KCSIE 與學校 WiFi：將安全存取與內容過濾完美結合

在教育中保護兒童（KCSIE）要求英格蘭的學校與學院執行適當的過濾與監控。教育部（DfE）的標準期望對使用您連線的每個人、訪客帳號及裝置進行過濾。日誌應盡可能識別個人。將個人專屬的網路驗證與 DNS 過濾相結合，可同時滿足教職員、學生及訪客網路的需求。

KCSIE 對學校 WiFi 過濾與監控有何要求？

在教育中保護兒童（KCSIE）是英國教育部（DfE）的法定指引。英格蘭的學校與學院在履行保護責任時必須重視此指引。管理機構與經營者有責任落實適當的過濾與監控系統，並審查這些系統的運作狀況。

KCSIE 賦予指定保護主管（DSL）負責線上安全的導向責任。這包括瞭解現行的過濾與監控系統。您的網路現在是一項保護控制措施，DSL 需要瞭解其運作方式。

KCSIE 將線上風險分為四個領域：內容（content）、接觸（contact）、行為（conduct）和商業（commerce）。過濾主要針對內容。監控則是您早期發現接觸和行為風險的方式。

四項 DfE 過濾與監控標準

KCSIE 引導學校參考 DfE 於 2023 年 3 月首次發布的學校與學院過濾與監控標準。這些標準提出了四項期望：

1. 識別並分配管理過濾與監控系統的角色與責任。
2. 每年至少審查一次過濾與監控設定。
3. 封鎖有害及不當內容，且不對教學與學習造成不合理的影響。
4. 制定有效的監控策略，以符合學校或學院的保護需求。

第三項標準對您的 WiFi 意味著什麼

第三項標準是無線網路設計最具體的地方。過濾應該適用於所有人，包括訪客帳號、學校擁有的裝置以及任何使用您寬頻連線的裝置。未過濾的教職員網路或獨立線路上的訪客網路都是漏洞。

同一標準期望您的系統能夠識別裝置名稱或 ID、IP 位址，並在可能的情況下識別個人。系統還應記錄嘗試存取的時間與日期，以及被封鎖的搜尋詞或內容。

您的過濾提供商應該是網際網路觀察基金會（IWF）的成員。它還應封鎖反恐網際網路轉介部門（CTIRU）清單上的內容。英國網路安全中心（UK Safer Internet Centre）發布了適當過濾與適當監控的定義，提供商會對此進行自我認證。要求您列入候選名單的任何提供商（包括我們）提供該回應文件。

為什麼 KCSIE WiFi 過濾取決於是否瞭解連線者身份？

大多數學校的過濾器都已經封鎖了明顯的類別。弱點在於歸因能力。如果您的教職員與學生網路使用的是共用密碼，過濾器只會看到 IP 地址，此外一無所知。

每當該 IP 地址的租約到期時，它就會轉移到另一台裝置上。在位址轉換（NAT）背後，對上游過濾器來說，一整棟大樓看起來就像是一個 IP 地址。當 DSL（指定保護負責人）詢問誰在 13:42 搜尋了自我傷害詞彙時，坦白地說，答案往往只是「高年級網路上的某台裝置」。

共用密碼也容易外洩。在群組聊天室中分享教職員 WiFi 金鑰，會讓學生的手機連上教職員網路並適用較鬆散的策略。上學期離職的教師手機裡依然儲存著該金鑰。這兩種情況都不會出現在任何紀錄中，因為網路無法區分不同的金鑰持有者。

個人化驗證可在連線端解決歸因問題。每台裝置都使用綁定特定姓名的憑證連線，因此每行紀錄都能精確對應到該名人員。

網路驗證與 DNS 過濾如何協同工作？

可以將其視為三個層級。驗證決定了誰在網路上以及他們進入哪個網段。DNS 過濾決定了他們可以存取哪些內容。這兩者的紀錄透過 IP 地址和時間進行比對，就能為 DSL 提供具名的詳細紀錄。

