar o una red de visitantes en una línea independiente representan una brecha de seguridad.

El mismo estándar espera que su sistema identifique el nombre o ID del dispositivo, la dirección IP y, cuando sea posible, al individuo. También espera la hora y fecha del intento de acceso, así como el término de búsqueda o contenido bloqueado.

Su proveedor de filtrado debe ser miembro de la Internet Watch Foundation (IWF). También debe bloquear el contenido de la lista de la Counter-Terrorism Internet Referral Unit (CTIRU). El UK Safer Internet Centre publica definiciones de filtrado adecuado y monitoreo adecuado, y los proveedores se autocertifican con respecto a ellas. Solicite ese documento de respuesta a cualquier proveedor que incluya en su lista de candidatos, incluyéndonos a nosotros.

¿Por qué el filtrado WiFi según KCSIE depende de saber quién está conectado?

La mayoría de los filtros escolares ya bloquean las categorías obvias. El punto débil es la atribución. Si sus redes para personal y alumnos funcionan con contraseñas compartidas, el filtro ve una dirección IP y nada más.

Esa dirección IP pasa a otro dispositivo cada vez que expira su concesión de dirección. Detrás de la traducción de direcciones, un edificio entero puede parecer una sola dirección para un filtro superior. Cuando el DSL pregunta quién buscó un término sobre autolesiones a las 13:42, la respuesta sincera suele ser "un dispositivo en la red de bachillerato".

Las contraseñas compartidas también se filtran. Una clave de WiFi del personal compartida en un chat grupal coloca los teléfonos de los alumnos en la red del personal y bajo su política más laxa. Un profesor que se fue el trimestre pasado todavía tiene la clave guardada. Ningún evento aparece en ningún registro, porque la red no puede distinguir a un portador de clave de otro.

La autenticación por persona soluciona la atribución en el punto de conexión. Cada dispositivo se une con credenciales vinculadas a una persona específica, de modo que cada línea de registro se asocia con esa persona.

¿Cómo funcionan juntos la autenticación de red y el filtrado DNS?

Piénselo como tres capas. La autenticación decide quién está en la red y en qué segmento aterriza. El filtrado DNS decide a qué pueden acceder. Los registros de ambos, unidos por la dirección IP y la hora, le dan al DSL un registro con nombre.

Capa 1: identidad cuando el dispositivo se conecta

Para el personal, el estándar es IEEE 802.1X, el marco de control de acceso basado en puertos detrás de WPA2-Enterprise y WPA3-Enterprise. El dispositivo presenta credenciales a un servidor RADIUS (Remote Authentication Dial-In User Service), que las verifica en su directorio. El RADIUS en la nube de Purple verifica al personal en Microsoft Entra ID, Google Workspace o Okta. Usted gestiona una cuenta por persona, no una contraseña de WiFi por edificio.

Los teléfonos propios de los alumnos, las consolas de los internados y los equipos de salón de clases que no pueden manejar 802.1X necesitan otra ruta. Las claves precompartidas de identidad (iPSK) le dan a cada persona o dispositivo su propia clave de WiFi en un solo SSID (nombre de red). SecurePass de Purple emite esas claves por persona, de modo que el teléfono de un alumno de bachillerato se une con una clave que es solo suya.

Los visitantes, contratistas y grupos de alquileres se unen a través de un Captive Portal. Esta es la página web que ve un dispositivo antes de acceder a internet, donde el visitante se registra o un miembro del personal lo patrocina. El WiFi para invitados gestiona ese registro y establece un límite de tiempo para cada sesión.

La respuesta RADIUS también puede colocar cada dispositivo en una VLAN (LAN virtual), un segmento de red lógicamente separado. El personal, los alumnos y los invitados se ubican en segmentos separados con políticas de filtrado independientes, incluso en los mismos puntos de acceso.

