KCSIE e WiFi escolar: combinar acesso seguro com filtragem de conteúdos

O Keeping Children Safe in Education (KCSIE) exige que as escolas e faculdades em Inglaterra utilizem filtragem e monitorização adequadas. Os padrões do DfE preveem filtragem para cada pessoa, conta de convidado e dispositivo que utilize a sua ligação. Os registos devem identificar o indivíduo sempre que possível. Associar a autenticação de rede por pessoa à filtragem de DNS atende a ambas as exigências nas redes de funcionários, alunos e convidados.

O que exige o KCSIE relativamente à filtragem e monitorização do WiFi escolar?

O Keeping Children Safe in Education é uma orientação estatutária do Departamento de Educação (DfE). As escolas e faculdades em Inglaterra devem cumpri-la ao desempenhar as suas funções de proteção de menores. A orientação atribui aos órgãos de governação e proprietários a responsabilidade por sistemas de filtragem e monitorização adequados, bem como pela revisão da eficácia desses sistemas.

O KCSIE atribui ao responsável designado pela proteção de menores (DSL) a responsabilidade principal pela segurança online. Isso inclui compreender os sistemas de filtragem e monitorização existentes. A sua rede é agora um controlo de proteção de menores e o DSL precisa de saber como ela se comporta.

O KCSIE agrupa o risco online em quatro áreas: conteúdo, contacto, conduta e comércio. A filtragem aborda sobretudo o conteúdo. A monitorização é a forma como deteta antecipadamente os riscos de contacto e conduta.

Os quatro padrões de filtragem e monitorização do DfE

O KCSIE direciona as escolas para os padrões de filtragem e monitorização para escolas e faculdades do DfE, publicados pela primeira vez em março de 2023. Estes definem quatro expetativas:

1. Identificar e atribuir funções e responsabilidades para gerir os seus sistemas de filtragem e monitorização.
2. Rever a sua prestação de filtragem e monitorização pelo menos anualmente.
3. Bloquear conteúdos nocivos e inadequados sem afetar despropositadamente o ensino e a aprendizagem.
4. Ter estratégias de monitorização eficazes que satisfaçam as necessidades de proteção de menores da sua escola ou faculdade.

O que o terceiro padrão significa para o seu WiFi

O terceiro padrão é onde o design sem fios se torna específico. A filtragem deve aplicar-se a todos, incluindo contas de convidados, dispositivos pertencentes à escola e qualquer dispositivo que utilize a sua ligação de banda larga. Uma rede de funcionários sem filtragem ou uma rede de visitantes numa linha separada representa uma lacuna.

O mesmo padrão prevê que o seu sistema identifique o nome ou ID do dispositivo, o endereço IP e, sempre que possível, o indivíduo. Também prevê a hora e a data da tentativa de acesso e o termo de pesquisa ou conteúdo bloqueado.

O seu fornecedor de filtragem deve ser membro da Internet Watch Foundation (IWF). Deve também bloquear conteúdos da lista da Counter-Terrorism Internet Referral Unit (CTIRU). O UK Safer Internet Centre publica definições de filtragem adequada e monitorização adequada, e os fornecedores auto-certificam-se em conformidade com as mesmas. Solicite esse documento de resposta a qualquer fornecedor que selecione, incluindo nós.

Por que motivo a filtragem de WiFi do KCSIE depende de saber quem está ligado?

A maioria dos filtros escolares já bloqueia as categorias óbvias. O ponto fraco é a atribuição. Se as redes de funcionários e alunos funcionarem com palavras-passe partilhadas, o filtro vê um endereço IP e nada mais.

Esse endereço IP passa para outro dispositivo sempre que a respetiva concessão de endereço expira. Por trás da tradução de endereços, um edifício inteiro pode parecer um único endereço para um filtro a montante. Quando o DSL pergunta quem pesquisou por um termo de automutilação às 13:42, a resposta honesta é muitas vezes "um dispositivo na rede do secundário".

As palavras-passe partilhadas também sofrem fugas. Uma chave de WiFi de funcionários partilhada num chat de grupo coloca os telemóveis dos alunos na rede de funcionários e na sua política mais permissiva. Um professor que saiu no último período ainda tem a chave guardada. Nenhum dos eventos aparece em qualquer registo, porque a rede não consegue distinguir um detentor de chave de outro.

A autenticação por pessoa corrige a atribuição no momento da ligação. Cada dispositivo junta-se com credenciais associadas a uma pessoa identificada, para que cada linha de registo corresponda a essa pessoa.

