Piattaforme Interessate:

• Google Workspace
• Microsoft 365
• Adobe Creative Cloud Express
• Aula01

Pseudonimizzazione

All’interno delle piattaforme gli utenti risultano tutti pseudonimizzati, il collegamento degli utenti ai loro dati pseudonimizzati avviene grazie all’ IDP che decide che codice di pseudonimizzazione assegnare all’utente ed ogni quanto ruotarli.

Per rendere efficace la pseudonimizzazione agli utenti non è consentito effettuare alcune operazioni in piattaforma, come ad esempio:

• Cambiare Nome, Cognome, Nickname, foto del profilo, sesso, luogo di lavoro, mail di notifica, 2FA, numero di telefono di recupero, mail di recupero.
• Pubblicare immagini e documenti contenenti fotografie di documenti d’identità.
• Pubblicare dati personali degli studenti.
• Pubblicare elenchi di studenti.

Posta elettronica

Ogni utente ha 2 indirizzi di posta elettronica:
– Il primo username@[dominioscuola] es. antonio.esposito.d12@[dominioscuola]
– Il secondo è studente.0123456789@[dominioscuola] un indirizzo anonimizzato utilizzabile all’interno delle piattaforme ed assegnato automaticamente all’utente per l’accesso alle piattaforme visibile cliccando sull’ icona dell’account in alto a destra su Google.

In base al proprio ruolo all’interno dell’organizzazione questi sono i limiti d’invio e ricezione di posta.

Tipologia	Invio	Ricezione
Docenti e personale ATA solo con liberatoria base	Solo verso domini ammessi	Solo da domini ammessi
Docente e personale ATA con liberatoria servizi aggiuntivi	Senza limitazioni	Senza limitazioni
Studenti minori di 14 anni (con e senza liberatoria aggiuntiva)	Solo verso domini ammessi	Solo da domini ammessi
Studenti maggiori di 14 anni con solo liberatoria servizi base	Solo verso domini ammessi	Solo da domini ammessi
Studenti maggiori di 14 anni con liberatoria servizi aggiuntivi	Domini ammessi + domini di servizi aggiuntivi attivati con l’insegnante per progetti mirati	Domini ammessi + domini di servizi aggiuntivi attivati con l’insegnante per progetti mirati
Utenti Esterni temporanei che necessitano della posta elettronica	Solo verso domini ammessi	Solo da domini ammessi
Utenti esterni temporanei che non necessitano della posta	Posta elettronica non attiva	Posta elettronica non attiva

I domini ammessi sono:

• Il dominio scolastico
• I domini clanto.it e scuola.org
• I domini che terminano con .edu.it e .gov.it
• I domini @istruzione.it, @posta.istruzione.it e @garr.it
• I domini tecnici delle piattaforme utilizzate per la ricezione delle notifiche

I domini temporaneamente ammessi in base ai progetti devono essere comunicati al supporto tecnico per l’attivazione, i domini temporanei possono essere progetti con associazioni, olimpiadi ecc.
Qualora l’associazione non sia in possesso di un dominio da autorizzare dovrà essere fornito l’indirizzo email specifico da autorizzare.

Sistema di sicurezza della posta elettronica (ESG)

La posta elettronica in ricezione viene filtrata e monitorata dall’ ESG prima di arrivare in piattaforma.
La posta elettronica in uscita viene filtrata e monitorata dall’ESG prima di lasciare i server di posta d’istituto.

Il sistema ESG si occupa di:

• Filtrare e bloccare spam e virus proveniente dall’esterno o inviati dall’interno.
• Di controllare il contenuto della posta elettronica alla ricerca di determinati pattern che possono compromettere la privacy degli utenti
• Di limitare la ricezione e l’invio della posta in maniera granulare anche caso per caso.
• Di cancellare i dati telemetrici dalle mail in arrivo e consegnare in piattaforma le mail ricevute sull’indirizzo email in “chiaro” al giusto indirizzo email “pseudonimizzato”.

I pattern che vengono controllati dal sistema ESG sono pattern specifici dove si può presumere una fuga di dati in grado di identificare gli utenti nelle piattaforme. Come ad esempio:

• Codici fiscali
• Date di nascita
• Aggregazione di dati identificanti degli utenti
• Dati personali
• Contenuto pedopornografico
• Contenuto pirata

Al ritrovamento di uno di questi pattern specifici il sistema decide in automatico le azioni da intraprendere tra:

• Blocco della mail
• Cancellazione dei dati personali dalla mail e consegna

Nei casi più critici il sistema, in sincronia con l’IDP, cancella gli account pseudonimizzati compromessi della piattaforma creandone altri con un nuovo codice identificativo, tutto in maniera automatica e trasparente per gli utenti che dovranno solo rieffettuare il login con le proprie credenziali.

Invio credenziali di primo accesso

Le credenziali di primo accesso sono univoche per ogni Account con password generate casualmente, formate da almeno 10 caratteri alfanumerici, esclusi caratteri ambigui. Al primo accesso è obbligatorio il cambio di password.

Gli invii delle credenziali vengono effettuati in maniera massiva, da server di posta europei, così da non lasciare dati su Server Google/Microsoft degli invii e quindi degli indirizzi personali.

