HECVAT explicado: o que as universidades perguntam aos fornecedores, e como responder

Antes de uma universidade comprar um software, alguém da segurança da informação precisa decidir se ele pode ser confiável com os dados dos alunos. Durante anos, cada instituição fazia suas próprias perguntas, o que significava que os fornecedores respondiam a centenas de questionários quase idênticos e os revisores não tinham como comparar as respostas. O HECVAT — o Higher Education Community Vendor Assessment Toolkit, mantido pela EDUCAUSE com REN-ISAC — existe para acabar com isso. É um conjunto padronizado de perguntas sobre segurança, privacidade e acessibilidade que as instituições enviam aos fornecedores de nuvem, e tornou-se o portão de fato na aquisição de ensino superior. Este guia explica o que ele cobre, qual versão se aplica quando, como os compradores realmente o utilizam e — para os fornecedores — o que separa uma resposta que passa rapidamente na revisão de uma que fica parada por um mês.

O que é o HECVAT, e o que não é

O HECVAT é um questionário, não uma certificação. Ninguém emite um selo HECVAT, não há auditor, e completar um não confere status. Seu valor está na padronização: porque cada instituição faz as mesmas perguntas na mesma ordem, um revisor de segurança pode ler um HECVAT completo de um fornecedor desconhecido e chegar a um julgamento em uma tarde em vez de duas semanas.

Ele cobre os tópicos que você esperaria — visão geral da empresa e do produto, documentação, avaliações de terceiros, consultoria, segurança de aplicativos e bancos de dados, manuseio de dados, recuperação de desastres, firewalls e IDS, políticas, garantia de qualidade, gerenciamento de sistemas, varredura de vulnerabilidades e continuidade de negócios — além de duas áreas que são especialmente importantes na educação: acessibilidade e privacidade dos registros dos alunos.

Não é um substituto para um relatório SOC 2, e os revisores sabem a diferença. Um SOC 2 é a opinião de um auditor independente sobre controles operacionais; um HECVAT é o próprio relato do fornecedor sobre eles. As instituições pedem ambos quando os dados são suficientemente sensíveis, e um fornecedor sem SOC 2 não é automaticamente desqualificado — mas a resposta do HECVAT precisa ser marcadamente mais específica para compensar.

Completo, Lite, On-Premise: qual se aplica

O kit de ferramentas vem em variantes, e receber o errado desperdiça o tempo de todos:

• HECVAT Completo — várias centenas de perguntas. Usado quando o fornecedor manterá dados institucionais ou de alunos sensíveis em grande escala, ou quando o serviço é crítico para as operações.
• HECVAT Lite — um subconjunto substancialmente mais curto para compromissos de menor risco, implantações menores e qualificação inicial. Na prática, é onde a maioria das primeiras conversas começa.
• HECVAT On-Premise — para software que a instituição hospeda por conta própria, onde as perguntas de segurança mudam da infraestrutura do fornecedor para o código e seu caminho de atualização.

HECVATs completos são compartilhados através do Cloud Broker Index, um repositório comunitário. Quando um fornecedor já aparece lá, um revisor em outra instituição pode frequentemente aceitar a avaliação existente em vez de realizar a sua própria — razão pela qual ser listado vale mais para um fornecedor do que o esforço sugere. A listagem segue uma primeira avaliação institucional em vez de precedê-la.

Como os revisores realmente o leem

Os compradores raramente leem um HECVAT de frente para trás. Eles triagem. Na prática, um revisor vai direto para algumas áreas e forma um julgamento lá:

• Onde os dados estão armazenados, e quem mais pode acessá-los? Região de hospedagem, sub-processadores e como os locatários são isolados uns dos outros.
• O que acontece quando algo dá errado? Resposta a incidentes, janelas de notificação, objetivos de backup e recuperação.
• Podemos retirar nossos dados? Exportação, retenção e exclusão — perguntado com um olho no final do contrato, não no início.
• Funciona com nosso sistema de identidade? SAML e InCommon, provisionamento e desprovisionamento SCIM, autenticação multifator para administradores.
• Registros dos alunos. Se o fornecedor assinará uma cláusula de “funcionário escolar” da FERPA e limitará o processamento às instruções da instituição.
• Acessibilidade. Cada vez mais a seção que atrasa uma revisão, agora que Title II e Section 504 colocaram as instituições em um relógio. Espere que a resposta de acessibilidade do HECVAT seja verificada em relação ao ACR do fornecedor.