Capa 2: filtrado DNS en cada segmento

Antes de que un navegador o una aplicación se conecte a un sitio, le pide a un resolvedor DNS la dirección de ese dominio. Un resolvedor con filtrado verifica el dominio comparándolo con listas de categorías. Devuelve una página de bloqueo si la categoría está prohibida en ese segmento.

Debido a que actúa sobre la consulta, el filtrado de DNS cubre cada dispositivo en el segmento, esté administrado o no. No requiere ningún agente en el dispositivo ni certificado de inspección. Esto se adapta a las redes de invitados y BYOD, las cuales están contempladas en los estándares del DfE pero no se pueden administrar. El complemento Shield de Purple aplica filtrado de contenido en esta capa.

También puede aplicar la búsqueda segura aquí. Google documenta un mapeo de DNS hacia forcesafesearch.google.com que fuerza SafeSearch en cualquier dispositivo que use su resolvedor. YouTube admite un mapeo similar hacia restrict.youtube.com para el Modo restringido.

Capa 3: unificación de registros

El registro de contabilidad RADIUS guarda qué identidad tenía qué dirección IP y cuándo. El filtro de DNS registra qué dirección IP solicitó qué dominio y cuándo. Al unir ambos mediante la IP y la marca de tiempo, una consulta bloqueada se convierte en un alumno, dispositivo y término de búsqueda con nombre y apellido.

Esa unificación es a lo que se refiere el tercer estándar al identificar al individuo cuando sea posible. También proporciona evidencia para la revisión anual que exige el segundo estándar: qué categorías se consultaron, con qué frecuencia y en qué red.

Comparativa de redes de personal, alumnos e invitados

Red	Quién se conecta	Cómo se autentican	Fuente de identidad	Política de filtrado	Qué identifica el registro	Cómo finaliza el acceso
Personal	Personal docente y de apoyo, miembros del consejo	802.1X (WPA2- o WPA3-Enterprise)	Microsoft Entra ID, Google Workspace o Okta	Contenido ilegal y dañino bloqueado, acceso más amplio para recursos docentes	Cuenta de personal y dispositivo identificados	Cuenta deshabilitada en el directorio
Alumnos, dispositivos propiedad de la escuela	Alumnos en laptops y tabletas de la escuela	802.1X con cuentas de alumnos, o una clave por dispositivo	Directorio escolar	Política adecuada para la edad según la etapa educativa, búsqueda segura forzada	Alumno identificado o dispositivo con etiqueta de activo	Alumno eliminado del directorio
BYOD de alumnos	Teléfonos y laptops propios de estudiantes de bachillerato, cuando la política lo permita	iPSK por persona a través de SecurePass	Directorio escolar	Política de alumnos más bloqueo de categorías de VPN, proxy y DNS cifrado	Alumno y dispositivo identificados	Clave personal revocada
Invitados y alquileres	Visitantes, contratistas, padres de familia, grupos de alquiler de instalaciones	Captive Portal con registro o patrocinio del personal	Registro de visitantes	Al menos el nivel básico de alumnos en cualquier lugar donde puedan conectarse niños	Visitante y dispositivo registrados	La sesión expira al cumplir el límite de tiempo

¿Cómo se integra esto con el filtrado que ya utiliza?

La mayoría de las escuelas ya cuentan con algún tipo de filtrado. Los proveedores de banda ancha y los consorcios regionales suelen suministrarlo, y muchos firewalls incluyen filtrado web. Los dispositivos propiedad de la escuela pueden tener un agente de filtrado instalado mediante una gestión de dispositivos móviles (MDM). La autenticación de red y el filtrado de DNS complementan estos controles en lugar de reemplazarlos por completo.