Rotazione di pseudonimizzazione

La rotazione degli account pseudonimizzati viene effettuata dai software di controllo IDP e DLP in maniera auomatizzata:

• Almeno ogni 12 mesi.

• Ogni qualvolta si dovesse ritenere necessario.

Ogni INIZIO anno scolastico

Vengono create le credenziali per i nuovi studenti ed i nuovi docenti.
Vengono creati i gruppi classe sulla piattaforma.
Vengono inviate le mail con le credenziali di primo accesso alle mail dei genitori e degli insegnanti fornite dalla scuola.

Ogni FINE anno scolastico

Gli Account degli studenti che lasciano la scuola vengono avvisati tramite mail alla fine dell’anno scolastico di salvare i propri dati e sospesi a settembre con l’inserimento dei nuovi studenti.

Gli Account dei docenti che lasciano la scuola vengono avvisati alla fine del loro contratto e sospesi a settembre con l’inserimento dei nuovi docenti.

Studenti e docenti che lasciano la scuola hanno sempre a disposizione almeno 2 settimane per recuperare i propri dati prima della sospensione.

Gli Account sospesi vengono eliminati a dicembre di ogni anno.

Gli Account dei docenti che restano a scuola non vengono toccati.
I docenti vengono avvisati di archiviare le proprie Classroom / Teams ogni fine anno scolastico per poi creare le nuove l’anno scolastico successivo.

Servizi di base attivi

Puoi vedere una lista delle applicazioni autorizzate e non a questo link:
https://supporto.clanto.it/kb/lista-servizi-base-ad-aggiuntivi/

Browser gestito

Nel momento in cui si accede a Google tramite Google Chrome, il sistema verifica se si è loggati nel profilo di Chrome corretto e se il browser rispetta i parametri di sicurezza minimi richiesti.
Se non si è loggati nel profilo scolastico o non si rispettano i parametri di sicurezza minimi apparirà il messaggio “La tua organizzazione richiede un profilo”. Basterà cliccare su “Crea” affinchè venga creato automaticamente un nuovo profilo di Chrome separato dal precedente.

Il profilo creato viene gestito come un secondo Google Chrome sul PC, già provvisto di:

• Estensioni per eliminare i traccianti, i cookie, le pubblicità ecc
• Impostazioni ottimali per l’utilizzo della suite Google Workspace
• DNS su HTTPS imposto su server che filtrano i traccianti
• Cambio del fingerprint del browser per renderlo differente da Chrome con cui si accede al profilo personale.

N.B. Se si utilizza la Modalità in incognito di Chrome o un altro browser questa separazione non
avviene, sarà l’IDP ad occuparsi di limitare i traccianti ad ogni apertura delle app google.

Navigazione in incognito

I Computer della didattica (LIM, aule, Computer condivisi ecc.) sono impostato per aprire Google Chrome sempre in modalità in incognito.
Per gli amministratori per l’installazione sui nuovi Computer:
Va modificata una chiave di registro sui Computer, per farlo basta scaricare questo file: https://clanto.it/software/chrome_incognito.zip
Esterlo ed installare la chiave “FORZA Incognito Chrome“.
Per reimpostare le impostazioni di default basta installare la chiave “DEFAULT Permetti Incognito Chrome”.

Data Loss Prevention (DLP)

La Data Loss Prevention è un sistema che monitora costantemente i dati inseriti in piattaforma
in tutte le sue applicazioni e le loro condivisioni.

Il suo scopo:

• Cerca eventuali comportamenti anomali o imprevisti dovuti ad un hackeraggio o ad un
  malware.
• Cerca eventuali comportamenti atti a condividere dati sensibili in maniera non autorizzata e li
  blocca.
• Cerca ed elimina dati che normalmente non dovrebbero essere caricati in piattaforma
  (materiale sensibile, materiale pirata ecc.)

Gli utenti non potranno più caricare qualunque file loro desiderino, ma dovranno fare attenzione
a caricare solo materiale atto ad un utilizzo lecito della piattaforma.
Il sistema blocca o avvisa l’utente in caso di azioni scorrete.

Il sistema non ricerca nomi e cognomi in quanto già filtrati da altri sistemi, ma cerca tutti gli abbinamenti ad essi correlati più qualunque altra traccia che possa ricollegare quei nomi e cognomi ad altri dati.

Nei casi più critici il sistema, in sincronia con l’IDP, cancella gli account pseudonimizzati compromessi della piattaforma creandone altri con un nuovo codice identificativo, tutto in maniera automatica e trasparente per gli utenti che dovranno solo rieffettuare il login con le proprie credenziali.

Directory e ricerca all’interno della piattaforma

A tutti gli utenti in piattaforma è consentito cercare altri utenti per nome e cognome, agli utenti verrà sempre mostrato l’indirizzo email pseudonimizzato.

App meno sicure

L’utilizzo delle App meno sicure è disattivato di default in quanto l’utilizzo di questi protocolli deprecati bypasserebbe i sistemi di controllo.

Sessioni

Le sessioni sulle piattaforme hanno una durata massima di 7 giorni, allo scadere dei 7 giorni si deve rieffettuare il login.

Accesso al WiFi ed agli apparati d’istituto

Gli utenti abilitati possono accedere al WiFi ed ai Computer con le proprie credenziali.