Como funcionam juntos a autenticação de rede e o filtro DNS?

Pense nisto como três camadas. A autenticação decide quem está na rede e em que segmento entra. O filtro DNS decide o que podem alcançar. Os registos de ambos, reunidos por endereço IP e hora, dão ao DSL um registo com nome.

Camada 1: identidade quando o dispositivo se liga

Para os funcionários, o padrão é o IEEE 802.1X, a estrutura de controlo de acesso baseada em portas por trás do WPA2-Enterprise e WPA3-Enterprise. O dispositivo apresenta credenciais a um servidor RADIUS (Remote Authentication Dial-In User Service), que as valida com o seu diretório. O RADIUS na nuvem da Purple valida os funcionários em relação ao Microsoft Entra ID, Google Workspace ou Okta. Gere uma conta por pessoa, não uma palavra-passe de WiFi por edifício.

Os telemóveis dos próprios alunos, consolas das camaratas e equipamento de sala de aula que não suporta 802.1X precisam de outro caminho. As chaves pré-partilhadas de identidade (iPSK) dão a cada pessoa ou dispositivo a sua própria chave de WiFi num único SSID (nome da rede). O SecurePass da Purple emite essas chaves por pessoa, para que o telemóvel de um aluno do secundário se ligue com uma chave que é apenas dele.

Visitantes, empreiteiros e grupos de aluguer ligam-se através de um Captive Portal. Esta é a página web que um dispositivo vê antes de aceder à internet, onde o visitante se regista ou um membro da equipa o patrocina. O guest WiFi gere esse registo e define um limite de tempo para cada sessão.

A resposta RADIUS também pode colocar cada dispositivo numa VLAN (LAN virtual), um segmento de rede logicamente separado. Funcionários, alunos e convidados ficam então em segmentos separados com políticas de filtragem separadas, mesmo nos mesmos pontos de acesso.

Camada 2: filtragem DNS em cada segmento

Antes de um navegador ou aplicação se ligar a um site, solicita a um resolvedor DNS o endereço desse domínio. Um resolvedor com filtragem verifica o domínio face a listas de categorias. Devolve uma página de bloqueio se a categoria for proibida nesse segmento.

Como atua na pesquisa, a filtragem de DNS cobre todos os dispositivos no segmento, geridos ou não. Não necessita de agente no dispositivo nem de certificado de inspeção. Isto adequa-se a redes de convidados e BYOD, que as normas do DfE incluem no âmbito, mas que não pode gerir. O add-on Shield da Purple aplica a filtragem de conteúdos nesta camada.

Também pode impor a pesquisa segura aqui. O Google documenta um mapeamento de DNS para forcesafesearch.google.com que força o SafeSearch em qualquer dispositivo que utilize o seu resolvedor. O YouTube suporta um mapeamento semelhante para restrict.youtube.com para o Modo Restrito.

Camada 3: associar os registos

A contabilização RADIUS regista que identidade detinha determinado endereço IP e quando. O filtro de DNS regista que endereço IP solicitou determinado domínio e quando. Ao associar os dois com base no IP e carimbo de data/hora, uma pesquisa bloqueada passa a identificar o aluno, o dispositivo e o termo de pesquisa.

Esta associação é o que a terceira norma define como identificar o indivíduo sempre que possível. Também fornece evidências para a revisão anual exigida pela segunda norma: quais as categorias atingidas, com que frequência e em que rede.

Comparação entre redes de funcionários, alunos e convidados

Rede	Quem se liga	Como se autenticam	Fonte de identidade	Política de filtragem	O que o registo identifica	Como termina o acesso
Funcionários	Pessoal docente e de apoio, membros do conselho	802.1X (WPA2- ou WPA3-Enterprise)	Microsoft Entra ID, Google Workspace ou Okta	Conteúdo ilegal e prejudicial bloqueado, acesso mais amplo para recursos de ensino	Conta de funcionário e dispositivo identificados	Conta desativada no diretório
Alunos, dispositivos do estabelecimento	Alunos em portáteis e tablets da escola	802.1X com contas de alunos, ou uma chave por dispositivo	Diretório da escola	Política adequada à idade por ciclo de ensino, pesquisa segura imposta	Aluno identificado ou dispositivo com etiqueta de ativo	Aluno removido do diretório
BYOD de alunos	Telefones e portáteis próprios de alunos do ensino secundário, onde a política o permita	iPSK por pessoa através do SecurePass	Diretório da escola	Política de alunos acrescida do bloqueio de categorias de VPN, proxy e DNS encriptado	Aluno e dispositivo identificados	Chave pessoal revogada
Convidados e cedências de espaço	Visitantes, empreiteiros, encarregados de educação, grupos de cedência	Captive Portal com registo ou patrocínio de funcionários	Registo de visitante	Pelo menos o nível de referência de alunos onde quer que haja crianças a ligar-se	Visitante registado e dispositivo	A sessão expira no limite de tempo

Como se enquadra isto ao lado da filtragem que já executa?

