CIPA 合規性：場所營運商的合規檢查清單

為了符合 CIPA 合規性，美國學校和圖書館必須履行三項核心義務：實施類似 Purple Shield 的技術保護措施、採用網路安全政策，以及舉行公聽會。營運商還必須保留合規記錄 10 年，以確保獲得 E-rate 折扣。

CIPA 合規性對您的網路具體有何要求？

《兒童網路保護法》（CIPA）於 2000 年成為美國聯邦法律。聯邦通信委員會（FCC）透過 E-rate 計畫執行該法，而環球服務行政公司（USAC）負責管理 E-rate 資金。博物館和圖書館服務協會（IMLS）將並行規則應用於《圖書館服務與技術法》（LSTA）資助金。

適用對象

CIPA 約束了接受 E-rate 折扣以獲取網路存取或內部連線的 K-12 學校和公共圖書館。它也約束了使用 LSTA 資金購買電腦或支付網路存取費用的圖書館。飯店、零售商、體育場和會議中心則不直接適用。

場地營運商仍有三種常見的方式符合 CIPA：

• 您以承包商、託管服務供應商或房東的身分，為圖書館或學校運作 WiFi。
• 您與圖書館分館共享建築或網路，例如購物中心或市政中心。
• 您採用 CIPA 作為家庭友善 WiFi 的公共基準，因為它是美國最知名的過濾標準。

三項義務

1. 技術保護措施。 這意味著一個能阻擋或過濾淫穢或顯示兒童性虐待視覺描繪的過濾器。在未成年人使用的裝置上，它還必須阻擋對未成年人有害的內容。
2. 網路安全政策。 該政策必須解決未成年人接觸不當內容的問題，以及未成年人使用電子郵件、聊天室和其他直接通訊的安全。它還必須涵蓋駭客入侵和其他違法活動，以及未經授權洩露未成年人個人資訊的行為。
3. 公告與聽證會。 您必須提供合理的公告，並就擬議的政策召開至少一次公聽會或會議。

根據 2008 年《保護 21 世紀兒童法》，學校還承擔另外兩項職責。他們的政策必須涵蓋監控未成年人的線上活動。它還必須涵蓋教育未成年人適當的線上行為，包括社群網路、聊天室以及防範網路霸凌的意識。

申請人每年在 FCC Form 486 上證明合規。聯盟成員則在 FCC Form 479 上向其領導者進行證明。

CIPA 不要求的事項

CIPA 不要求您記錄具名個人的瀏覽紀錄。FCC 已確認監控職責並不意味著記錄可識別身分的未成年人或成年人的網路活動。CIPA 允許授權人員為因真誠研究或其他合法目的而需要存取的成年人停用過濾器。您的過濾器設計必須允許執行該覆蓋操作。## 開始進行 CIPA 合規專案之前，您需要做好哪些準備？

在修改任何一個 SSID 之前，請先收集以下六個項目。缺少其中任何一項，通常是專案在認證階段停滯不前的原因。

• 資金確認。 確認哪些建築物和服務使用了 E-rate 或 LSTA 資金。這將定義您的合規範圍。
• 網際網路安全政策草案。 法律或治理人員應負責此文本。IT 部門則提供過濾器的技術說明。
• 網路盤點。 列出所有在範圍內的 SSID、VLAN（虛擬區域網路，一種邏輯隔離的網路區段）、有線連接埠和網際網路出口。
• 您的無線基地台與控制器廠商。 Purple 與硬體無關，可在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 上作為雲端重疊層運行。
• 解除封鎖與覆蓋請求的指定負責人。 員工需要快速的途徑來對被錯誤封鎖的網站重新分類，並為成年人停用過濾功能。
• 資料處理計劃。 決定您的 WiFi 登入會收集哪些個人資料（特別是來自未成年人的資料），以及您將如何回應存取和刪除請求。

Purple 的 Connect 方案可免費開始使用，並為您提供具有 25 種語言品牌專屬歡迎頁面的安全 Captive Portal。Captive Portal 是裝置連上網際網路之前看到的登入頁面。Connect 新手引導文章 詳細介紹了場所和硬體的設定步驟。

