HECVAT expliqué : ce que les universités demandent aux éditeurs, et comment y répondre

Avant qu'une université n'achète un logiciel, quelqu'un en sécurité de l'information doit décider s'il peut être fiable avec les données des étudiants. Pendant des années, chaque institution posait ses propres questions, ce qui signifiait que les fournisseurs répondaient à des centaines de questionnaires presque identiques et que les examinateurs n'avaient aucun moyen de comparer les réponses. Le HECVAT — le Higher Education Community Vendor Assessment Toolkit, maintenu par EDUCAUSE avec REN-ISAC — existe pour mettre fin à cela. C'est un ensemble standardisé de questions de sécurité, de confidentialité et d'accessibilité que les institutions envoient aux fournisseurs de cloud, et il est devenu la porte d'entrée de facto dans les achats de l'enseignement supérieur. Ce guide explique ce qu'il couvre, quelle version s'applique quand, comment les acheteurs l'utilisent réellement, et — pour les fournisseurs — ce qui distingue une réponse qui passe rapidement en revue d'une qui traîne pendant un mois.

Ce qu'est le HECVAT, et ce qu'il n'est pas

Le HECVAT est un questionnaire, pas une certification. Personne ne délivre de badge HECVAT, il n'y a pas d'auditeur, et le remplir ne confère aucun statut. Sa valeur réside dans la standardisation : parce que chaque institution pose les mêmes questions dans le même ordre, un examinateur de sécurité peut lire un HECVAT complété d'un fournisseur inconnu et porter un jugement en une après-midi plutôt qu'en quinze jours.

Il couvre les domaines que vous attendez — aperçu de l'entreprise et du produit, documentation, évaluations tierces, conseil, sécurité des applications et des bases de données, gestion des données, reprise après sinistre, pare-feu et IDS, politiques, assurance qualité, gestion des systèmes, analyse des vulnérabilités et continuité des activités — plus deux domaines qui comptent particulièrement dans l'éducation : accessibilité et confidentialité des dossiers étudiants.

Ce n'est pas un substitut à un rapport SOC 2, et les examinateurs connaissent la différence. Un SOC 2 est l'opinion d'un auditeur indépendant sur les contrôles opérationnels ; un HECVAT est le propre compte rendu du fournisseur. Les institutions demandent les deux lorsque les données sont suffisamment sensibles, et un fournisseur sans SOC 2 n'est pas automatiquement disqualifié — mais la réponse au HECVAT doit être nettement plus spécifique pour compenser.

Complet, Léger, Sur site : lequel s'applique

Le kit d'outils se décline en variantes, et recevoir le mauvais fait perdre du temps à tout le monde :

• HECVAT Complet — plusieurs centaines de questions. Utilisé lorsque le fournisseur détiendra des données institutionnelles ou étudiantes sensibles à grande échelle, ou lorsque le service est essentiel aux opérations.
• HECVAT Léger — un sous-ensemble beaucoup plus court pour les engagements à faible risque, les déploiements plus petits et la qualification initiale. En pratique, c'est là que commencent la plupart des premières conversations.
• HECVAT Sur site — pour les logiciels que l'institution héberge elle-même, où les questions de sécurité se déplacent de l'infrastructure du fournisseur vers le code et son chemin de mise à jour.

Les HECVAT complétés sont partagés via le Cloud Broker Index, un référentiel communautaire. Lorsqu'un fournisseur y figure déjà, un examinateur d'une autre institution peut souvent accepter l'évaluation existante au lieu de mener la sienne — c'est pourquoi être répertorié vaut plus pour un fournisseur que l'effort ne le suggère. L'inscription suit une première évaluation institutionnelle plutôt que de la précéder.

Comment les examinateurs le lisent réellement

Les acheteurs lisent rarement un HECVAT de bout en bout. Ils trient. En pratique, un examinateur se rend directement dans quelques domaines et y forme un jugement :

• Où se trouvent les données, et qui d'autre peut y accéder ? Région d'hébergement, sous-traitants, et comment les locataires sont isolés les uns des autres.
• Que se passe-t-il quand quelque chose tourne mal ? Réponse aux incidents, fenêtres de notification, objectifs de sauvegarde et de récupération.
• Pouvons-nous récupérer nos données ? Exportation, conservation et suppression — demandées en pensant à la fin du contrat, pas au début.
• Fonctionne-t-il avec notre système d'identité ? SAML et InCommon, provisionnement et déprovisionnement SCIM, authentification multi-facteurs pour les administrateurs.
• Dossiers étudiants. Si le fournisseur signera une clause FERPA “responsable scolaire” et limitera le traitement aux instructions de l'institution.
• Accessibilité. De plus en plus la section qui bloque une révision, maintenant que le Titre II et la Section 504 ont mis les institutions sur un calendrier. Attendez-vous à ce que la réponse d'accessibilité du HECVAT soit vérifiée par rapport à l’ACR du fournisseur.

