KCSIE e WiFi escolar: combinando acesso seguro com filtragem de conteúdo

O Keeping Children Safe in Education (KCSIE) exige que escolas e faculdades na Inglaterra operem filtragem e monitoramento adequados. Os padrões do DfE esperam filtragem para cada pessoa, conta de convidado e dispositivo que utilize sua conexão. Os logs devem identificar o indivíduo sempre que possível. O alinhamento da autenticação de rede por pessoa com a filtragem de DNS atende a ambas as exigências nas redes de funcionários, alunos e convidados.

O que o KCSIE exige da filtragem e do monitoramento de WiFi escolar?

O Keeping Children Safe in Education é uma orientação estatutária do Departamento de Educação (DfE). Escolas e faculdades na Inglaterra devem segui-la ao cumprir suas obrigações de proteção à infância. A orientação responsabiliza os órgãos governantes e proprietários por sistemas apropriados de filtragem e monitoramento, bem como pela revisão da eficácia desses sistemas.

O KCSIE concede ao responsável designado pela proteção (DSL) a responsabilidade principal pela segurança online. Isso inclui compreender os sistemas de filtragem e monitoramento em uso. Sua rede agora é um controle de proteção, e o DSL precisa saber como ela se comporta.

O KCSIE agrupa os riscos online em quatro áreas: conteúdo, contato, conduta e comércio. A filtragem trata principalmente do conteúdo. O monitoramento é a forma como você identifica riscos de contato e conduta logo no início.

Os quatro padrões de filtragem e monitoramento do DfE

O KCSIE direciona as escolas para os padrões de filtragem e monitoramento do DfE para escolas e faculdades, publicados originalmente em março de 2023. Eles definem quatro expectativas:

1. Identificar e atribuir funções e responsabilidades para gerenciar seus sistemas de filtragem e monitoramento.
2. Revisar sua provisão de filtragem e monitoramento pelo menos uma vez ao ano.
3. Bloquear conteúdos nocivos e inadequados sem impactar desproporcionalmente o ensino e a aprendizagem.
4. Ter estratégias de monitoramento eficazes que atendam às necessidades de proteção da sua escola ou faculdade.

O que o terceiro padrão significa para o seu WiFi

O terceiro padrão é onde o projeto de redes sem fio se torna específico. A filtragem deve ser aplicada a todos, incluindo contas de convidados, dispositivos pertencentes à escola e qualquer dispositivo que utilize sua conexão de banda larga. Uma rede de funcionários sem filtragem ou uma rede de visitantes em uma linha separada representa uma brecha.

O mesmo padrão espera que seu sistema identifique o nome ou ID do dispositivo, o endereço IP e, sempre que possível, o indivíduo. Também espera o horário e a data da tentativa de acesso e o termo de pesquisa ou conteúdo bloqueado.

Seu provedor de filtragem deve ser membro da Internet Watch Foundation (IWF). Ele também deve bloquear conteúdo da lista da Counter-Terrorism Internet Referral Unit (CTIRU). O UK Safer Internet Centre publica definições de filtragem apropriada e monitoramento apropriado, e os provedores fazem a autocertificação em relação a elas. Solicite esse documento de resposta a qualquer provedor que você selecionar, incluindo nós.

Por que a filtragem de WiFi para o KCSIE depende de saber quem está conectado?

A maioria dos filtros escolares já bloqueia as categorias óbvias. O ponto fraco é a atribuição. Se as suas redes de funcionários e alunos funcionam com senhas compartilhadas, o filtro vê um endereço IP e nada mais.

Esse endereço IP passa para outro dispositivo toda vez que a concessão do endereço expira. Por trás da tradução de endereços, um prédio inteiro pode parecer um único endereço para um filtro upstream. Quando o DSL pergunta quem pesquisou por um termo de automutilação às 13:42, a resposta honesta é frequentemente "um dispositivo na rede do ensino médio".

Senhas compartilhadas também vazam. Uma chave de WiFi de funcionários compartilhada em um chat de grupo coloca os telefones dos alunos na rede de funcionários e na sua política mais flexível. Um professor que saiu no período passado ainda tem a chave salva. Nenhum dos eventos aparece em qualquer log, porque a rede não consegue diferenciar um portador de chave de outro.

A autenticação por pessoa corrige a atribuição no ponto de conexão. Cada dispositivo se conecta com credenciais vinculadas a uma pessoa nomeada, de modo que cada linha de log se mapeia de volta para essa pessoa.

