KCSIE e WiFi scolastico: combinare l'accesso sicuro con il filtraggio dei contenuti

Il documento "Keeping Children Safe in Education" (KCSIE) richiede alle scuole e agli istituti di formazione in Inghilterra di gestire sistemi adeguati di filtraggio e monitoraggio. Gli standard del DfE prevedono il filtraggio per ogni persona, account ospite e dispositivo che utilizza la connessione. I log dovrebbero identificare il singolo utente, ove possibile. L'associazione dell'autenticazione di rete per utente al filtraggio DNS soddisfa entrambe le esigenze nelle reti del personale, degli studenti e degli ospiti.

Cosa richiede il KCSIE per il filtraggio e il monitoraggio del WiFi scolastico?

Keeping Children Safe in Education è la guida normativa del Department for Education (DfE). Le scuole e gli istituti di formazione in Inghilterra devono attenersi ad essa nell'esercizio dei loro doveri di tutela (safeguarding). La guida attribuisce agli organi direttivi e ai proprietari la responsabilità di predisporre sistemi di filtraggio e monitoraggio adeguati, oltre a verificare l'efficacia di tali sistemi.

Il KCSIE affida al responsabile della tutela (DSL) la primaria responsabilità per la sicurezza online. Ciò include la piena comprensione dei sistemi di filtraggio e monitoraggio in uso. La rete aziendale diventa così un vero e proprio strumento di salvaguardia, ed è essenziale che il DSL ne conosca il funzionamento.

Il KCSIE suddivide i rischi online in quattro aree: contenuto, contatto, condotta e commercio. Il filtraggio riguarda principalmente i contenuti, mentre il monitoraggio consente di individuare tempestivamente i rischi legati a contatti e condotte inadeguate.

I quattro standard DfE per il filtraggio e il monitoraggio

Il KCSIE rimanda agli standard del DfE per il filtraggio e il monitoraggio nelle scuole e negli istituti, pubblicati per la prima volta nel marzo 2023. Essi stabiliscono quattro requisiti fondamentali:

1. Individuare e assegnare ruoli e responsabilità per la gestione dei sistemi di filtraggio e monitoraggio.
2. Verificare l'adeguatezza delle soluzioni di filtraggio e monitoraggio con cadenza almeno annuale.
3. Bloccare i contenuti dannosi e inappropriati senza incidere in modo irragionevole sulla didattica e sull'apprendimento.
4. Adottare strategie di monitoraggio efficaci che rispondano alle esigenze di tutela della scuola o dell'istituto.

Il significato del terzo standard per la rete WiFi

Il terzo standard definisce specifiche precise per l'architettura della rete wireless. Il filtraggio deve essere applicato a chiunque, inclusi gli account ospite, i dispositivi di proprietà della scuola e qualsiasi dispositivo che utilizzi la connessione a banda larga. Una rete per il personale priva di filtri o una rete ospiti gestita su una linea separata costituiscono una falla di sicurezza.

Lo stesso standard richiede che il sistema sia in grado di identificare il nome o l'ID del dispositivo, l'indirizzo IP e, laddove possibile, l'identità dell'utente. Deve inoltre registrare la data e l'ora del tentativo di accesso, oltre al termine di ricerca o al contenuto bloccato.

Il provider del servizio di filtraggio deve essere membro della Internet Watch Foundation (IWF) e deve garantire il blocco dei contenuti inseriti nella lista della Counter-Terrorism Internet Referral Unit (CTIRU). Il UK Safer Internet Centre pubblica le definizioni di filtraggio e monitoraggio appropriati, rispetto alle quali i fornitori rilasciano apposita autocertificazione. È consigliare richiedere tale documentazione a qualsiasi fornitore preso in considerazione, compresi noi.

Perché il filtraggio WiFi in ambito KCSIE richiede di conoscere l'identità dell'utente connesso?