L'instinct d'un examinateur est calibré pour l'évasion. Les réponses vagues, les réponses “oui” inexpliquées et le langage marketing ralentissent toutes une révision, car chacune génère un e-mail de suivi.

À quoi ressemble une bonne réponse

Trois principes séparent un HECVAT qui passe en quelques jours d'un qui prend six semaines.

Soyez spécifique. “Les données sont chiffrées” invite à un suivi ; “TLS 1.2+ en transit, AES-256 au repos au niveau de la base de données et de la couche de stockage d'objets, clés gérées par le fournisseur de la plateforme” ne le fait pas. La spécificité n'est pas seulement plus rapide — elle est elle-même la preuve qu'une personne technique a rédigé la réponse.

Divulguez les lacunes avec un plan. L'instinct est d'adoucir. Résistez-y. “Pas de rapport SOC 2 aujourd'hui ; politiques publiées, contrôles opérationnels, Type I commandé sur contrat avec la première institution l'exigeant” est une réponse respectée. Une attestation implicite qui se défait lors d'un appel de suivi met fin à la conversation entièrement, et les examinateurs se parlent entre eux.

Publiez ce que vous pouvez. Le mouvement le plus fort disponible pour un fournisseur est de mettre la substance des réponses sur une page publique, comme le font Atlassian, Zoom et Google Cloud, afin qu'un examinateur puisse vous qualifier avant même que le questionnaire ne soit envoyé. Cela raccourcit le cycle, filtre les institutions que vous ne pouvez pas servir, et signale que les réponses sont suffisamment stables pour être publiques. Les nôtres sont à /trust/hecvat.

Les questions d'accessibilité, et pourquoi elles bloquent maintenant les révisions

Pendant la majeure partie de la vie du kit d'outils, les questions d'accessibilité étaient une formalité : un examinateur confirmait qu'un rapport de conformité existait et passait à autre chose. Cela a changé. Depuis que le Titre II et la Section 504 ont attaché des dates à la conformité WCAG, une institution qui approuve un produit inaccessible a créé sa propre responsabilité — donc les réponses d'accessibilité sont maintenant lues correctement, et de plus en plus par quelqu'un du bureau d'accessibilité numérique plutôt que de la sécurité de l'information.

Ce que cet examinateur vérifie, dans l'ordre :

1. Un rapport de conformité existe-t-il, et est-il à jour ? Daté de moins de douze mois, nommant la version et le niveau WCAG. Un rapport antérieur à WCAG 2.2 signale quand le fournisseur a abordé le sujet pour la dernière fois.
2. Son champ d'application couvre-t-il ce que nous utiliserons réellement ? Interfaces apprenant, auteur et administrateur — pas seulement le site web marketing. C'est là que la plupart des rapports se rétrécissent discrètement.
3. Comment a-t-il été testé ? Le balayage automatisé seul couvre environ 30 à 40 % des critères WCAG. Une réponse crédible nomme les lecteurs d’écran, les navigateurs et les tests manuels au clavier.
4. Quelles sont les lacunes connues, et quand seront-elles corrigées ? Les exceptions divulguées avec des dates sont lues comme une maturité. Un rapport sans aucune exception est lu comme un formulaire que quelqu'un a rempli.
5. Que se passe-t-il lorsque nous signalons un obstacle ? Une fenêtre d'accusé de réception et une classification de la gravité, idéalement écrites dans le contrat plutôt que promises lors d'un appel.

Pour les fournisseurs, la conséquence pratique est que la section d'accessibilité du HECVAT et l'ACR sont vérifiées l'une par rapport à l'autre, et par rapport au produit lui-même lors d'un essai. Trois documents qui ne sont pas d'accord sont pires qu'un seul honnête. Pour les institutions, la conséquence est que cette section mérite un examinateur nommé ayant le pouvoir de retenir un achat — les conclusions d'accessibilité qui arrivent comme des commentaires consultatifs à la fin d'un achat sont systématiquement annulées par le délai qui a motivé l'achat.

Ce que le HECVAT ne règle pas

Passer un HECVAT est nécessaire et non suffisant, et les institutions le traitent parfois comme l'ensemble de la révision. Quatre choses qu'il ne résout pas :

• Conditions contractuelles. Le questionnaire enregistre ce qu'un fournisseur dit qu'il fait ; le contrat est ce qui l'oblige à continuer de le faire. Les fenêtres de notification, les engagements de disponibilité, les obligations de remédiation et les conséquences de leur non-respect vivent dans l'accord, pas dans l'évaluation.
• Conformité à l'accessibilité. Le HECVAT demande si un rapport de conformité existe. Il n'évalue pas le rapport, et un “oui” ici est compatible avec un ACR qui a quatre ans et couvre un produit différent. Lisez l'ACR séparément — notre guide pour lire un VPAT couvre ce qu'il faut rechercher.
• Protection des données en dehors des États-Unis. Le HECVAT a été conçu autour de la pratique institutionnelle américaine. Si des données personnelles touchent l'UE ou le Royaume-Uni, vous avez toujours besoin d'un accord de traitement de l'article 28, d'une liste de sous-traitants et d'un mécanisme de transfert légal, qu'aucun questionnaire ne produit.
• Ce que le produit est réellement à utiliser. Un fournisseur peut passer une révision de sécurité de manière exhaustive et expédier toujours un logiciel que votre personnel ne peut pas utiliser. L'évaluation se déroule en parallèle avec l'évaluation ; elle ne la remplace pas.