A maioria dos estabelecimentos de ensino já executa algum tipo de filtragem. Os fornecedores de banda larga e consórcios regionais fornecem-na frequentemente, e muitos firewalls incluem filtragem web. Os dispositivos do estabelecimento de ensino podem conter um agente de filtragem disponibilizado através da gestão de dispositivos móveis (MDM). A autenticação de rede e a filtragem de DNS complementam estes controlos em vez de os substituir totalmente.

Abordagem	O que vê	Cobre dispositivos BYOD e de convidados	Cobre dispositivos fora do local	Principal lacuna
Filtragem DNS	Nomes de domínio consultados	Sim, qualquer dispositivo que utilize o seu resolvedor	Não	Não consegue bloquear páginas individuais, e o DNS encriptado ou VPNs contornam-no a menos que sejam bloqueados
Filtragem de firewall com inspeção HTTPS	URLs completos e conteúdo após desencriptação	Apenas ao nível do domínio, uma vez que os dispositivos não geridos não possuem o seu certificado	Não	Implementação de certificados, preocupações de privacidade e aplicações que deixam de funcionar sob inspeção
Agente de dispositivo através de MDM	Atividade no próprio dispositivo	Não, apenas em dispositivos pertencentes à escola	Sim	Nada em dispositivos de visitantes, BYOD ou não registados

A abordagem prática é a sobreposição em camadas. Mantenha os agentes de dispositivo nos portáteis da escola para que a filtragem os acompanhe para casa. Utilize a filtragem DNS em dispositivos BYOD e de convidados que nenhum agente alcança. Utilize a autenticação por pessoa para que ambos os conjuntos de registos identifiquem um indivíduo.

A Purple funciona como uma sobreposição em nuvem nos pontos de acesso que já possui: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Explicamos por que razão isto evita uma substituição total em Why your next WiFi upgrade doesn't need new hardware. Para o design de SSID e segmentação, consulte Network Best Practices for Venues and Enterprises in 2026.

Se migrar a equipa para WPA3-Enterprise, as tramas de gestão protegidas (IEEE 802.11w) tornam-se obrigatórias. Elas impedem tramas de desligamento forjadas, uma forma económica de empurrar um dispositivo para uma rede não autorizada. O artigo Protected Management Frames: A Practical Guide for 2026 abrange os detalhes.

A Purple opera em mais de 80 000 locais ativos e geriu 440 milhões de inícios de sessão em 2024 (dados da Purple), com uma disponibilidade de 99,999%. No setor da educação, os nossos clientes incluem a University of Sheffield, a University of Leeds e a University of the Arts London. As universidades estão fora do âmbito da KCSIE, mas o modelo de identidade é o mesmo.

Como se traduz isto num complexo escolar real?

Ambos os cenários abaixo são ilustrativos. Os resultados decorrem diretamente da configuração descrita.

Uma escola secundária remove três palavras-passe partilhadas

Situação. Uma escola secundária com 1100 alunos e um ensino secundário complementar opera três SSIDs. O pessoal partilha uma chave, os alunos do secundário partilham uma chave alterada a cada período letivo e os visitantes leem a sua na receção. A filtragem situa-se na linha de banda larga. A linha DSL não consegue atribuir qualquer pesquisa bloqueada a uma pessoa, e a chave do pessoal surgiu nos telemóveis dos alunos.

O que foi feito. O pessoal migrou para 802.1X com integração no Microsoft Entra ID. Cada aluno do secundário recebe uma chave SecurePass pessoal numa VLAN de alunos. Os visitantes registam-se através de um Captive Portal com sessões de oito horas. A filtragem DNS é executada por VLAN, com a pesquisa segura forçada e as categorias de DNS encriptado e VPN bloqueadas nos segmentos de alunos e convidados.

Resultado. As palavras-passe de WiFi partilhadas passam de três para zero. Cada linha de registo de filtragem nas redes de funcionários e alunos do ensino secundário corresponde a uma conta identificada. O acesso dos funcionários termina quando a equipa de TI desativa a conta no Entra ID, e não na alteração trimestral de chaves seguinte.