Como a autenticação de rede e o fornecimento de filtro DNS funcionam juntos?

Pense nisso como três camadas. A autenticação decide quem está na rede e em qual segmento essa pessoa entra. O filtro DNS decide o que ela pode alcançar. Os logs de ambos, reunidos por endereço IP e horário, fornecem ao DSL um registro nomeado.

Camada 1: identidade quando o dispositivo se conecta

Para funcionários, o padrão é o IEEE 802.1X, a estrutura de controle de acesso baseada em porta por trás do WPA2-Enterprise e do WPA3-Enterprise. O dispositivo apresenta credenciais a um servidor RADIUS (Remote Authentication Dial-In User Service), que as verifica em seu diretório. O RADIUS em nuvem da Purple verifica os funcionários em relação ao Microsoft Entra ID, Google Workspace ou Okta. Você gerencia uma conta por pessoa, não uma senha de WiFi por prédio.

Os telefones dos próprios alunos, consoles de alojamentos e equipamentos de sala de aula que não conseguem lidar com 802.1X precisam de outra rota. Chaves pré-compartilhadas de identidade (iPSK) dão a cada pessoa ou dispositivo sua própria chave de WiFi em um único SSID (nome da rede). O SecurePass da Purple emite essas chaves por pessoa, de modo que o telefone de um aluno do ensino médio se conecta com uma chave que é só dele.

Visitantes, prestadores de serviços e grupos de aluguel se conectam por meio de um Captive Portal. Esta é a página da web que um dispositivo vê antes de alcançar a internet, onde o visitante se registra ou um membro da equipe o aprova. O guest WiFi gerencia esse registro e define um limite de tempo para cada sessão.

A resposta do RADIUS também pode colocar cada dispositivo em uma VLAN (LAN virtual), um segmento de rede logicamente separado. Funcionários, alunos e convidados ficam em segmentos separados com políticas de filtragem separadas, mesmo nos mesmos pontos de acesso.

Camada 2: filtro DNS em cada segmento

Antes que um navegador ou aplicativo se conecte a um site, ele solicita a um resolvedor DNS o endereço desse domínio. Um resolvedor com filtro verifica o domínio em listas de categorias. Ele retorna uma página de bloqueio se a categoria for proibida naquele segmento.

Como atua na consulta, a filtragem de DNS cobre todos os dispositivos no segmento, sejam eles gerenciados ou não. Não exige agente no dispositivo e nenhuma instalação de certificado de inspeção. Isso se adapta perfeitamente a redes de convidados e BYOD, que as normas do DfE incluem no escopo, mas que você não pode gerenciar. O complemento Shield da Purple aplica a filtragem de conteúdo nessa camada.

Você também pode impor a pesquisa segura aqui. O Google documenta um mapeamento de DNS para forcesafesearch.google.com que força o SafeSearch em qualquer dispositivo que use seu resolvedor. O YouTube oferece suporte a um mapeamento semelhante para restrict.youtube.com para o Modo Restrito.

Camada 3: unindo os logs

O registro de accounting do RADIUS registra qual identidade possuía qual endereço IP e quando. O filtro de DNS registra qual endereço IP solicitou qual domínio e quando. Ao unir os dois pelo IP e carimbo de data/hora (timestamp), uma consulta bloqueada se transforma em um aluno, dispositivo e termo de pesquisa identificados por nome.

Essa união é o que a terceira norma quer dizer com identificar o indivíduo sempre que possível. Ela também fornece evidências para a revisão anual exigida pela segunda norma: quais categorias foram acessadas, com que frequência e em qual rede.

Comparativo entre redes de funcionários, alunos e convidados

Rede	Quem conecta	Como se autenticam	Fonte de identidade	Política de filtragem	O que o log identifica	Como o acesso é encerrado
Funcionários	Corpo docente, equipe de apoio e diretores	802.1X (WPA2- ou WPA3-Enterprise)	Microsoft Entra ID, Google Workspace ou Okta	Conteúdo ilegal e nocivo bloqueado, acesso mais amplo para recursos didáticos	Conta de funcionário e dispositivo identificados por nome	Conta desativada no diretório
Alunos, dispositivos da escola	Alunos em notebooks e tablets da escola	802.1X com contas de alunos ou uma chave por dispositivo	Diretório da escola	Política adequada à idade por estágio educacional, pesquisa segura forçada	Aluno identificado por nome ou dispositivo com etiqueta de patrimônio	Aluno removido do diretório
Aluno BYOD	Celulares e notebooks próprios de alunos do ensino médio, onde a política permite	iPSK individual via SecurePass	Diretório da escola	Política de aluno mais categorias de VPN, proxy e DNS criptografado bloqueadas	Aluno e dispositivo identificados por nome	Chave pessoal revogada
Convidados e locações	Visitantes, prestadores de serviço, pais, grupos de locação do espaço	Captive Portal com cadastro ou aprovação de funcionário	Registro de cadastro de visitante	Pelo menos o nível básico do aluno onde quer que crianças possam se conectar	Visitante e dispositivo registrados	A sessão expira ao atingir o limite de tempo