Bien utilisé, le HECVAT est un filtre qui permet à une petite équipe de sécurité d'évaluer beaucoup plus de fournisseurs qu'elle ne pourrait autrement. Utilisé comme l'ensemble de la révision, il produit des logiciels approuvés que personne ne veut utiliser et des contrats qui ne peuvent pas être appliqués.

Liste de préparation d'un fournisseur

Si vous vendez dans l'enseignement supérieur et que vous n'avez pas encore été demandé pour un HECVAT, vous le serez. Ayez ces éléments prêts avant que la demande n'arrive :

1. HECVAT Léger complété et maintenu à jour, avec la version Complet disponible sur demande.
2. Une liste de sous-traitants publiée avec le but, la région et la sauvegarde pour chaque entrée.
3. Un DPA avec une clause FERPA prêt à être signé, aux côtés des termes de l'article 28 du GDPR et des clauses contractuelles standard si vous traitez des données de l'UE.
4. Un ACR actuel couvrant les interfaces apprenant, auteur et administrateur.
5. Un résumé de sécurité d'une page — hébergement, chiffrement, isolation, sauvegardes, réponse aux incidents, contrôle d'accès — pour l'examinateur qui veut en avoir une idée en deux minutes.
6. Une position d'attestation honnête. Si vous n'avez pas de SOC 2, dites-le, et dites ce qui déclencherait son démarrage.

Les institutions qui valent la peine d'être vendues ne recherchent pas un fournisseur sans lacunes. Elles recherchent un fournisseur dont le compte rendu d'elles-mêmes correspond à ce qu'elles trouvent lorsqu'elles vérifient. Pour les institutions planifiant un pilote en parallèle avec la révision, le kit pilote exécute les deux en parallèle.

Eduspera est une plateforme d'apprentissage axée sur l'accessibilité conçue pour s'asseoir aux côtés d'un LMS de campus plutôt que de le remplacer : WCAG 2.2 AA comme exigence produit, un rapport de conformité à l'accessibilité publié, des réponses HECVAT publiques, une connexion unique SAML avec des métadonnées InCommon, un provisionnement SCIM et LTI 1.3 avec retour de note. Les institutions peuvent commencer à partir du kit pilote de 12 semaines, qui établit le plan, les métriques et la liste de contrôle technique que vos équipes d'identité et de données passeront en revue.

Questions fréquemment posées

Le HECVAT est-il obligatoire ?

Ce n'est pas une exigence légale, mais c'est presque une pratique universelle. La plupart des universités des États-Unis exigent un HECVAT complété avant qu'un service cloud puisse être approuvé, et beaucoup ne commenceront pas une révision de contrat sans lui. Considérez-le comme obligatoire en pratique même si aucune loi ne le nomme.

Quelle est la différence entre HECVAT Complet et HECVAT Léger ?

Échelle. Complet compte plusieurs centaines de questions et est utilisé là où un fournisseur détiendra des données institutionnelles ou étudiantes sensibles, ou là où le service est opérationnellement critique. Léger est un sous-ensemble beaucoup plus court utilisé pour les engagements à faible risque et pour la qualification initiale, et c'est là que commencent la plupart des premières conversations.

Un HECVAT remplace-t-il un rapport SOC 2 ?

Non. Un HECVAT est le propre compte rendu du fournisseur de ses contrôles ; un SOC 2 est l'opinion d'un auditeur indépendant sur le fonctionnement de ces contrôles. Les institutions manipulant des données sensibles veulent souvent les deux. Un fournisseur sans SOC 2 peut toujours passer en revue, mais les réponses au HECVAT doivent être considérablement plus spécifiques.

Qu'est-ce que le Cloud Broker Index ?

Un référentiel communautaire de HECVAT complétés maintenu pour le secteur de l'enseignement supérieur. Lorsqu'un fournisseur est répertorié, un examinateur d'une autre institution peut souvent se fier à l'évaluation existante plutôt que de mener une nouvelle, ce qui raccourcit considérablement l'achat pour les deux parties.

Combien de temps dure une révision HECVAT ?

De quelques jours à quelques mois, principalement en fonction de la qualité des réponses. Des réponses spécifiques et prouvées avec des lacunes divulguées avancent rapidement. Les réponses vagues génèrent des cycles de suivi, et chaque aller-retour coûte généralement une semaine. Publier vos réponses publiquement est le moyen le plus efficace de la raccourcir.