Enfoque	Qué analiza	Cubre dispositivos BYOD e invitados	Cubre dispositivos fuera de las instalaciones	Principal limitación
Filtrado de DNS	Nombres de dominio buscados	Sí, cualquier dispositivo que use su resolvedor	No	No puede bloquear páginas individuales, y el DNS cifrado o las VPN lo eluden a menos que estén bloqueados
Filtrado de firewall con inspección HTTPS	URL completas y contenido después del descifrado	Solo a nivel de dominio, ya que los dispositivos no gestionados carecen de su certificado	No	Despliegue de certificados, problemas de privacidad y aplicaciones que se rompen bajo inspección
Agente de dispositivo a través de MDM	Actividad en el propio dispositivo	No, solo dispositivos propiedad de la escuela	Sí	Nada en dispositivos de visitantes, BYOD o no inscritos

El patrón práctico es la superposición por capas. Mantenga los agentes de dispositivo en las laptops de la escuela para que el filtrado los siga a casa. Use el filtrado de DNS en dispositivos BYOD y de invitados a los que ningún agente llega. Utilice la autenticación por persona para que ambos conjuntos de registros nombren a un individuo.

Purple funciona como una superposición en la nube en los puntos de acceso que ya posee: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Explicamos por qué eso evita una sustitución completa en Why your next WiFi upgrade doesn't need new hardware. Para el diseño de SSID y segmentación, consulte Network Best Practices for Venues and Enterprises in 2026.

Si migra al personal a WPA3-Enterprise, las tramas de gestión protegidas (IEEE 802.11w) se vuelven obligatorias. Detienen las tramas de desconexión falsificadas, una forma barata de empujar un dispositivo hacia una red no autorizada. Protected Management Frames: A Practical Guide for 2026 cubre los detalles.

Purple opera en más de 80,000 ubicaciones activas y gestionó 440 millones de inicios de sesión en 2024 (datos de Purple), con un tiempo de actividad del 99.999%. En educación, nuestros clientes incluyen a University of Sheffield, University of Leeds y University of the Arts London. Las universidades están fuera de KCSIE, pero el modelo de identidad es el mismo.

¿Cómo se ve esto en un entorno escolar real?

Ambos escenarios a continuación son ilustrativos. Los resultados se derivan directamente de la configuración descrita.

Una escuela secundaria elimina tres contraseñas compartidas

Situación. Una escuela secundaria con 1,100 alumnos y bachillerato opera tres SSID. El personal comparte una clave, los alumnos de bachillerato comparten una clave que se cambia cada trimestre y los visitantes leen la suya en la recepción. El filtrado se encuentra en la línea de banda ancha. El DSL no puede atribuir ninguna búsqueda bloqueada a una persona, y la clave del personal ha aparecido en los teléfonos de los alumnos.

Lo que se hizo. El personal migra a 802.1X autenticado contra Microsoft Entra ID. Cada alumno de bachillerato recibe una clave personal de SecurePass en una VLAN de alumnos. Los visitantes se registran a través de un Captive Portal con sesiones de ocho horas. El filtrado de DNS se ejecuta por VLAN, con la búsqueda segura impuesta y las categorías de DNS cifrado y VPN bloqueadas en los segmentos de alumnos e invitados.

Resultado. Las contraseñas de WiFi compartidas se reducen de tres a cero. Cada línea del registro de filtrado en las redes del personal y de sexto grado se asigna a una cuenta con nombre. El acceso del personal finaliza cuando TI deshabilita la cuenta en Entra ID, no en el siguiente cambio de clave trimestral.

Un fideicomiso multiacademia abre sus salones para alquileres comunitarios

Situación. Un fideicomiso de ocho escuelas primarias alquila sus salones para clubes nocturnos, ferias de fin de semana y un programa de fútbol los sábados. Los grupos de alquiler reciben la clave de invitados de cada escuela. Después de varias conversiones de academias, los sitios operan con una combinación de Cisco Meraki y Ubiquiti UniFi con diferentes configuraciones locales.

Lo que se hizo. El fideicomiso implementa un Captive Portal en los ocho sitios como una superposición en ambos proveedores. Los administradores del sitio patrocinan sesiones de alquiler programadas para cada reservación. La red de alquileres aplica el nivel básico de filtrado para alumnos, ya que la mayoría de los asistentes a las reservaciones son menores de 18 años.