La maggior parte dei filtri scolastici blocca già le categorie ovvie. Il punto debole è l'attribuzione. Se le reti del personale e degli studenti funzionano con password condivise, il filtro vede un indirizzo IP e niente di più.

Quell'indirizzo IP passa a un altro dispositivo ogni volta che la relativa concessione dell'indirizzo scade. Dietro la traduzione degli indirizzi, un intero edificio può apparire come un unico indirizzo a un filtro a monte. Quando il DSL chiede chi ha cercato un termine relativo all'autolesionismo alle 13:42, la risposta onesta è spesso "un dispositivo sulla rete delle classi superiori".

Le password condivise vengono anche diffuse all'esterno. Una chiave WiFi del personale condivisa in una chat di gruppo inserisce i telefoni degli studenti nella rete del personale e nella sua politica meno restrittiva. Un insegnante che se ne è andato lo scorso trimestre ha ancora la chiave salvata. Nessuno dei due eventi appare in alcun registro, perché la rete non può distinguere un titolare di chiave da un altro.

L'autenticazione per persona risolve il problema dell'attribuzione al momento della connessione. Ogni dispositivo accede con credenziali collegate a una persona specifica, in modo che ogni riga di registro sia riconducibile a quella persona.

Come funzionano insieme l'autenticazione di rete e il filtraggio DNS?

Consideralo come una struttura a tre livelli. L'autenticazione decide chi è sulla rete e in quale segmento atterra. Il filtraggio DNS decide cosa può raggiungere. I registri di entrambi, uniti per indirizzo IP e ora, forniscono al DSL un registro nominativo.

Livello 1: identità al momento della connessione del dispositivo

Per il personale, lo standard è IEEE 802.1X, la struttura di controllo dell'accesso basata su porte alla base di WPA2-Enterprise e WPA3-Enterprise. Il dispositivo presenta le credenziali a un server RADIUS (Remote Authentication Dial-In User Service), che le verifica rispetto alla tua directory. Il RADIUS cloud di Purple verifica il personale rispetto a Microsoft Entra ID, Google Workspace o Okta. Gestisci un account per persona, non una password WiFi per edificio.

I telefoni degli studenti, le console dei convitti e le apparecchiature delle aule che non sono in grado di gestire 802.1X necessitano di un altro percorso. Le chiavi precondivise basate sull'identità (iPSK) forniscono a ciascuna persona o dispositivo la propria chiave WiFi su un unico SSID (nome della rete). SecurePass di Purple rilascia tali chiavi personali, in modo che il telefono di uno studente acceda con una chiave che è solo sua.

I visitatori, i fornitori e i gruppi in affitto accedono tramite un Captive Portal. Questa è la pagina web visibile da un dispositivo prima che raggiunga Internet, in cui il visitatore si registra o un membro del personale lo sponsorizza. Il guest WiFi gestisce tale registrazione e imposta un limite di tempo per ciascuna sessione.

La risposta RADIUS può anche inserire ciascun dispositivo su una VLAN (LAN virtuale), un segmento di rete logicamente separato. Il personale, gli studenti e gli ospiti si trovano quindi su segmenti separati con politiche di filtraggio separate, anche sugli stessi access point.

Livello 2: filtraggio DNS su ciascun segmento

Prima che un browser o un'app si connetta a un sito, richiede a un resolver DNS l'indirizzo di quel dominio. Un resolver di filtraggio controlla il dominio rispetto agli elenchi di categorie. Restituisce una pagina di blocco se la categoria è vietata su quel segmento.

Poiché agisce sulla ricerca, il filtraggio DNS copre ogni dispositivo sul segmento, gestito o meno. Non richiede alcun agente sul dispositivo e nessun certificato di ispezione. Questo si adatta alle reti guest e BYOD, che gli standard DfE includono nell'ambito di applicazione ma che non è possibile gestire. L'add-on Shield di Purple applica il filtraggio dei contenuti a questo livello.