Um agrupamento de escolas abre os seus espaços para cedências à comunidade

Situação. Um agrupamento de oito escolas primárias aluga os seus salões para clubes noturnos, feiras de fim de semana e um programa de futebol ao sábado. Os grupos de cedência recebem a chave de convidados de cada escola. Após várias conversões de estabelecimentos, os locais utilizam uma mistura de Cisco Meraki e Ubiquiti UniFi com diferentes definições locais.

O que foi feito. O agrupamento implementa um Captive Portal nos oito locais como uma sobreposição em ambos os fornecedores. Os gestores dos locais patrocinam sessões de cedência temporizadas de acordo com cada reserva. A rede de cedências aplica a linha de base de filtragem de alunos, uma vez que menores de 18 anos frequentam a maioria das reservas.

Resultado. Oito configurações de convidados locais transformam-se numa política central. Cada dispositivo de cedência liga-se a um contacto e reserva registados. O agrupamento produz evidências de revisão anual para as oito escolas a partir de um único local, o que cumpre a segunda norma. O WiFi Analytics mostra o número de ligações por local, ajudando a equipa de gestão de instalações a planear o pessoal para as cedências.

Quais são os limites que deve conhecer?

A filtragem de DNS vê domínios, não páginas

A filtragem de DNS decide com base no nome de domínio. Não consegue bloquear um vídeo prejudicial num domínio que permite. Para isso, utilize a inspeção HTTPS em dispositivos geridos ou controlos dentro da plataforma, como o Modo Restrito do YouTube.

O DNS encriptado e as VPN podem contornar a filtragem

Os navegadores podem enviar DNS sobre HTTPS (DoH), o que oculta as consultas dentro do tráfego web encriptado e ignora o seu resolvedor. Bloqueie resolvedores públicos DoH conhecidos e categorias de VPN e proxy. Em seguida, bloqueie o DNS de saída para qualquer resolvedor que não seja o seu na firewall. O Firefox desativa o DoH predefinido quando o seu resolvedor bloqueia o seu domínio de teste, use-application-dns.net. A definição de filtragem do UK Safer Internet Centre prevê que os fornecedores gerenciem este tipo de evasão.

Os dados móveis estão fora da sua rede

Um aluno em 4G ou 5G nunca acede ao seu WiFi. O próprio KCSIE salienta que muitas crianças têm acesso ilimitado à internet através de redes móveis. É esperado que a sua abordagem de segurança online reflita esse facto. As orientações de 2024 do DfE sobre telemóveis nas escolas apoiam a proibição do uso de telemóveis durante o horário escolar.

Os registos são evidências, não monitorização

A quarta norma exige estratégias de monitorização, e um registo que ninguém lê não cumpre qualquer requisito. Defina quem analisa os alertas, com que rapidez e como as preocupações chegam ao DSL. A supervisão na sala de aula faz parte da estratégia e não é uma alternativa secundária.

O bloqueio excessivo traz os seus próprios riscos

O KCSIE alerta os órgãos de gestão contra o bloqueio excessivo que origine restrições não razoáveis no ensino. Políticas separadas para funcionários e alunos, graduadas por ciclo de ensino, permitem que uma aula de ciência política do ensino secundário aceda a sites de notícias enquanto o 5.º ano permanece estritamente filtrado.

O KCSIE aplica-se apenas em Inglaterra

Os Países de Gales, Escócia e Irlanda do Norte publicam a sua própria orientação de salvaguarda para escolas. A arquitetura aqui descrita funciona nas quatro nações, mas verifique as expetativas locais.

O que deve fazer a seguir?

1. Mapeie todas as redes. Liste cada SSID em cada local com o respetivo método de autenticação e política de filtragem. Sinalize qualquer rede com uma chave partilhada ou sem política.
2. Defina as funções. O primeiro padrão prevê um líder sénior responsável pela filtragem e monitorização, o DSL a liderar e um fornecedor de IT designado. Registe isto por escrito.
3. Teste a partir de cada SSID. A ferramenta de teste de filtragem do SWGfL verifica se uma ligação bloqueia categorias essenciais, incluindo conteúdos da IWF e CTIRU. Execute-a a partir de redes de convidados e BYOD, não apenas da rede de funcionários.
4. Sequencie a transição. Comece pelos funcionários em 802.1X, pois uma chave de funcionário divulgada expõe os alunos à política mais permissiva. Em seguida, adicione chaves individuais por aluno e, depois, o portal cativo de convidados.
5. Filtre por segmento. Aplique filtragem DNS por VLAN, force a pesquisa segura e bloqueie categorias de DNS encriptado e VPN.
6. Ensaie a questão. Pergunte "quem pesquisou isto e quando?" com o DSL antes que um incidente o force a fazê-lo. Registe o resultado na sua revisão anual.

