HECVAT spiegato: cosa chiedono le università ai fornitori di software e come rispondere

Prima che un'università acquisti un software, qualcuno nella sicurezza informatica deve decidere se può essere fidato con i dati degli studenti. Per anni ogni istituzione ha posto le proprie domande, il che significava che i fornitori rispondevano a centinaia di questionari quasi identici e i revisori non avevano modo di confrontare le risposte. L'HECVAT — il Toolkit di Valutazione dei Fornitori della Comunità dell'Istruzione Superiore, mantenuto da EDUCAUSE con REN-ISAC — esiste per porre fine a questo. È un insieme standardizzato di domande di sicurezza, privacy e accessibilità che le istituzioni inviano ai fornitori di servizi cloud, ed è diventato il cancello de facto negli acquisti nell'istruzione superiore. Questa guida spiega cosa copre, quale versione si applica quando, come gli acquirenti lo usano effettivamente e — per i fornitori — cosa separa una risposta che supera rapidamente la revisione da una che si blocca per un mese.

Cosa è l'HECVAT e cosa non è

L'HECVAT è un questionario, non una certificazione. Nessuno rilascia un badge HECVAT, non c'è un revisore, e completarne uno non conferisce alcuno status. Il suo valore è la standardizzazione: poiché ogni istituzione pone le stesse domande nello stesso ordine, un revisore di sicurezza può leggere un HECVAT completato da un fornitore sconosciuto e formulare un giudizio in un pomeriggio piuttosto che in quindici giorni.

Copre il terreno che ci si aspetterebbe — panoramica dell'azienda e del prodotto, documentazione, valutazioni di terze parti, consulenza, sicurezza delle applicazioni e dei database, gestione dei dati, recupero da disastri, firewall e IDS, politiche, assicurazione della qualità, gestione dei sistemi, scansione delle vulnerabilità e continuità aziendale — più due aree che contano particolarmente nell'istruzione: accessibilità e privacy dei registri degli studenti.

Non è un sostituto di un rapporto SOC 2, e i revisori conoscono la differenza. Un SOC 2 è l'opinione di un revisore indipendente sui controlli operativi; un HECVAT è il resoconto del fornitore stesso su di essi. Le istituzioni chiedono entrambi quando i dati sono abbastanza sensibili, e un fornitore senza SOC 2 non è automaticamente escluso — ma la risposta HECVAT deve essere notevolmente più specifica per compensare.

Completo, Lite, On-Premise: quale si applica

Il toolkit viene in varianti, e ricevere quello sbagliato fa perdere tempo a tutti:

• HECVAT Full — diverse centinaia di domande. Utilizzato dove il fornitore gestirà dati istituzionali o degli studenti sensibili su larga scala, o dove il servizio è critico per le operazioni.
• HECVAT Lite — un sottoinsieme sostanzialmente più breve per impegni a basso rischio, distribuzioni più piccole e qualificazione iniziale. In pratica, è qui che iniziano la maggior parte delle prime conversazioni.
• HECVAT On-Premise — per software che l'istituzione ospita autonomamente, dove le domande di sicurezza si spostano dall'infrastruttura del fornitore al codice e al suo percorso di aggiornamento.

Gli HECVAT completati vengono condivisi attraverso il Cloud Broker Index, un repository comunitario. Quando un fornitore è già presente lì, un revisore di un'altra istituzione può spesso accettare la valutazione esistente invece di eseguirne una nuova — ed è per questo che essere elencati vale di più per un fornitore di quanto suggerisca lo sforzo. L'elenco segue una prima valutazione istituzionale piuttosto che precederla.

Come i revisori lo leggono effettivamente

Gli acquirenti raramente leggono un HECVAT da cima a fondo. Fanno triage. In pratica, un revisore va direttamente a un numero ristretto di aree e forma un giudizio lì:

• Dove risiedono i dati e chi altro può accedervi? Regione di hosting, sub-processori e come i locatari sono isolati l'uno dall'altro.
• Cosa succede quando qualcosa va storto? Risposta agli incidenti, finestre di notifica, obiettivi di backup e recupero.
• Possiamo estrarre i nostri dati? Esportazione, conservazione e cancellazione — chiesto con un occhio alla fine del contratto, non all'inizio.
• Funziona con il nostro sistema di identità? SAML e InCommon, provisioning e de-provisioning SCIM, autenticazione multi-fattore per gli amministratori.
• Registri degli studenti. Se il fornitore firmerà una clausola di “funzionario scolastico” FERPA e limiterà l'elaborazione alle istruzioni dell'istituzione.
• Accessibilità. Sempre più la sezione che blocca una revisione, ora che il Titolo II e la Sezione 504 hanno messo le istituzioni su un cronometro. Aspettati che la risposta all'accessibilità HECVAT venga incrociata con l'ACR del fornitore.