È possibile imporre la ricerca sicura anche qui. Google documenta una mappatura DNS a forcesafesearch.google.com che forza SafeSearch su qualsiasi dispositivo che utilizza il resolver dell'utente. YouTube supporta una mappatura simile a restrict.youtube.com per la Modalità con restrizioni.

Livello 3: unione dei log

L'accounting RADIUS registra quale identità possedeva quale indirizzo IP e quando. Il filtro DNS registra quale indirizzo IP ha richiesto quale dominio e quando. Unendo i due elementi su IP e timestamp, una ricerca bloccata diventa uno studente, un dispositivo e un termine di ricerca specifici.

Questa unione è ciò che il terzo standard intende con l'identificazione dell'individuo, ove possibile. Fornisce inoltre prove per la revisione annuale richiesta dal secondo standard: quali categorie sono state colpite, con quale frequenza e su quale rete.

Confronto tra reti del personale, degli studenti e guest

Rete	Chi si connette	Come si autenticano	Origine identità	Criterio di filtraggio	Cosa identifica il log	Come termina l'accesso
Personale	Personale docente e di supporto, dirigenti scolastici	802.1X (WPA2- o WPA3-Enterprise)	Microsoft Entra ID, Google Workspace o Okta	Contenuti illegali e dannosi bloccati, accesso più ampio per le risorse didattiche	Account del personale e dispositivo identificati	Account disabilitato nella directory
Studenti, dispositivi di proprietà della scuola	Studenti su laptop e tablet della scuola	802.1X con account studente o una chiave per dispositivo	Directory della scuola	Criterio appropriato all'età in base al ciclo di studi, ricerca sicura applicata	Studente identificato o dispositivo con etichetta patrimoniale	Studente rimosso dalla directory
BYOD studenti	Telefoni e laptop personali degli studenti delle classi superiori, dove consentito dai criteri	iPSK personale tramite SecurePass	Directory della scuola	Criteri degli studenti più blocco delle categorie VPN, proxy e DNS crittografato	Studente e dispositivo identificati	Chiave personale revocata
Guest e affitti	Visitatori, appaltatori, genitori, gruppi in affitto	Captive Portal con registrazione o approvazione del personale	Registro di registrazione dei visitatori	Almeno il livello base per gli studenti ovunque possano connettersi i bambini	Visitatore e dispositivo registrati	La sessione scade al limite di tempo

Come si colloca questa soluzione rispetto al filtraggio già in uso?

La maggior parte delle scuole utilizza già una forma di filtraggio. I fornitori di banda larga e i consorzi regionali la forniscono spesso e molti firewall includono il filtraggio web. I dispositivi di proprietà della scuola possono contenere un agente di filtraggio fornito tramite la gestione dei dispositivi mobili (MDM). L'autenticazione di rete e il filtraggio DNS si aggiungono a questi controlli anziché sostituirli del tutto.

Approccio	Cosa rileva	Copre i dispositivi BYOD e guest	Copre i dispositivi fuori sede	Lacuna principale
Filtraggio DNS	Nomi di dominio cercati	Sì, qualsiasi dispositivo che utilizza il tuo resolver	No	Impossibile bloccare singole pagine, e i DNS crittografati o le VPN lo aggirano a meno che non vengano bloccati
Filtraggio firewall con ispezione HTTPS	URL completi e contenuto dopo la decrittagione	Solo a livello di dominio, poiché i dispositivi non gestiti non hanno il tuo certificato	No	Distribuzione dei certificati, problemi di privacy e app che si interrompono sotto ispezione
Agente dispositivo tramite MDM	Attività sul dispositivo stesso	No, solo dispositivi di proprietà della scuola	Sì	Nessuna informazione sui dispositivi dei visitatori, BYOD o non registrati

Il modello pratico è la stratificazione. Mantieni gli agenti dispositivo sui laptop scolastici in modo che il filtraggio li segua a casa. Utilizza il filtraggio DNS sui dispositivi BYOD e degli ospiti che nessun agente raggiunge. Utilizza l'autenticazione per persona in modo che entrambi i set di log identifichino un individuo.