如何在公共和學生 WiFi 上設定 CIPA 過濾？

該架構分為三個層次：針對不同受眾的獨立網路、每個網路上的過濾型 DNS，以及阻止裝置規避過濾器的控制措施。

步驟 1：依受眾進行網路區隔

為需要不同政策的每種受眾建立獨立的 SSID 和 VLAN。一間典型的公共圖書館通常運行以下三種：

• 讀者 WiFi 供公眾（包括未成年人）使用，啟用完整的 CIPA 過濾。
• 員工 WiFi 供員工使用，具有成人過濾基準和覆蓋流程。
• 裝置網路 供目錄終端機、印表機和建築系統使用，不對外開放。

網路區隔可防止某個網路上的過濾例外套用到另一個網路上。當您向稽核人員展示過濾器涵蓋哪些流量時，它也為您提供了清晰的界限。

步驟 2：將 DNS 路由至 Purple Shield

Purple Shield 在 DNS 層級封鎖惡意軟體、殭屍網路和不當內容。DNS（網域名稱系統）將網站名稱轉換為位址。在此處進行過濾，可以在任何連線建立之前就阻止被封鎖的網站。

DNS 過濾涵蓋網路上的每台裝置，包括讀者自有的手機和筆記型電腦。這些裝置上無需安裝任何軟體。這非常重要，因為現在大多數圖書館和學校的 WiFi 流量都來自機構不擁有的裝置。

步驟 3：關閉規避途徑

DNS 過濾器只有在裝置使用您的 DNS 時才有效。請在您的防火牆或閘道器上新增三種控制措施：

• 阻止向外部解析器發送出站 DNS，使設備無法直接查詢公共解析器。
• 使用 Firefox canary 網域。Mozilla 文件指出，當網路的解析器阻止 use-application-dns.net 時，Firefox 會關閉自動 DNS over HTTPS (DoH)。
• 限制讀者與學生網路上的 VPN 和代理伺服器服務，以符合您的網路安全政策。

步驟 4：設定 Captive Portal

Purple 登入頁面分為三種類型，每種都對 CIPA 有所幫助：

• 離線頁面：這是登入頁面。它位於圍牆花園（Walled Garden）內，因此顯示的內容有限且不含外部連結。請在此處放置簡單易懂的網路安全政策摘要。
• 線上頁面：此選用頁面在登入後出現，可以包含外部連結。可從此頁面連結到完整政策和解除封鎖請求路徑。
• 非營利時間頁面：這可防止在開放時間以外進行登入。它適合不希望在夜間有人在無人監管下存取網路的圖書館和學校。

步驟 5：制定覆蓋與解除封鎖流程

記錄誰可以為成年人停用篩選、他們如何驗證請求以及他們的處理速度。設定一個目標（例如一個工作天）來審查被錯誤封鎖的網站。記錄每項決定，包括日期和原因，但不記錄請求者的瀏覽歷史記錄。

步驟 6：存檔與認證

保留已採納的政策、公開通知、會議記錄以及篩選器設定的說明。FCC 規定要求 E-rate 申請人自最後服務日期起至少保留計劃記錄 10 年。然後在 Form 486 上進行認證，如果您是聯盟成員，則在 Form 479 上進行認證。

哪種篩選方法適合您的網路？

方法	所需硬體	涵蓋讀者自備的設備	典型部署時間	主要規避風險	最適合
雲端 DNS 篩選 (Purple Shield)	除了現有的無線基地台和閘道外，無需其他硬體	是，網路上的所有設備	DNS 重定向後，每個站點只需數小時	DoH、VPN、硬編碼解析器	圖書館、多站點物業、共享建築
防火牆網頁篩選 (UTM)	每個突破口均需授權的防火牆	是，通過防火牆的所有流量	每個站點需數天到數週	無 TLS 檢測的加密流量	擁有現場安全團隊的單一大型校園
端點代理程式	網路上無需硬體，每台設備需安裝代理程式	否，僅限機構擁有的設備	數週，與設備推出時間相關	代理程式遭移除、未託管的設備	1:1 學校筆記型電腦計劃
具備 TLS 檢測的前向代理	代理設備或雲端代理，設備上需安裝憑證	僅限信任您憑證的設備	數週到數月	憑證綁定、未託管的設備	擁有託管設備的員工網路