Se também gere WiFi em locais comerciais, a nossa Lista de verificação para RFP de WiFi em hotéis: autenticação, filtragem de conteúdos e marketing para convidados aplica as mesmas questões a um património público.

Perguntas frequentes

O KCSIE exige filtragem no WiFi de convidados de uma escola?

Sim. Os padrões de filtragem e monitorização do DfE estabelecem que a filtragem se deve aplicar a todos, incluindo contas de convidados, e a qualquer dispositivo que utilize a sua ligação de banda larga. Uma rede de visitantes ou de alugueres que contorne o seu filtro é uma lacuna que a sua revisão anual deve detetar. Bloqueie conteúdos ilegais e nocivos, no mínimo, e alinhe com a política dos alunos em todos os locais onde as crianças se possam ligar, como clubes noturnos, dias abertos e programas de férias.

O Purple pode ser executado nos pontos de acesso que já temos?

Sim. O Purple é independente do hardware e funciona como um overlay na nuvem em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Os trusts que herdam hardware misto através de conversões de academias podem executar uma única política de autenticação e filtragem em todos os locais. Basta apontar os seus controladores para o RADIUS na nuvem e portal cativo do Purple, seguindo a documentação de suporte do Purple para o seu fornecedor.

Temos de substituir o filtro do nosso fornecedor de banda larga?

Não. Muitas escolas mantêm o filtro do seu fornecedor ou consórcio e adicionam autenticação por pessoa, para que os respetivos registos identifiquem um indivíduo em vez de um endereço IP. Outras adicionam filtragem DNS em segmentos BYOD e de convidados que o filtro existente não alcança. Seja qual for a sua solução, verifique se cumpre a definição de filtragem adequada do UK Safer Internet Centre. Confirme também se o seu fornecedor é membro da IWF e bloqueia a lista da CTIRU.

A filtragem DNS é suficiente por si só para cumprir os padrões do DfE?

Não. O filtragem de DNS cobre todos os dispositivos na sua rede para o padrão de filtragem, mas vê domínios em vez de páginas completas. Por si só, não faz nada em termos de monitorização. Os padrões também preveem funções nomeadas, uma revisão anual e uma estratégia de monitorização gerida por pessoas e liderada pelo seu DSL. Combine a filtragem de DNS com autenticação por pessoa, agentes de dispositivo em equipamentos pertencentes à escola e supervisão na sala de aula.

O que acontece ao acesso WiFi quando um membro da equipa sai?

Com as Identity-Based Networks, o acesso termina quando desativa a conta no Microsoft Entra ID, Google Workspace ou Okta. A equipa autentica-se através de 802.1X contra o seu diretório, pelo que nenhuma chave partilhada permanece no telefone de um ex-colaborador. As entradas, mudanças de função e saídas seguem o processo de RH que já executa. Deixa de ter de alterar uma palavra-passe partilhada e reconfigurar cada dispositivo após cada saída.

Como devemos gerir os telemóveis dos próprios alunos?

Defina primeiro a política e, em seguida, aplique-a na rede. Se os alunos não puderem utilizar telemóveis durante o dia, em conformidade com as orientações sobre telemóveis de 2024 do DfE, mantenha-os totalmente fora do WiFi da escola. Se os alunos do secundário puderem ligar-se, forneça a cada um uma chave SecurePass pessoal num segmento de alunos filtrado. Os telemóveis em 4G ou 5G contornam a sua rede, pelo que a política de comportamento e a supervisão continuam a ser importantes.

Como são geridos os dados de autenticação e filtragem ao abrigo do GDPR?

A Purple está em conformidade com o GDPR e é certificada pela ISO 27001 e Cyber Essentials. Os registos que associam um aluno identificado a termos de pesquisa são dados pessoais de crianças. Conclua uma avaliação de impacto sobre a proteção de dados antes de os ativar. Defina um período de retenção que coincida com a sua política de salvaguarda e restrinja o acesso ao DSL e aos adjuntos nomeados. Registe o fundamento jurídico no seu aviso de privacidade.