Purple funziona come un overlay cloud sugli access point già in tuo possesso: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Spieghiamo perché questo evita una sostituzione completa in Why your next WiFi upgrade doesn't need new hardware. Per la progettazione di SSID e segmentazione, consulta Network Best Practices for Venues and Enterprises in 2026.

Se sposti il personale a WPA3-Enterprise, i protected management frames (IEEE 802.11w) diventano obbligatori. Bloccano i frame di disconnessione falsificati, un modo economico per spingere un dispositivo verso una rete canaglia. Protected Management Frames: A Practical Guide for 2026 ne illustra i dettagli.

Purple opera su oltre 80.000 sedi attive e ha gestito 440 milioni di accessi nel 2024 (dati Purple), con un uptime del 99,999%. Nel settore dell'istruzione, i nostri clienti includono l'Università di Sheffield, l'Università di Leeds e l'Università delle Arti di Londra. Le università non rientrano nel KCSIE, ma il modello di identità è lo stesso.

Come si presenta questo scenario in un vero complesso scolastico?

Entrambi gli scenari seguenti sono illustrativi. I risultati derivano direttamente dalla configurazione descritta.

Una scuola secondaria rimuove tre password condivise

Situazione. Una scuola secondaria con 1.100 studenti e un biennio finale gestisce tre SSID. Il personale condivide una chiave, gli studenti del biennio finale condividono una chiave modificata ogni trimestre e i visitatori leggono la loro al banco della reception. Il filtraggio è attivo sulla linea a banda larga. La DSL non può attribuire alcuna ricerca bloccata a una persona e la chiave del personale è apparsa sui telefoni degli studenti.

Cosa è stato fatto. Il personale passa a 802.1X con Microsoft Entra ID. Ogni studente del biennio finale riceve una chiave personale SecurePass su una VLAN per studenti. I visitatori si registrano tramite un Captive Portal con sessioni di otto ore. Il filtraggio DNS funziona per VLAN, con la ricerca sicura applicata e le categorie di DNS crittografati e VPN bloccate sui segmenti di studenti e ospiti.

Risultato. Le password WiFi condivise scendono da tre a zero. Ogni riga di log del filtro sulle reti del personale e del sesto anno si collega a un account nominativo. L'accesso del personale termina quando l'IT disabilita l'account in Entra ID, non al successivo cambio di chiave trimestrale.

Un trust multi-accademico apre i suoi spazi alle locazioni per la comunità

Situazione. Un trust di otto scuole primarie affitta le sue palestre e aule per club serali, fiere nel fine settimana e un programma di calcio il sabato. I gruppi in affitto ricevono la chiave guest di ciascuna scuola. Dopo diverse conversioni di accademie, le sedi utilizzano una combinazione di Cisco Meraki e Ubiquiti UniFi con diverse impostazioni locali.

Cosa è stato fatto. Il trust distribuisce un solo Captive Portal in tutte le otto sedi come overlay su entrambi i fornitori. I responsabili di sede autorizzano le sessioni di affitto sincronizzate con ciascuna prenotazione. La rete per le locazioni applica il filtro di base per gli alunni, poiché i minori di 18 anni partecipano alla maggior parte delle prenotazioni.

Risultato. Otto configurazioni guest locali diventano un'unica politica centrale. Ogni dispositivo di locazione si collega a un contatto registrato e a una prenotazione. Il trust produce prove di revisione annuale per tutte le otto scuole da un unico punto, soddisfacendo il secondo standard. WiFi Analytics mostra il numero di connessioni per sede, aiutando il team di gestione immobiliare a pianificare il personale per le locazioni.

Quali sono i limiti che dovresti conoscere?

Il filtraggio DNS vede i domini, non le singole pagine

Il filtraggio DNS prende decisioni in base al nome di dominio. Non può bloccare un singolo video dannoso su un dominio consentito. Per farlo, utilizza l'ispezione HTTPS sui dispositivi gestiti o i controlli integrati nella piattaforma, come la Modalità con restrizioni di YouTube.