第 1 層：裝置連線時的身分識別

針對教職員，標準規範是 IEEE 802.1X，這是 WPA2-Enterprise 與 WPA3-Enterprise 背後基於連接埠的存取控制架構。裝置會向 RADIUS (Remote Authentication Dial-In User Service) 伺服器提供憑證，伺服器則會對照您的目錄進行核對。Purple 的雲端 RADIUS 會對照 Microsoft Entra ID、Google Workspace 或 Okta 來驗證教職員。您只需管理每個人的單一帳號，而不是每棟建築物的一組 WiFi 密碼。

學生的個人手機、寄宿宿舍的遊戲機以及無法支援 802.1X 的教室設備，則需要另一種連線方式。個人化預先共享金鑰（iPSK）能在單一 SSID（網路名稱）上為每個人或每台裝置提供專屬的 WiFi 金鑰。Purple 的 SecurePass 能發放這些個人化金鑰，因此高年級學生的手機使用的是專屬於他們的金鑰連線。

訪客、外包商與租借場地的團體則透過 Captive Portal 連線。這是裝置在存取網際網路前看到的網頁，訪客可在頁面上註冊或由教職員進行擔保。Guest WiFi 能處理該註冊流程，並為每個連線階段設定時間限制。

RADIUS 回應還可以將每台裝置分配到特定的 VLAN（虛擬區域網路） - 一個邏輯上獨立的網路區段。這樣一來，即使使用相同的存取點，教職員、學生與訪客也會位於具備不同過濾策略的獨立網段上。

第 2 層：各網段上的 DNS 過濾

在瀏覽器或應用程式連線到網站之前，會先向 DNS 解析器查詢該網域的 IP 地址。具備過濾功能的解析器會對照類別清單檢查該網域。如果該類別在該網段上是被禁止的，解析器就會傳回封鎖頁面。

因為 DNS 過濾作用於查詢階段，所以它涵蓋該區段上的每一台裝置，無論是否受管理。它不需要在裝置上安裝代理程式，也不需要檢驗憑證。這非常適合訪客和 BYOD 網路，雖然 DfE 標準將其納入規範範圍，但您無法直接管理這些裝置。Purple 的 Shield 附加功能即是在此層級套用內容過濾。

您也可以在此強制執行安全搜尋。Google 提供了一個 DNS 對映設定至 forcesafesearch.google.com，可強制任何使用您解析器的裝置開啟 SafeSearch。YouTube 也支援類似的對映至 restrict.youtube.com 以啟用受限模式。

第 3 層：結合日誌記錄

RADIUS 計費記錄會記載哪個身分在何時持有哪個 IP 位址。DNS 過濾器則會記錄哪個 IP 位址在何時請求了哪個網域。透過 IP 和時間戳記將兩者結合，被阻擋的查詢就能比對出具名的學生、裝置和搜尋字詞。

這種結合就是第三項標準所指的「在可能的情況下識別個人」。它也為第二項標準要求的年度審查提供了證據：觸及了哪些類別、頻率如何，以及在哪些網路上。

教職員、學生和訪客網路比較

網路	連線對象	驗證方式	身分來源	過濾策略	日誌顯示名稱	存取如何結束
教職員	教學與後勤人員、董事會成員	802.1X (WPA2- 或 WPA3-Enterprise)	Microsoft Entra ID、Google Workspace 或 Okta	阻擋非法和有害內容，為教學資源提供更廣泛的存取權	具名教職員帳戶與裝置	在目錄中停用帳戶
學生、學校擁有的裝置	使用學校筆記型電腦和平板電腦的學生	使用學生帳戶的 802.1X，或個別裝置金鑰	學校目錄	依關鍵階段套用適合年齡的策略，強制執行安全搜尋	具名學生或貼有資產標籤的裝置	從目錄中移除學生
學生 BYOD	在策略允許情況下，高年級學生自己的手機和筆記型電腦	透過 SecurePass 使用個人化 iPSK	學校目錄	學生策略加上阻擋 VPN、代理伺服器和加密 DNS 類別	具名學生與裝置	撤銷個人金鑰
訪客與出借場所	訪客、外包廠商、家長、租借團體	具備註冊或教職員擔保功能的 Captive Portal	訪客註冊記錄	在兒童可能連線的任何地方，至少套用學生基準策略	已註冊的訪客與裝置	連線階段在時間限制到達時過期