許多學校結合了兩個層面：在每個網路上進行 DNS 篩選，並在學校發放的筆記型電腦上安裝端點代理程式。圖書館通常依賴 DNS 篩選，因為讀者會攜帶自己的設備。

您如何檢查您的 CIPA 控制措施是否有效？

像稽核員一樣測試控制措施。在範圍內的每個 SSID 上，分別從未受管理的智慧型手機和未受管理的筆記型電腦執行各項檢查。

1. 類別測試：向每個被封鎖的類別請求一個測試網站。確認每個網路上都會出現封鎖頁面。
2. 繞過解析器測試：手動將裝置指向公共 DNS 解析器。該查詢應失敗或逾時。
3. DoH 測試：使用預設設定開啟 Firefox。確認 Canary 網域封鎖了自動 DoH，且被過濾的網站仍保持封鎖狀態。
4. 網路分段測試：從讀者 WiFi 嘗試連線到員工印表機或圖書目錄終端機。該連線應失敗。
5. 覆蓋測試：要求獲得授權的員工處理成人內容覆蓋。計算從提出請求到獲得存取權限的時間。
6. 非營業時間測試：嘗試在閉館時間後登入。應出現非營業時間提示頁面，且不應開放存取權限。
7. 資料請求測試：提交測試存取請求和測試刪除請求，然後計算回應時間。

在任何韌體升級、控制器變更或新增 SSID 後，請重複進行完整測試。請將測試結果與您的 CIPA 記錄一同儲存。

實務上的 CIPA 部署看起來如何？

以下三個情境僅作說明之用。它們展示了需要決策與報告的評估指標，而非來自特定 Purple 部署的實際結果。

情境 1：擁有 12 個分館的郡立圖書館系統

現況：每個分館都運行自己的消費級路由器，並使用不同的過濾器。圖書館無法為 Form 486 認證一致地描述其技術保護措施。讀者對研究網站被封鎖的申訴，只能由當時在服務台的任何人處理。

採取的行動：圖書館在現有的存取點上將讀者與員工 WiFi 進行分段。它將這兩個網路都透過 Purple Shield 進行路由，並在每個分館的閘道器阻擋外部 DNS。它將政策摘要移至離線首頁，並新增了與分館閉館時間同步的非營業時間頁面。

可衡量的成果：現在，單一過濾政策已套用至所有 12 個分館。圖書館每季向其董事會報告兩個數據：在一個工作天內解決的解除封鎖請求，以及通過繞過測試的分館數量。這兩項數據都直接納入下一年度的認證檔案中。

情境 2：設有公共圖書館租戶的購物中心

現況：購物中心營運商在整個商場運行一個訪客 WiFi 網路。一家郡立圖書館在中心內開設了分館，且需要符合 CIPA 過濾要求的存取權限。圖書館無法對其無法控制的網路進行過濾認證。

採取的行動：營運商在專用 VLAN 上新增了一個圖書館 SSID，僅由圖書館的存取點廣播。該網路透過 Purple Shield 進行解析。商場顧客 WiFi 保留其原本的設定，因此營運商無需為顧客或零售租戶進行任何變更。 可衡量的成果。 圖書館收到了一份關於其已過濾網路的書面描述以供存檔。營運商無需新增任何硬體，直接使用其現有的存取點（Access Points）來新增租戶。同樣的模式也適用於擁有市政或教育租戶的 零售 物業。

場景 3：連鎖飯店集團營運適合家庭的訪客 WiFi

狀況。 一家擁有 200 間客房的渡假村飯店每學期都會接待學校的寄宿旅行。學校會詢問 WiFi 是否會為其學生過濾內容。雖然 CIPA 對該飯店沒有約束力，但飯店希望對每一次的訂房諮詢提供明確的答覆。

採取的行動。 該飯店以 CIPA 的內容分類為基準，為團體和家庭新增了一個經過過濾的訪客網路。成人房客則繼續使用標準網路。團體銷售團隊向學校發送了一份關於過濾器和過濾網路開放時間的單頁說明。

可衡量的成果。 飯店以書面政策回答過濾問題，而不需要致電 IT 部門。它按年衡量學校團體的重新預訂率。飯店 和 火車 的營運商可以將相同的基準應用於家庭和團體旅遊。