Onde isso se encaixa ao lado da filtragem que você já executa?

A maioria das escolas já executa algum tipo de filtragem. Provedores de banda larga e consórcios regionais frequentemente a fornecem, e muitos firewalls incluem filtragem web. Dispositivos da escola podem conter um agente de filtragem instalado via gerenciamento de dispositivos móveis (MDM). A autenticação de rede e a filtragem de DNS somam-se a esses controles em vez de substituí-los completamente.

Abordagem	O que ela visualiza	Cobre dispositivos BYOD e de convidados	Cobre dispositivos fora do local	Principal lacuna
Filtragem de DNS	Nomes de domínio pesquisados	Sim, qualquer dispositivo usando seu resolvedor	Não	Não pode bloquear páginas individuais, e DNS criptografado ou VPNs o ignoram a menos que sejam bloqueados
Filtragem de firewall com inspeção HTTPS	URLs completas e conteúdo após a descriptografia	Apenas em nível de domínio, pois dispositivos não gerenciados não possuem seu certificado	Não	Implantação de certificados, preocupações com privacidade e aplicativos que param de funcionar sob inspeção
Agente de dispositivo via MDM	Atividade no próprio dispositivo	Não, apenas dispositivos pertencentes à escola	Sim	Nada em dispositivos de visitantes, BYOD ou não inscritos

O padrão prático é a sobreposição em camadas. Mantenha os agentes de dispositivo nos laptops da escola para que a filtragem os acompanhe em casa. Use a filtragem de DNS em dispositivos BYOD e de convidados que nenhum agente alcança. Use a autenticação por pessoa para que ambos os conjuntos de logs identifiquem um indivíduo.

O Purple funciona como uma sobreposição em nuvem nos pontos de acesso que você já possui: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Explicamos por que isso evita a substituição completa da infraestrutura em Por que sua próxima atualização de WiFi não precisa de novos hardwares. Para design de SSID e segmentação, consulte Melhores Práticas de Rede para Locais e Empresas em 2026.

Se você migrar a equipe para WPA3-Enterprise, os quadros de gerenciamento protegidos (IEEE 802.11w) tornam-se obrigatórios. Eles impedem quadros de desconexão forjados, uma maneira barata de empurrar um dispositivo para uma rede falsa. O artigo Quadros de Gerenciamento Protegidos: Um Guia Prático para 2026 abrange os detalhes.

O Purple opera em mais de 80.000 locais ativos e processou 440 milhões de logins em 2024 (dados do Purple), com 99,999% de disponibilidade. No setor educacional, nossos clientes incluem a University of Sheffield, University of Leeds e University of the Arts London. As universidades estão fora do escopo do KCSIE, mas o modelo de identidade é o mesmo.

Como isso se parece em uma estrutura escolar real?

Ambos os cenários abaixo são ilustrativos. Os resultados decorrem diretamente da configuração descrita.

Uma escola secundária remove três senhas compartilhadas

Situação. Uma escola secundária com 1.100 alunos e um ensino médio superior possui três SSIDs. A equipe compartilha uma chave, os alunos do ensino médio superior compartilham uma chave alterada a cada período letivo e os visitantes leem a sua na recepção. A filtragem é feita na linha de banda larga. A linha não consegue atribuir nenhuma pesquisa bloqueada a uma pessoa, e a chave da equipe apareceu nos telefones dos alunos.

O que foi feito. A equipe migrou para o 802.1X integrado ao Microsoft Entra ID. Cada aluno do ensino médio superior recebe uma chave pessoal do SecurePass em uma VLAN de alunos. Os visitantes se registram por meio de um Captive Portal com sessões de oito horas. A filtragem de DNS é executada por VLAN, com a pesquisa segura imposta e as categorias de DNS criptografado e VPN bloqueadas nos segmentos de alunos e convidados.