Resultado. Ocho configuraciones locales de invitados se convierten en una sola política centralizada. Cada dispositivo de alquiler se vincula a un contacto registrado y a una reservación. El fideicomiso genera evidencia de revisión anual para las ocho escuelas desde un solo lugar, lo que responde al segundo estándar. WiFi Analytics muestra la cantidad de conexiones por sitio, lo que ayuda al equipo de instalaciones a planificar el personal para los alquileres.

¿Cuáles son los límites que debe conocer?

El filtrado DNS ve dominios, no páginas

El filtrado DNS toma decisiones basadas en el nombre de dominio. No puede bloquear un video dañino en un dominio que usted permite. Para eso, utilice la inspección HTTPS en dispositivos administrados o controles dentro de la plataforma, como el Modo restringido de YouTube.

El DNS cifrado y las VPN pueden evadirlo

Los navegadores pueden enviar DNS sobre HTTPS (DoH), lo que oculta las búsquedas dentro del tráfico web cifrado y omite su resolutor. Bloquee los resolutores DoH públicos conocidos y las categorías de VPN y proxy. Luego, bloquee el DNS saliente a cualquier resolutor que no sea el suyo en el firewall. Firefox deshabilita DoH de forma predeterminada cuando su resolutor bloquea su dominio canario, use-application-dns.net. La definición de filtrado del UK Safer Internet Centre espera que los proveedores gestionen este tipo de evasiones.

Los datos móviles quedan fuera de su red

Un alumno en 4G o 5G nunca se conecta a su WiFi. La propia guía KCSIE señala que muchos niños tienen acceso no restringido a internet a través de redes móviles. Espera que su enfoque de seguridad en línea refleje esa realidad. La guía del DfE de 2024 sobre teléfonos móviles en las escuelas respalda la prohibición del uso de teléfonos durante la jornada escolar.

Los registros son evidencia, no monitoreo

El cuarto estándar exige estrategias de monitoreo, y un registro que nadie lee no cumple con nada. Acuerde quién revisa las alertas, con qué rapidez y cómo se transmiten las inquietudes al DSL. La supervisión en el aula es parte de la estrategia, no una alternativa secundaria.

El bloqueo excesivo conlleva su propio riesgo

KCSIE advierte a los órganos de gobierno contra el bloqueo excesivo que genera restricciones irrazonables en la enseñanza. Las políticas separadas para el personal y los alumnos, clasificadas por etapa clave, permiten que una clase de política de sexto grado acceda a sitios de noticias mientras que el Año 7 permanece estrictamente filtrado.

KCSIE solo se aplica en Inglaterra

Gales, Escocia e Irlanda del Norte publican sus propias guías de protección para escuelas. La arquitectura explicada aquí funciona en las cuatro naciones, pero verifique las expectativas locales.

¿Qué debería hacer a continuación?

1. Mapee cada red. Muestre cada SSID en cada sitio con su método de autenticación y política de filtrado. Marque cualquier red con una clave compartida o sin política.
2. Nombre los roles. El primer estándar exige un líder sénior responsable del filtrado y monitoreo, el DSL al frente y un proveedor de TI designado. Escríbalo.
3. Pruebe desde cada SSID. La herramienta de prueba de filtrado de SWGfL verifica si una conexión bloquea categorías clave, incluyendo contenido de IWF y CTIRU. Ejecútela desde redes de invitados y BYOD, no solo desde la red del personal.
4. Secuencie la transición. Comience con el personal en 802.1X, ya que una clave de personal filtrada expone a los alumnos a la política menos estricta. Luego agregue claves por alumno y después el Captive Portal para invitados.
5. Filtre por segmento. Aplique filtrado DNS por VLAN, exija la búsqueda segura y bloquee las categorías de DNS cifrado y VPN.
6. Ensaye la pregunta. Pregunte "¿quién buscó esto y cuándo?" con el DSL antes de que un incidente lo force. Registre el resultado en su revisión anual.