這與您現有運行的過濾機制有何關係？

大多數學校已經運行某種過濾機制。寬頻提供業者和區域聯盟通常會提供此服務，且許多防火牆都包含網頁過濾功能。學校擁有的裝置可能會帶有透過行動裝置管理 (MDM) 派送的過濾代理程式。網路驗證和 DNS 過濾是為這些控制措施進行補充，而非直接取代它們。

方法	能看見的內容	涵蓋 BYOD 和訪客裝置	涵蓋校外裝置	主要缺口
DNS 過濾	查閱的網域名稱	是，任何使用您解析器的裝置	否	無法封鎖單一頁面，且加密的 DNS 或 VPN 會繞過它（除非被封鎖）
具備 HTTPS 檢視的防火牆過濾	解密後的完整 URL 與內容	僅限網域層級，因為非託管裝置缺少您的憑證	否	憑證部署、隱私疑慮以及在檢視下運作中斷的應用程式
透過 MDM 的裝置 Agent	裝置本身的活動	否，僅限學校擁有的裝置	是	無法管理訪客、BYOD 或未註冊的裝置

實際的做法是採用分層架構。在學校的筆記型電腦上保留裝置 Agent，讓過濾規則跟隨裝置回家。在 Agent 無法觸及的 BYOD 與訪客裝置上使用 DNS 過濾。使用單人身份驗證，讓這兩組記錄檔都能指名到特定個人。

Purple 能以雲端覆蓋層（Cloud Overlay）的方式，運作於您現有的存取點（AP）上：Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet。我們在 為什麼您的下一次 WiFi 升級不需要新硬體 中說明了這如何避免拔線重裝（Rip and replace）。關於 SSID 與網路切割設計，請參閱 2026 年場館與企業的網路最佳做法。

如果您將教職員轉移至 WPA3-Enterprise，受保護的管理影格（IEEE 802.11w）將成為強制要求。它們能阻止偽造的中斷連線影格 - 這是一種將裝置推向受控惡意網路的低成本手法。受保護的管理影格：2026 年實用指南 涵蓋了詳細內容。

Purple 運作於 80,000 多個實體場館，並在 2024 年處理了 4.4 億次登入（Purple 數據），正常執行時間達 99.999%。在教育領域，我們的客戶包括雪菲爾大學（University of Sheffield）、利茲大學（University of Leeds）與倫敦藝術大學（University of the Arts London）。大學雖然不受 KCSIE 規範，但其身分模型是相同的。

這在真實的學校環境中看起來如何？

以下兩個情境皆為說明範例。產生的結果直接源自所述的設定方式。

一所中學廢除了三個共享密碼

狀況。 一擁有 1,100 名學生與預科（Sixth form）的中學運行三個 SSID。教職員共用一把金鑰，預科生共用一把每學期更換的金鑰，而訪客則從櫃檯讀取金鑰。過濾機制設於寬頻線路上。DSL 無法將任何被封鎖的搜尋歸因於特定個人，且教職員的金鑰已經出現在學生的手機上。

處理方式。 教職員轉用針對 Microsoft Entra ID 進行身分驗證的 802.1X。每位預科生會在學生 VLAN 上收到一把個人專屬的 SecurePass 金鑰。訪客透過 Captive Portal 註冊，每次工作階段為八小時。DNS 過濾按 VLAN 運作，並強制執行安全搜尋，同時在學生與訪客網段上封鎖加密 DNS 和 VPN 類別。