L'istinto di un revisore è calibrato per l'evasione. Risposte vaghe, risposte “sì” non spiegate e linguaggio di marketing rallentano tutti una revisione, perché ognuna genera un'email di follow-up.

Come appare una buona risposta

Tre principi separano un HECVAT che si approva in giorni da uno che impiega sei settimane.

Essere specifici. “I dati sono crittografati” invita a un follow-up; “TLS 1.2+ in transito, AES-256 a riposo al livello del database e dello storage degli oggetti, chiavi gestite dal fornitore della piattaforma” non lo fa. La specificità non è solo più veloce — è essa stessa prova che qualcuno di tecnico ha scritto la risposta.

Divulgare le lacune con un piano. L'istinto è quello di ammorbidire. Resisti. “Nessun rapporto SOC 2 oggi; politiche pubblicate, controlli operativi, Tipo I commissionato su contratto con la prima istituzione che lo richiede” è una risposta rispettata. Un'attestazione implicita che si disfa in una chiamata di follow-up termina completamente la conversazione, e i revisori parlano tra loro.

Pubblica ciò che puoi. La mossa più forte a disposizione di un fornitore è mettere il contenuto delle risposte su una pagina pubblica, come fanno Atlassian, Zoom e Google Cloud, in modo che un revisore possa qualificarti prima che il questionario venga anche inviato. Accorcia il ciclo, filtra le istituzioni che non puoi servire, e segnala che le risposte sono stabili abbastanza da stare in pubblico. Le nostre sono su /trust/hecvat.

Le domande di accessibilità e perché ora bloccano le revisioni

Per la maggior parte della vita del toolkit, le domande di accessibilità erano una formalità: un revisore confermava che esisteva un rapporto di conformità e passava oltre. Questo è cambiato. Da quando il Titolo II e la Sezione 504 hanno attaccato date alla conformità WCAG, un'istituzione che approva un prodotto inaccessibile ha creato la propria responsabilità — quindi le risposte di accessibilità ora vengono lette correttamente, e sempre più da qualcuno dell'ufficio di accessibilità digitale piuttosto che dalla sicurezza informatica.

Cosa sta controllando quel revisore, in ordine:

1. Esiste un rapporto di conformità, ed è attuale? Datato entro dodici mesi, nominando la versione e il livello WCAG. Un rapporto antecedente a WCAG 2.2 segnala quando il fornitore ha interagito l'ultima volta con l'argomento.
2. Il suo ambito copre ciò che utilizzeremo effettivamente? Interfacce per gli studenti, di creazione e amministrative — non solo il sito web di marketing. Qui è dove la maggior parte dei rapporti si restringe silenziosamente.
3. Come è stato testato? La scansione automatizzata da sola copre circa il 30–40% dei criteri WCAG. Una risposta credibile nomina lettori di schermo, browser e test manuali con la tastiera.
4. Quali sono le lacune note, e quando verranno risolte? Eccezioni divulgate con date lette come maturità. Un rapporto senza eccezioni viene letto come una forma che qualcuno ha compilato.
5. Cosa succede quando segnaliamo una barriera? Una finestra di riconoscimento e una classificazione della gravità, idealmente scritte nel contratto piuttosto che promesse in una chiamata.

Per i fornitori, la conseguenza pratica è che la sezione di accessibilità HECVAT e l'ACR vengono incrociate tra loro, e contro il prodotto stesso durante una prova. Tre documenti che non concordano sono peggiori di uno onesto. Per le istituzioni, la conseguenza è che questa sezione merita un revisore nominato con l'autorità di bloccare un acquisto — i risultati di accessibilità che arrivano come commenti consultivi alla fine di un acquisto vengono regolarmente sovrascritti dalla scadenza che ha spinto l'acquisto.

Cosa non risolve l'HECVAT

Superare un HECVAT è necessario ma non sufficiente, e le istituzioni occasionalmente lo trattano come l'intera revisione. Quattro cose che non risolve:

• Termini contrattuali. Il questionario registra ciò che un fornitore dice di fare; il contratto è ciò che li obbliga a continuare a farlo. Finestre di notifica, impegni di uptime, obblighi di rimedio e le conseguenze di non rispettarli vivono nell'accordo, non nella valutazione.
• Conformità all'accessibilità. L'HECVAT chiede se esiste un rapporto di conformità. Non valuta il rapporto, e un “sì” qui è compatibile con un ACR che ha quattro anni e copre un prodotto diverso. Leggi l'ACR separatamente — la nostra guida su come leggere un VPAT copre cosa cercare.
• Protezione dei dati al di fuori degli Stati Uniti. L'HECVAT è stato progettato attorno alla pratica istituzionale americana. Se i dati personali toccano l'UE o il Regno Unito, hai ancora bisogno di un accordo di elaborazione ai sensi dell'Articolo 28, un elenco di sub-processori e un meccanismo di trasferimento legale, nessuno dei quali il questionario produce.
• Cosa è realmente utilizzare il prodotto. Un fornitore può superare una revisione di sicurezza in modo completo e comunque spedire un software che il tuo personale non può operare. La valutazione corre in parallelo con la valutazione; non sostituisce quest'ultima.