I DNS crittografati e le VPN possono aggirarlo

I browser possono inviare DNS su HTTPS (DoH), nascondendo le ricerche all'interno del traffico web crittografato e ignorando il tuo resolver. Blocca i resolver DoH pubblici noti e le categorie di VPN e proxy. Quindi blocca il traffico DNS in uscita verso qualsiasi resolver diverso dal tuo a livello di firewall. Firefox disabilita il DoH predefinito quando il tuo resolver blocca il suo dominio canary, use-application-dns.net. Le definizioni di filtraggio del UK Safer Internet Centre prevedono che i fornitori gestiscano questo tipo di elusione.

I dati mobili restano all'esterno della tua rete

Un alunno su rete 4G o 5G non utilizza mai il tuo WiFi. Le stesse linee guida KCSIE osservano che molti bambini dispongono di un accesso a Internet non limitato tramite reti mobili e richiedono che l'approccio alla sicurezza online rifletta questa realtà. Le linee guida del DfE del 2024 sull'uso dei telefoni cellulari nelle scuole supportano il divieto di utilizzo dei telefoni durante l'orario scolastico.

I log sono prove, non monitoraggio

Il quarto standard richiede strategie di monitoraggio e un log che nessuno legge non soddisfa alcun requisito. Stabilisci chi controlla gli avvisi, con quale frequenza e come le segnalazioni raggiungono il DSL. La supervisione in aula fa parte della strategia, non è una soluzione di riserva.

Un filtraggio eccessivo comporta dei rischi

Le linee guida KCSIE mettono in guardia gli organi direttivi contro un blocco eccessivo che porti a restrizioni irragionevoli sull'insegnamento. Politiche separate per personale e alunni, suddivise per ciclo di studi, consentono a una classe di scienze politiche del sesto anno di accedere ai siti di notizie mantenendo al contempo un filtraggio rigoroso per il primo anno.### KCSIE si applica solo in Inghilterra

Galles, Scozia e Irlanda del Nord pubblicano le proprie linee guida sulla tutela dei minori per le scuole. L'architettura illustrata qui funziona in tutte e quattro le nazioni, ma è consigliabile verificare le aspettative locali.

Cosa dovreste fare ora?

1. Mappare ogni rete. Elencare ogni SSID in ogni sede con il relativo metodo di autenticazione e la politica di filtraggio. Segnalare qualsiasi rete con una chiave condivisa o priva di politica.
2. Definire i ruoli. Il primo standard prevede un responsabile senior incaricato del filtraggio e del monitoraggio, il referente DSL alla guida e un fornitore IT designato. Mettetelo per iscritto.
3. Effettuare test da ogni SSID. Lo strumento di test del filtraggio di SWGfL verifica se una connessione blocca le categorie principali, inclusi i contenuti IWF e CTIRU. Eseguitelo dalle reti guest e BYOD, non solo dalla rete del personale.
4. Pianificare la transizione. Iniziate dal personale su 802.1X, poiché la compromissione di una chiave del personale espone gli studenti alla politica meno restrittiva. Aggiungete poi le chiavi individuali per ogni studente e infine il captive portal per gli ospiti.
5. Filtrare per segmento. Applicate il filtraggio DNS per VLAN, imponete la ricerca sicura e bloccate il DNS crittografato e le categorie VPN.
6. Simulare la verifica. Chiedete "chi ha cercato questo contenuto e quando?" con il referente DSL prima che si verifichi un incidente reale. Registrate il risultato nella vostra revisione annuale.

Se gestite anche il WiFi in strutture commerciali, la nostra Lista di controllo RFP per il WiFi negli hotel: autenticazione, filtraggio dei contenuti e marketing per gli ospiti applica gli stessi principi a un patrimonio immobiliare pubblico.

Domande frequenti

Il KCSIE richiede il filtraggio sulla rete WiFi per ospiti di una scuola?