Resultado. As senhas de WiFi compartilhadas caem de três para zero. Cada linha de log de filtragem nas redes de funcionários e do ensino médio (sixth-form) é associada a uma conta nominal. O acesso dos funcionários é encerrado quando o TI desativa a conta no Entra ID, e não na próxima troca trimestral de chaves.

Um trust de várias academias abre seus salões para locações comunitárias

Situação. Um trust de oito escolas primárias aluga seus salões para clubes noturnos, feiras de fim de semana e um programa de futebol aos sábados. Os grupos de locação recebem a chave de convidados de cada escola. Após várias conversões de academias, os locais operam com uma mistura de Cisco Meraki e Ubiquiti UniFi com diferentes configurações locais.

O que foi feito. O trust implanta um Captive Portal em todos os oito locais como uma sobreposição em ambos os fornecedores. Os gerentes dos locais patrocinam sessões de locação temporizadas de acordo com cada reserva. A rede de locações carrega a linha de base de filtragem para alunos, pois menores de 18 anos frequentam a maioria das reservas.

Resultado. Oito configurações locais de convidados se tornam uma política centralizada. Cada dispositivo de locação se conecta a um contato registrado e a uma reserva. O trust produz evidências de revisão anual para todas as oito escolas a partir de um único local, o que atende ao segundo padrão. O WiFi Analytics mostra o número de conexões por local, o que ajuda a equipe de patrimônio a planejar o quadro de funcionários para as locações.

Quais são os limites que você deve conhecer?

A filtragem de DNS vê domínios, não páginas

A filtragem de DNS decide com base no nome do domínio. Ela não pode bloquear um vídeo prejudicial em um domínio que você permite. Para isso, use a inspeção HTTPS em dispositivos gerenciados ou controles dentro da plataforma, como o Modo Restrito do YouTube.

DNS criptografado e VPNs podem burlá-la

Os navegadores podem enviar DNS sobre HTTPS (DoH), o que oculta as consultas dentro do tráfego web criptografado e ignora o seu resolvedor. Bloqueie resolvedores públicos de DoH conhecidos e categorias de VPN e proxy. Em seguida, bloqueie o DNS de saída para qualquer resolvedor que não seja o seu no firewall. O Firefox desativa o DoH padrão quando o seu resolvedor bloqueia o domínio canário dele, use-application-dns.net. A definição de filtragem do UK Safer Internet Centre espera que os provedores gerenciem esse tipo de evasão.

Os dados móveis ficam fora da sua rede

Um aluno no 4G ou 5G nunca toca no seu WiFi. O próprio KCSIE observa que muitas crianças têm acesso ilimitado à internet por meio de redes móveis. Ele espera que sua abordagem de segurança online reflita isso. A orientação de 2024 do DfE sobre telefones celulares nas escolas apoia a proibição do uso de celulares durante o horário escolar.

Logs são evidências, não monitoramento

O quarto padrão pede estratégias de monitoramento, e um log que ninguém lê não atende a nada. Defina quem analisa os alertas, com que rapidez e como as preocupações chegam ao DSL. A supervisão em sala de aula é parte da estratégia, não uma alternativa secundária.

O bloqueio excessivo traz seu próprio risco

O KCSIE alerta os órgãos governantes contra o bloqueio excessivo que leva a restrições não razoáveis ao ensino. Políticas separadas para funcionários e alunos, graduadas por estágio de ensino, permitem que uma aula de política do ensino médio acesse sites de notícias enquanto o Year 7 permanece rigorosamente filtrado.

O KCSIE se aplica apenas à Inglaterra

Países de Gales, Escócia e Irlanda do Norte publicam suas próprias orientações de proteção para escolas. A arquitetura apresentada aqui funciona em todas as quatro nações, mas verifique as expectativas locais.

O que você deve fazer a seguir?

1. Mapeie cada rede. Liste cada SSID em cada local com seu método de autenticação e política de filtragem. Sinalize qualquer rede com uma chave compartilhada ou sem política.
2. Defina as funções. O primeiro padrão prevê um líder sênior responsável pela filtragem e monitoramento, o DSL liderando e um provedor de TI designado. Documente isso.
3. Teste a partir de cada SSID. A ferramenta de teste de filtragem da SWGfL verifica se uma conexão bloqueia categorias essenciais, incluindo conteúdo da IWF e CTIRU. Execute-a a partir de redes de convidados e BYOD, e não apenas da rede da equipe.
4. Sequencie a transição. Comece com a equipe no 802.1X, pois um vazamento de chave da equipe expõe os alunos à política mais permissiva. Em seguida, adicione chaves por aluno e, depois, o portal cativo de convidados.
5. Filtre por segmento. Aplique filtragem de DNS por VLAN, force a pesquisa segura e bloqueie categorias de DNS criptografado e VPN.
6. Ensaie a pergunta. Pergunte "quem pesquisou por isso e quando?" com o DSL antes que um incidente force essa verificação. Registre o resultado em sua revisão anual.