成果。 共用的 WiFi 密碼從三個降至零個。教職員和 16 至 18 歲高中生（sixth-form）網路上的每一條過濾記錄，都能對應到具名帳號。當 IT 部門在 Entra ID 中停用帳號時，教職員的存取權限即告終止，無需等待下一個學期的金鑰更換。

多學院信託基金開放大樓供社區租借

情況。 一個擁有八所小學的信託基金將其大樓租借給夜間社團、週末市集和週六足球課程。租借團體會收到每所學校的訪客金鑰。在經歷幾次學院轉型後，各據點混合使用了 Cisco Meraki 和 Ubiquiti UniFi，並帶有不同的本機設定。

採取的行動。 該信託基金在所有八個據點部署了一個跨雙方廠商的蓋層 Captive Portal。據點管理者會根據每次預約的時間贊助租借會話。由於 18 歲以下青少年參加了大部分預約活動，租借網路採用了學生過濾基準。

成果。 八個本機訪客設定整合為一個中央策略。每台租借設備都連結到已註冊的聯絡人和預約。信託基金從單一地點為所有八所學校提供年度審查證據，滿足了第二項標準。WiFi Analytics 顯示了各據點的連線數量，有助於資產團隊規劃租借活動的人力安排。

您應該瞭解哪些限制？

DNS 過濾看到的是網域，而非頁面

DNS 過濾針對網域名稱做出判斷。它無法封鎖您允許的網域中的單一有害影片。若要實現此功能，請在受管設備上使用 HTTPS 檢查或平台內部的控制功能（例如 YouTube 限制模式）。

加密 DNS 和 VPN 可以繞過過濾

瀏覽器可以透過 HTTPS 傳送 DNS (DoH)，這會將查詢隱藏在加密的網路流量中，並跳過您的解析器。請封鎖已知的公開 DoH 解析器以及 VPN 和代理伺服器類別。然後在防火牆上封鎖指向非您方解析器的任何出站 DNS。當您的解析器封鎖 Firefox 的金絲雀網域 use-application-dns.net 時，Firefox 會停用預設的 DoH。英國 Safer Internet Centre 的過濾定義要求提供者管理此類規避行為。

行動數據位於您的網路之外

使用 4G 或 5G 的學生永遠不會接觸到您的 WiFi。KCSIE 本身指出，許多兒童可透過行動網路獲得無限制的網際網路存取。它希望您的網路安全做法能反映出這一點。英國教育部（DfE）2024 年關於學校使用行動電話的指南，支援禁止在在上課日期間使用手機。

記錄是證據，而非監控

第四項標準要求提供監控策略，而沒有人閱讀的記錄無法滿足任何要求。請共同商定由誰審查警示、處理速度有多快，以及疑慮如何傳達給 DSL。課堂上的監督是策略的一部分，而不是備用方案。

過度封鎖帶有其自身的風險

KCSIE 警告管理機構避免過度封鎖，以免對教學造成不合理的限制。將教職員和學生的策略分開，並按學習階段分級，可讓 16 至 18 歲高中生的政治課瀏覽新聞網站，同時對 7 年級保持嚴密過濾。

KCSIE 僅適用於英格蘭

威爾斯、蘇格蘭與北愛爾蘭各自針對學校發布保護指引。此處的架構適用於所有四個構成國，但請確認當地的規範要求。

接下來您應該怎麼做？

1. 繪製所有網路地圖。 列出每個據點的每個 SSID，包含其驗證方式與過濾策略。標記任何使用共用金鑰或未設定策略的網路。
2. 指定角色職責。 第一項標準要求由高層領導者負責過濾與監控，由 DSL（保護指定領導人）主導，並指定 IT 服務提供業者。請將其明確記錄下來。
3. 從每個 SSID 進行測試。 SWGfL 的測試過濾工具可檢查連線是否阻擋核心類別，包含 IWF 與 CTIRU 的內容。請從訪客與 BYOD 網路執行測試，而非僅在教職員網絡執行。
4. 排定轉移順序。 首先讓教職員採用 802.1X，因為教職員金鑰外洩會使學生暴露於最鬆散的策略環境中。接著新增每位學生的專屬金鑰，最後設置訪客 Captive Portal。
5. 按區段進行過濾。 透過 VLAN 套用 DNS 過濾、強制執行安全搜尋，並阻擋加密 DNS 和 VPN 類別。
6. 預演情境問題。 在事件發生之前，與 DSL 一起提問「是誰在何時搜尋了這個內容？」。並將結果記錄在您的年度審查中。