CIPA 過濾會出現什麼問題，該如何解決？

問題	可能的原因	解決方法
被封鎖的網站在某些裝置上仍可載入	裝置使用 DoH 或寫死的公共解析伺服器	在閘道器阻擋外部 DNS，並阻擋 Firefox canary 網域
學生透過 App 接觸到被封鎖的內容	VPN 或代理伺服器 App 繞過了 DNS 隧道	在學生網路上限制已知的 VPN 和代理伺服器服務
研究或健康網站被封鎖	分類對目標受眾而言過於寬泛	審查該分類，允許該網站並記錄此決定
Captive Portal 未出現	裝置快取了 DNS 或 Walled Garden（圍牆花園）設定錯誤	對照您的硬體廠商指南檢查 Walled Garden 項目
員工網路繼承了讀者規則	共用 VLAN 或共用 DNS 政策	將 SSID 分割到各自的 VLAN 和政策中
認證證明不完整	政策、通知或會議記錄未歸檔	在 Form 486 截止日期前建立記錄檔案

過度過濾也是一個合規問題

CIPA 要求您封鎖特定的視覺內容，而不是每一個邊緣分類。過於寬泛的過濾會阻擋讀者和學生有正當理由獲取的健康、性教育和 LGBTQ+ 資源。請保持一條簡短且已公開的途徑來申請審查。在醫療保健環境中，對患者和訪客 WiFi 應用相同的原則；醫療保健 頁面介紹了該受眾。

從未成年人那裡收集過多數據

收集兒童電子郵件地址的登入表單會帶來數據保護風險。美國《兒童網路隱私保護法》（COPPA）限制收集 13 歲以下兒童的個人資訊。CIPA 自訂的安全政策必須解決未經授權揭露未成年人個人資訊的問題。在學生和讀者網路上，請使用您可以證實合理性、最精簡的登入方式。

在您確實持有個人數據的情況下，Purple 為您提供兩種途徑。訪客可以透過個人檔案入口網站（Profile Portal）查看、更新和要求刪除其數據。管理員可以搜尋訪客、下載其個人檔案以滿足存取權請求，或將其匿名化。匿名化會永久且不可逆地刪除個人識別資訊。Purple 關於管理和刪除訪客個人數據的支援文章提供了具體步驟。

什麼是 CIPA 合規清單？

CIPA 要求	需保留的證明	所有者
技術保護措施已就緒	篩選器設定、網路拓撲圖、測試結果	IT 或網路經理
在未成年人使用的裝置上進行有害未成年人內容篩選	顯示已篩選網路的 SSID 和 VLAN 對照表	IT 或網路經理
提供成人覆寫功能	書面覆寫程序和決策日誌	圖書館館長或學校管理員
已採納網際網路安全政策	附有採納日期的已簽署政策	理事會
政策涵蓋五個必要主題	對應至每個主題的政策文字	合規或法務主管
舉行公開通知和聽證會	通知副本和會議記錄	理事會秘書
學校：監控和線上安全教育	課程計畫和監控聲明	校長或學區負責人
年度認證	已提交的 Form 486 或 Form 479	E-rate 協調員
記錄保留	上述所有項目的 10 年封存檔案	E-rate 協調員

CIPA 合規成本是多少，您能獲得什麼回報？

成本方面

E-rate 折扣範圍為合格成本的 20% 至 90% 不等，具體取決於貧困程度和鄉村狀態。第二類（Category Two）內部連線的折扣上限為 85%。內容篩選不在 FCC 的合格服務清單上。請從您自己的資金中為篩選器編列預算。

Purple 的 Connect 計畫是免費的，涵蓋了 Captive Portal 和快顯畫面。Shield 是一個安全性附加元件，與您的 Purple 計畫一同計價。由於 Purple 是以雲端重疊方式運作，您可以保留現有的存取點和控制器。您無需更新硬體即可新增篩選功能。