Si también opera WiFi en recintos comerciales, nuestra Lista de verificación RFP para WiFi de hoteles: autenticación, filtrado de contenido y marketing de invitados aplica las mismas preguntas a un entorno público.

Preguntas frecuentes

¿KCSIE requiere filtrado en el WiFi de invitados de una escuela?

Sí. Los estándares de filtrado y monitoreo del DfE establecen que el filtrado debe aplicarse a todos, incluidos los usuarios invitados, y a cualquier dispositivo que use su conexión de banda ancha. Una red de visitantes o de alquileres que omita su filtro es una brecha que su revisión anual debe detectar. Bloquee el contenido ilegal y dañino como mínimo, y aplique la misma política de alumnos en cualquier lugar donde los niños puedan conectarse, como clubes nocturnos, días de puertas abiertas y programas vacacionales.

¿Purple puede ejecutarse en los puntos de acceso que ya tenemos?

Sí. Purple es independiente del hardware y se ejecuta como una superposición en la nube en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. Los grupos escolares que heredan hardware mixto a través de conversiones de academias pueden ejecutar una sola política de autenticación y filtrado en todos los sitios. Solo apunte sus controladores al RADIUS en la nube y al Captive Portal de Purple, siguiendo la documentación de soporte de Purple para su proveedor.

¿Tenemos que reemplazar el filtro de nuestro proveedor de banda ancha?

No. Muchas escuelas conservan el filtro de su proveedor o consorcio y agregan autenticación por persona, de modo que sus registros identifiquen a un individuo en lugar de una dirección IP. Otras agregan filtrado DNS en segmentos BYOD y de invitados a los que el filtro existente no llega. Sin importar lo que utilice, verifique que cumpla con la definición de filtrado adecuado del UK Safer Internet Centre. También confirme que su proveedor sea miembro de la IWF y bloquee la lista de la CTIRU.

¿El filtrado DNS es suficiente por sí solo para cumplir con los estándares del DfE?

No. El filtrado de DNS cubre todos los dispositivos de su red para el estándar de filtrado, pero ve dominios en lugar de páginas completas. Por sí solo no hace nada para el monitoreo. Los estándares también requieren roles designados, una revisión anual y una estrategia de monitoreo gestionada por personas y liderada por su DSL. Combine el filtrado de DNS con autenticación por persona, agentes de dispositivo en el equipo propiedad de la escuela y supervisión en el aula.

¿Qué sucede con el acceso a la WiFi cuando un miembro del personal se retira?

Con las Identity-Based Networks, el acceso finaliza cuando desactiva la cuenta en Microsoft Entra ID, Google Workspace o Okta. El personal se autentica mediante 802.1X contra su directorio, por lo que no queda ninguna clave compartida en el teléfono de un excolaborador. Las Altas, Cambios y Bajas siguen el proceso de RR. HH. que ya ejecuta. Ya no tendrá que cambiar una contraseña compartida ni volver a configurar cada dispositivo después de cada salida.

¿Cómo debemos gestionar los teléfonos propios de los alumnos?

Establezca la política primero y luego aplíquela en la red. Si los alumnos no pueden usar teléfonos durante el día, en línea con la guía sobre teléfonos móviles de 2024 del DfE, manténgalos totalmente fuera de la WiFi de la escuela. Si los estudiantes de los últimos años pueden conectarse, proporcione a cada uno una clave SecurePass personal en un segmento de alumnos filtrado. Los teléfonos en 4G o 5G evaden su red, por lo que la política de comportamiento y la supervisión siguen siendo importantes.

¿Cómo se manejan los datos de autenticación y filtrado según el GDPR?

Purple cumple con el GDPR y cuenta con las certificaciones ISO 27001 y Cyber Essentials. Los registros que vinculan a un alumno identificado con términos de búsqueda son datos personales de menores. Complete una evaluación de impacto de protección de datos antes de activarlos. Establezca un período de retención que coincida con su política de protección e indique el acceso exclusivo para el DSL y los suplentes designados. Registre la base legal en su aviso de privacidad.