若您同時在商業場所營運 WiFi，我們的 飯店 WiFi RFP 檢核表：驗證、內容過濾與訪客行銷 也將相同問題套用至公共資產中。

常見問題

KCSIE 是否要求對學校的訪客 WiFi 進行過濾？

是的。DfE 過濾與監控標準指出，過濾應套用至所有人（包含訪客帳號），以及任何使用您寬頻連線的裝置。繞過過濾機制的訪客或外租網路是您年度審查中應發掘的漏洞。至少應阻擋違法與有害內容，並在兒童可能連線的任何地方（例如夜間社團、校園開放日與假期活動）套用與學生相同的策略。

Purple 能否在我們現有的基地台（AP）上執行？

是的。Purple 不受硬體限制，可作為雲端重疊層（overlay）運行於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 上。透過學院轉型繼承混雜硬體的信託基金，可以在所有據點執行統一的驗證與過濾策略。您只需依照 Purple 針對您設備廠商的支援文件，將控制器指向 Purple 的雲端 RADIUS 與 Captive Portal 即可。

我們必須更換寬頻提供業者的過濾器嗎？

不需要。許多學校保留了提供業者或聯盟的過濾器，並新增單一使用者驗證，因此日誌記錄的是個人而非 IP 位址。其他學校則是在現有過濾器無法覆蓋的 BYOD 與訪客區段新增 DNS 過濾。無論您採用何種架構，請確認其符合 UK Safer Internet Centre 的適當過濾定義。同時請確認您的提供業者為 IWF 會員且已阻擋 CTIRU 清單。

單靠 DNS 過濾是否足以符合 DfE 標準？

否。DNS 過濾在過濾標準上覆蓋了您網路上的每台裝置，但它只能識別功能變數（Domain）而非完整網頁。僅憑 DNS 過濾無法達到監控效果。這些標準同時要求指定角色、進行年度審查，以及由專業人員執行並由您的 DSL 領導監控策略。請將 DNS 過濾與單人身分驗證、學校自有設備上的裝置代理程式（Agent）以及課堂監督相結合。

當教職員離職時，WiFi 存取權限會如何處理？

透過以身分為基礎的網路（Identity-Based Networks），當您在 Microsoft Entra ID、Google Workspace 或 Okta 中停用帳號時，存取權限即告終止。教職員透過 802.1X 對您的目錄進行驗證，因此離職員工的手機上不會留有共用金鑰。新進、異動與離職員工均遵循您既有的 HR 流程。您不再需要在每次有人離職後更改共用密碼並重新設定每台裝置。

我們該如何處理學生自己的手機？

請先制定政策，然後在網路上強制執行。如果根據 DfE 2024 年行動電話指南，學生在校期間不得使用手機，請讓他們完全無法連線學校 WiFi。如果六年級生（Sixth formers）可以連線，請在經過過濾的學生網路區段中，為每個人提供專屬的 SecurePass 金鑰。使用 4G 或 5G 的手機會繞過您的網路，因此行為準則政策與監督仍然非常重要。

身分驗證與過濾資料在 GDPR 下如何處理？

Purple 符合 GDPR 規範，並獲得 ISO 27001 與 Cyber Essentials 認證。將具名學生與搜尋詞彙連結的紀錄屬於兒童個人資料。在啟用這些功能之前，請先完成資料保護影響評估（DPIA）。設定符合您安全防護政策的保存期限，並僅限 DSL 及指定副手存取。請在您的隱私權聲明中記錄合法依據。