回報方面

主要的回報是受保護的資金。未能獲得認證的學校或圖書館將失去該資助年度的 E-rate 折扣。如果 USAC 在資金支付後發現違規行為，可以追回這些資金。

第二個回報是降低營運工作量。在所有站點套用一個 DNS 政策即可取代在每個路由器上進行的篩選器設定。一個測試計劃就能為每個分部提供證明。 第三個回報是數據的安全保證。根據 Purple 的自外數據，Purple 擁有 ISO 27001 和 Cyber Essentials 認證，並支援符合 GDPR 和 CCPA 的規範。Purple 在全球 80,000 多個實體場域運行，並在 2024 年記錄了 4.4 億次登入。當董事會詢問該平台是否能承受壓力時，這樣的規模就極具說服力。

常見問題

CIPA 是否適用於飯店、零售或體育場的 WiFi？

不適用，CIPA 僅約束接受 E-rate 折扣或 LSTA 資助的美國學校和圖書館。飯店、零售商和體育場不屬於此範疇，除非他們為圖書館或學校營運 WiFi、與其共享網路，或根據合約提供服務。許多場域營運商仍將 CIPA 的內容分類作為適合家庭使用的顧客 WiFi 基準，因為這是學校和家長認可的標準。

Purple Shield 是否適用於我們現有的基地台？

是的，Purple Shield 適用於您現有的基地台。Purple 獨立於硬體，並作為雲端重疊網路運行於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 之上。由於 Shield 在 DNS 層級進行過濾，因此無需在顧客或學生的裝置上安裝軟體即可覆蓋網路上的所有裝置。您可以保留現有的控制器，並避免硬體更新。

僅憑 DNS 過濾是否足以符合 CIPA 規範？

DNS 過濾可以作為您的技術保護措施，但僅靠過濾器本身並不能讓您符合規範。您還需要通過網際網路安全政策、公開通知、聽證會和年度認證。在技術方面，請封鎖外部 DNS 解析程式和自動執行的 DNS over HTTPS。實施 1:1 筆記型電腦計劃的學校通常會為校方發放、在校外使用的裝置安裝終端代理程式。

成年人是否可以要求關閉過濾功能？

是的，CIPA 允許授權人員為出於善意研究或其他合法目的的成年人停用過濾器。您的網際網路安全政策應指定誰可以授權此覆蓋操作、他們如何驗證請求以及其處理速度。將教職員和顧客網路分開可以讓覆蓋操作的管理更加容易。請記錄該決定及其原因，而非該成年人的瀏覽記錄。

CIPA 是否要求我們記錄學生和顧客的瀏覽內容？

不，CIPA 並不要求您記錄可識別身分之個人的瀏覽內容。學校必須制定涵蓋監控未成年人線上活動的政策，但 FCC 已表示，這並不意味著要記錄具名學生的網際網路使用情況。請在網路層級保留過濾器日誌，以便進行安全維護和排除疑難。盡可能減少收集未成年人的個人資料，尤其是在 COPPA 的規範之下。

Purple 如何處理在 WiFi 登入時收集的個人資料？

Purple 支援符合 GDPR 與 CCPA 的規範，並擁有 ISO 27001 認證。訪客可以透過個人檔案入口網站查看、更新及要求刪除其資料。管理員可以搜尋訪客、下載完整的個人檔案以回應存取請求，或將個人檔案進行匿名化處理。匿名化會永久且不可逆地從平台中移除個人識別資訊。在未成年人使用的網路上，請使用您能合理化解釋的最輕量登入方式。

CIPA 篩選的費用是多少？E-rate 可以提供補助嗎？

E-rate 並不補助內容篩選，因此您需要從自己的預算中支付篩選器費用。E-rate 確實為符合條件的網際網路存取和內部連線提供 20% 至 90% 的折扣。Purple 的 Connect 方案是免費的，涵蓋了 Captive Portal 與 Splash 頁面。Shield 則是一款安全加購產品，與您的 Purple 方案一同計價。由於 Purple 運行在現有的硬體上，因此進行篩選不會增加額外的存取點成本。

從我們目前的篩選器移轉到 Purple Shield 需要多少時間？

大部分的工作在於原則制定與測試，而非設定。一旦您的網路資產盤點完成，將 DNS 重新導向至 Shield 並封鎖外部解析器，每個站點僅需數小時。請預留時間在每個 SSID 上執行完整的測試計劃、更新您的 Splash 頁面並重新整理您的認證記錄。在切換整個園區之前，請先在一個試點站點上並行執行舊的和新的篩選器。