Se você também gerencia WiFi em estabelecimentos comerciais, nosso Checklist de RFP para WiFi de hotéis: autenticação, filtragem de conteúdo e marketing para convidados aplica as mesmas perguntas a um patrimônio público.

Perguntas frequentes

O KCSIE exige filtragem no WiFi para convidados de uma escola?

Sim. Os padrões de filtragem e monitoramento do DfE afirmam que a filtragem deve ser aplicada a todos, incluindo contas de convidados, e a qualquer dispositivo que utilize sua conexão de banda larga. Uma rede para visitantes ou aluguéis de espaço que burla seu filtro é uma lacuna que sua revisão anual deve identificar. Bloqueie conteúdo ilegal e prejudicial no mínimo, e alinhe com a política dos alunos onde quer que as crianças possam se conectar, como clubes noturnos, dias de portões abertos e colônias de férias.

O Purple pode rodar nos pontos de acesso que já possuímos?

Sim. O Purple é agnóstico em relação ao hardware e roda como uma sobreposição em nuvem no Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Redes de ensino que herdam hardwares mistos por meio de conversões em academias podem executar uma única política de autenticação e filtragem em todos os locais. Você aponta seus controladores para o RADIUS em nuvem e o portal cativo do Purple, seguindo a documentação de suporte do Purple para o seu fornecedor.

Precisamos substituir o filtro do nosso provedor de banda larga?

Não. Muitas escolas mantêm o filtro do provedor ou do consórcio e adicionam autenticação por pessoa, para que os logs identifiquem um indivíduo em vez de um endereço IP. Outras adicionam filtragem de DNS em segmentos BYOD e de convidados que o filtro existente não alcança. Independentemente do que utilizar, verifique se atende à definição de filtragem apropriada do UK Safer Internet Centre. Confirme também se o seu provedor é membro da IWF e bloqueia a lista do CTIRU.

A filtragem de DNS é suficiente por si só para atender aos padrões do DfE?

Não. A filtragem de DNS cobre todos os dispositivos na sua rede para o padrão de filtragem, mas vê domínios em vez de páginas completas. Por si só, não faz nada em termos de monitoramento. Os padrões também preveem funções nomeadas, uma revisão anual e uma estratégia de monitoramento executada por pessoas e liderada pelo seu DSL. Combine a filtragem de DNS com autenticação por pessoa, agentes de dispositivo em equipamentos pertencentes à escola e supervisão em sala de aula.

O que acontece com o acesso WiFi quando um membro da equipe sai?

Com Identity-Based Networks, o acesso termina quando você desativa a conta no Microsoft Entra ID, Google Workspace ou Okta. A equipe se autentica por meio do 802.1X em seu diretório, portanto nenhuma chave compartilhada permanece no telefone de um ex-funcionário. Entradas, transferências e saídas seguem o processo de RH que você já executa. Você não precisa mais alterar uma senha compartilhada e reconfigurar cada dispositivo após cada desligamento.

Como devemos lidar com os telefones dos próprios alunos?

Defina a política primeiro e, em seguida, aplique-a na rede. Se os alunos não puderem usar telefones durante o dia, de acordo com as orientações de telefones celulares de 2024 do DfE, mantenha-os totalmente fora do WiFi da escola. Se os alunos do ensino médio puderem se conectar, forneça a cada um uma chave SecurePass pessoal em um segmento de alunos filtrado. Telefones em 4G ou 5G ignoram sua rede, portanto a política de comportamento e a supervisão ainda são importantes.

Como os dados de autenticação e filtragem são tratados de acordo com o GDPR?

A Purple está em conformidade com o GDPR e possui certificação ISO 27001 e Cyber Essentials. Os registros que vinculam um aluno identificado a termos de pesquisa são dados pessoais sobre crianças. Conclua uma avaliação de impacto na proteção de dados antes de ativá-los. Defina um período de retenção alinhado à sua política de proteção e restrinja o acesso ao DSL e aos substitutos nomeados. Registre a base legal em seu aviso de privacidade.