가족 교육권 및 개인정보보호법(FERPA)은 학생 교육 기록의 접근 및 관리를 규율하는 미국 연방법입니다. FERPA는 해당 기록의 개인정보보호와 관련하여 학생과 학부모에게 특정 권리를 부여합니다. 여기에는 학생의 교육 기록을 검사하고 검토할 권리, 부모 또는 적격 학생이 부정확하다고 생각하는 기록의 수정을 요청할 권리, 교육 기록에서 개인 식별 정보(PII) 공개를 일부 제어할 수 있는 권리가 포함됩니다.
Esri의 ArcGIS 제품과 서비스는 교육 기관에서 연구, 교육, 관리 등 다양한 목적으로 활용되고 있습니다. ArcGIS는 교육 기관의 교육 기록 처리에 활용되지 않는 경우가 많으며, FERPA 준수 요구를 최소화하도록 구성할 수 있습니다. 그러나 해당 제품 및 서비스가 교육 기록을 저장, 처리, 전송하는 데 사용되는 경우 FERPA의 조항에 속할 수 있습니다. 따라서 워크플로가 FERPA 요구 사항에 부합하는지 여부를 결정하는 것은 고객에게 달려 있습니다.
고객 데이터의 보안과 개인정보를 보호하기 위한 Esri의 약속은 다음과 같습니다.
- Esri의 개인정보보호규정을 독립적인 평가 및 인증 기관에 제출
- 자격을 갖춘 독립적인 서드 파티에서 매년 FedRAMP 감사 진행
- 보안 상태를 평가하고 새로운 위협을 파악하기 위해 테스트 및 최소 30일마다 취약성 검사 수행
- 타겟팅 쿠키를 비활성화하여 K-12 학생의 개인정보보호
FERPA FAQ
FERPA 인증 프로그램이 있나요?
- 아니요. 현재 서드 파티 규정 준수를 평가하기 위한 특정 FERPA 인증 프로그램은 없습니다. 교육 기관은 제품이나 서비스가 규정 준수 능력에 영향을 미치는지 확인하기 위해 자체 평가를 수행해야 합니다.
FERPA 규정 준수에 도움이 되는 ArcGIS Online 보안 및 개인정보보호 조치는 무엇인가요?
- 역할 기반 접근 제어와 같은 다양한 ArcGIS Online 제품 보안 기능을 제공합니다.
- 전송 중인 데이터는 TLS 1.2로 보호하고 휴면 중인 데이터는 256비트 고급 암호화 표준(AES-256)을 사용하여 보호합니다.
- 클라우드 공급자의 물리적 및 환경적 보호를 활용합니다. Esri의 호스팅 시설은 주변 울타리, 직원이 배치된 로비, 감시 카메라(CCTV), 맨트랩, 케이지 잠금, 동작 탐지기, 생체 인식 접근 요구 사항 등의 다중 물리적 보안 제어를 통한 연중무휴 24시간 직원 보안 및 모니터링 기능을 갖추고 있습니다.
- 고객이 승인한 보안 사건 또는 지원 사례에 대한 대응인 경우를 제외하고는 고객의 ArcGIS Online 비공개 콘텐츠를 확인하지 않습니다.
- 고객 데이터를 서드 파티와 공유하지 않습니다.
- 기술지원에 요청 시 증거보존 통지를 위해 고객 데이터를 '동결'(읽기 전용 접근)합니다.
- 이메일 주소와 사용자 이름으로 구성된 계정 정보 이외의 고객 데이터는 저장하지 않습니다.
- 제품 재활성화를 지원하기 위해 종료 후 최대 60일 동안만 계정을 유지합니다(고객이 요청한 경우). 이 기한 이후에는 계정이 영구적으로 삭제됩니다.
PII 수집을 최소화하도록 ArcGIS Online 기관을 구성하려면 어떻게 해야 하나요?
- 기관 관리자는 옵션 사용자 프로필 필드(예시: 성과 이름, 회사 이름, 전화번호, 프로필 사진)가 채워지지 않도록 차단하여 개인 식별 정보의 전송을 최소화할 수 있습니다.
- 교육 기관 내에서 Esri 제품 사용에 관한 더욱 광범위한 개인정보보호 지침을 보려면 아래 리소스 영역에 있는 ArcGIS Online 학교 지침 문서와 ArcGIS 위치 공유 개인정보보호 모범 사례 문서를 참고하세요.
COPPA는 ArcGIS Online에 어떤 규정 준수 영향을 미치나요?
- 아동 온라인 개인정보보호법(COPPA)은 아동의 개인정보를 보호하기 위한 추가 법률이지만 ArcGIS Online에는 직접 적용할 수 없습니다. 아동 온라인 개인정보보호법(COPPA)은 13세 미만 어린이의 개인정보를 보호하기 위해 제정된 미국 연방법입니다. 이 법은 연방거래위원회(FTC)에서 관리합니다.
- COPPA는 어린이를 대상으로 하는 웹사이트 및 온라인 서비스에 적용되며, 해당 사이트와 서비스에서 어린이의 개인정보를 수집하고 사용하려면 반드시 부모의 동의가 필요하다고 규정하고 있습니다.
- 고객은 해당하는 경우 최종 사용자의 ArcGIS Online 사용에 대해 부모의 동의를 얻을 책임이 있습니다.
- ArcGIS Online은 13세 미만의 어린이를 명확히 대상으로 하지는 않지만 해당 어린이가 학교 기반 교육 프로그램의 일환으로 활용할 수 있습니다. 교육 기관이 아래의 ArcGIS 온라인 학교 지침을 따르면 COPPA, FERPA, 심지어 GDPR과 같은 일반적인 학생 개인정보보호 규정을 더 효과적으로 준수할 수 있습니다.
- Esri는 미성년자의 개인정보보호를 보장하기 위해 ArcGIS for Schools Bundle 계정을 사용하는 학생에 대한 타겟팅 쿠키 설정을 자동으로 끕니다.
리소스
- ArcGIS Online 학교 지침(공개)
- HECVAT Lite(공개 보안센터 문서)
- ArcGIS 보안 관리자 유효성 검사 도구(공개 보안센터 페이지)
- ArcGIS Online 및 Enterprise 모범 사례 체크리스트(공개)
- Esri 제품 및 서비스 개인정보보호정책 보충 자료(공개)
- ArcGIS 위치 공유 개인정보보호정책 모범 사례(공개 보안센터 문서)