Utilizzato bene, l'HECVAT è un filtro che consente a un piccolo team di sicurezza di valutare molti più fornitori di quanto potrebbe altrimenti. Utilizzato come l'intera revisione, produce software approvato che nessuno vuole usare e contratti che non possono essere applicati.

Checklist di preparazione per un fornitore

Se vendi nell'istruzione superiore e non ti è stato ancora chiesto un HECVAT, lo sarà. Avere questi pronti prima che arrivi la richiesta:

1. HECVAT Lite completato e mantenuto aggiornato, con la versione Completa disponibile su richiesta.
2. Un elenco di sub-processori pubblicato con scopo, regione e garanzia per ogni voce.
3. Un DPA con una clausola FERPA pronto per la firma, insieme ai termini dell'Articolo 28 GDPR e alle Clausole Contrattuali Standard se gestisci dati dell'UE.
4. Un ACR attuale che copre interfacce per studenti, di creazione e amministrative.
5. Un riepilogo di sicurezza di una pagina — hosting, crittografia, isolamento, backup, risposta agli incidenti, controllo degli accessi — per il revisore che vuole avere un'idea in due minuti.
6. Una posizione di attestazione onesta. Se non hai SOC 2, dillo, e spiega cosa attiverebbe l'inizio di uno.

Le istituzioni che valgono la pena di essere vendute non cercano un fornitore senza lacune. Cercano uno il cui resoconto di se stesso corrisponde a ciò che trovano quando controllano. Per le istituzioni che pianificano un pilota insieme alla revisione, il kit pilota funziona entrambi in parallelo.

Eduspera è una piattaforma di apprendimento orientata all'accessibilità progettata per affiancarsi a un LMS del campus piuttosto che sostituirlo: WCAG 2.2 AA come requisito di prodotto, un Rapporto di Conformità all'Accessibilità pubblicato, risposte HECVAT pubbliche, SSO SAML con metadati InCommon, provisioning SCIM e LTI 1.3 con passaggio dei voti. Le istituzioni possono partire dal kit pilota di 12 settimane, che stabilisce il piano, le metriche e la checklist tecnica su cui lavoreranno i tuoi team di identità e dati.

Domande frequenti

È obbligatorio l'HECVAT?

Non è un requisito legale, ma è quasi una prassi universale. La maggior parte delle università degli Stati Uniti richiede un HECVAT completato prima che un servizio cloud possa essere approvato, e molte non inizieranno una revisione contrattuale senza uno. Trattalo come obbligatorio nella pratica anche se nessuna legge lo nomina.

Qual è la differenza tra HECVAT Full e HECVAT Lite?

Scala. Il Completo arriva a diverse centinaia di domande ed è utilizzato dove un fornitore gestirà dati istituzionali o degli studenti sensibili, o dove il servizio è critico per le operazioni. Il Lite è un sottoinsieme molto più breve utilizzato per impegni a basso rischio e per qualificazione iniziale, ed è dove iniziano la maggior parte delle prime conversazioni.

Un HECVAT sostituisce un rapporto SOC 2?

No. Un HECVAT è il resoconto del fornitore sui suoi controlli; un SOC 2 è l'opinione di un revisore indipendente su se quei controlli operano. Le istituzioni che gestiscono dati sensibili spesso vogliono entrambi. Un fornitore senza SOC 2 può comunque superare la revisione, ma le risposte HECVAT devono essere notevolmente più specifiche.

Cos'è il Cloud Broker Index?

Un repository comunitario di HECVAT completati mantenuto per il settore dell'istruzione superiore. Quando un fornitore è elencato, un revisore di un'altra istituzione può spesso fare affidamento sulla valutazione esistente piuttosto che eseguirne una nuova, il che accorcia sostanzialmente l'acquisto per entrambe le parti.

Quanto tempo richiede una revisione HECVAT?

Da pochi giorni a un paio di mesi, guidato quasi interamente dalla qualità delle risposte. Risposte specifiche e documentate con lacune divulgate si muovono rapidamente. Risposte vaghe generano cicli di follow-up, e ogni viaggio di andata e ritorno costa tipicamente una settimana. Pubblicare le tue risposte pubblicamente è il modo più efficace per accorciarlo.