Sì. Gli standard di filtraggio e monitoraggio del DfE stabiliscono che il filtraggio deve essere applicato a tutti, inclusi gli account ospite, e a qualsiasi dispositivo che utilizzi la connessione a banda larga. Una rete per visitatori o locazioni che aggira il filtro rappresenta una lacuna che la revisione annuale dovrebbe individuare. Bloccate i contenuti illeciti e dannosi come requisito minimo e applicate le stesse politiche previste per gli studenti ovunque i bambini possano connettersi, come nei club serali, nelle giornate di scuola aperta e nei centri estivi.

Purple può funzionare sugli access point già in nostro possesso?

Sì. Purple è indipendente dall'hardware e funziona come overlay cloud su Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. I Trust che ereditano hardware misti a seguito di conversioni in academy possono gestire un'unica politica di autenticazione e filtraggio in tutte le sedi. È sufficiente indirizzare i controller verso il RADIUS cloud e il captive portal di Purple, seguendo la documentazione di supporto di Purple specifica per il vostro fornitore.

Dobbiamo sostituire il filtro del nostro fornitore di rete a banda larga?

No. Molte scuole mantengono il filtro del proprio fornitore o consorzio e aggiungono l'autenticazione individuale, in modo che i log identifichino una persona specifica anziché un indirizzo IP. Altre aggiungono il filtraggio DNS sui segmenti BYOD e ospiti che il filtro esistente non raggiunge. Qualunque soluzione utilizziate, verificate che soddisfi la definizione di filtraggio appropriato del UK Safer Internet Centre. Confermate inoltre che il fornitore sia membro dell'IWF e blocchi l'elenco CTIRU.

Il filtraggio DNS da solo è sufficiente per soddisfare gli standard del DfE?

No. Il filtraggio DNS copre ogni dispositivo presente sulla rete per quanto riguarda lo standard di filtraggio, ma rileva i domini anziché le pagine complete. Da solo non serve a svolgere alcun monitoraggio. Gli standard prevedono anche ruoli definiti, una revisione annuale e una strategia di monitoraggio gestita da persone e guidata dal DSL. Combina il filtraggio DNS con l'autenticazione individuale, gli agenti di dispositivo sugli apparati di proprietà della scuola e la supervisione in classe.

Cosa succede all'accesso WiFi quando un membro del personale lascia l'istituto?

Con le Identity-Based Networks, l'accesso termina quando si disabilita l'account in Microsoft Entra ID, Google Workspace o Okta. Il personale si autentica tramite 802.1X rispetto alla directory aziendale, quindi nessuna chiave condivisa rimane sul telefono di un ex dipendente. Gli ingressi, i trasferimenti e le uscite seguono il processo HR già in uso. Non dovrai più cambiare una password condivisa e riconfigurare ogni dispositivo dopo ogni partenza.

Come dovremmo gestire i telefoni personali degli studenti?

Stabilisci prima la policy, poi applicala sulla rete. Se gli studenti non possono usare i telefoni durante il giorno, in linea con le linee guida 2024 del DfE sui telefoni cellulari, tienili completamente fuori dal WiFi della scuola. Se gli studenti dell'ultimo biennio possono connettersi, fornisci a ciascuno di essi una chiave SecurePass personale su un segmento di studenti filtrato. I telefoni in 4G o 5G aggirano la rete, quindi la policy comportamentale e la supervisione rimangono fondamentali.

Come vengono gestiti i dati di autenticazione e filtraggio ai sensi del GDPR?

Purple è conforme al GDPR e certificato ISO 27001 e Cyber Essentials. I log che collegano uno studente con nome e cognome ai termini di ricerca costituiscono dati personali relativi ai minori. Completa una valutazione d'impatto sulla protezione dei dati prima di attivarli. Imposta un periodo di conservazione coerente con la tua policy di tutela e limita l'accesso al DSL e ai delegati nominati. Registra la base giuridica nell'informativa sulla privacy.