O instinto de um revisor é calibrado para evasão. Respostas vagas, respostas “sim” não explicadas e linguagem de marketing todas atrasam uma revisão, porque cada uma gera um e-mail de acompanhamento.

Como é uma boa resposta

Três princípios separam um HECVAT que é aprovado em dias de um que leva seis semanas.

Seja específico. “Os dados são criptografados” convida a um acompanhamento; “TLS 1.2+ em trânsito, AES-256 em repouso na camada de banco de dados e armazenamento de objetos, chaves gerenciadas pelo provedor da plataforma” não. A especificidade não é apenas mais rápida — é em si uma evidência de que alguém técnico escreveu a resposta.

Divulgue lacunas com um plano. O instinto é suavizar. Resista a isso. “Nenhum relatório SOC 2 hoje; políticas publicadas, controles operando, Tipo I contratado com a primeira instituição que o exigir” é uma resposta respeitada. Uma atestação implícita que se desfaz em uma chamada de acompanhamento encerra a conversa completamente, e os revisores conversam entre si.

Publique o que puder. O movimento mais forte disponível para um fornecedor é colocar o conteúdo das respostas em uma página pública, como Atlassian, Zoom e Google Cloud fazem, para que um revisor possa qualificá-lo antes mesmo de o questionário ser enviado. Isso encurta o ciclo, filtra instituições que você não pode atender e sinaliza que as respostas são estáveis o suficiente para serem públicas. As nossas estão em /trust/hecvat.

As perguntas de acessibilidade, e por que agora atrasam revisões

Durante a maior parte da vida do kit de ferramentas, as perguntas de acessibilidade eram uma formalidade: um revisor confirmava que existia um relatório de conformidade e seguia em frente. Isso mudou. Desde que ADA Title II e Section 504 anexaram datas à conformidade com WCAG, uma instituição que aprova um produto inacessível criou sua própria responsabilidade — então as respostas de acessibilidade agora são lidas corretamente, e cada vez mais por alguém do escritório de acessibilidade digital em vez de segurança da informação.

O que esse revisor está verificando, em ordem:

1. Existe um relatório de conformidade, e ele está atualizado? Datado dentro de doze meses, nomeando a versão e o nível do WCAG. Um relatório anterior ao WCAG 2.2 sinaliza quando o fornecedor se envolveu pela última vez com o assunto.
2. Seu escopo cobre o que realmente usaremos? Interfaces voltadas para o aluno, de autoria e administrativas — não apenas o site de marketing. É aqui que a maioria dos relatórios silenciosamente se estreita.
3. Como foi testado? Apenas a varredura automatizada cobre uma estimativa de 30–40% dos critérios WCAG. Uma resposta credível nomeia leitores de tela, navegadores e testes manuais de teclado.
4. Quais são as lacunas conhecidas, e quando serão corrigidas? Exceções divulgadas com datas são lidas como maturidade. Um relatório sem exceções é lido como um formulário que alguém preencheu.
5. O que acontece quando relatamos uma barreira? Uma janela de reconhecimento e uma classificação de severidade, idealmente escrita no contrato em vez de prometida em uma chamada.

Para os fornecedores, a consequência prática é que a seção de acessibilidade do HECVAT e o ACR são verificados entre si, e contra o próprio produto durante um teste. Três documentos que discordam são piores do que um honesto. Para as instituições, a consequência é que esta seção merece um revisor nomeado com a autoridade para segurar uma compra — descobertas de acessibilidade que chegam como comentários consultivos no final de uma aquisição são rotineiramente anuladas pelo prazo que motivou a compra.

O que o HECVAT não resolve

Passar por um HECVAT é necessário e não suficiente, e as instituições ocasionalmente o tratam como a revisão completa. Quatro coisas que ele não resolve:

• Termos contratuais. O questionário registra o que um fornecedor diz que faz; o contrato é o que os obriga a continuar fazendo. Janelas de notificação, compromissos de tempo de atividade, obrigações de remediação e as consequências de falhar com elas vivem no acordo, não na avaliação.
• Conformidade de acessibilidade. O HECVAT pergunta se existe um relatório de conformidade. Ele não avalia o relatório, e um “sim” aqui é compatível com um ACR que tem quatro anos e cobre um produto diferente. Leia o ACR separadamente — nosso guia para ler um VPAT cobre o que procurar.
• Proteção de dados fora dos Estados Unidos. O HECVAT foi projetado em torno da prática institucional americana. Se dados pessoais tocam a UE ou o Reino Unido, você ainda precisa de um acordo de processamento do Artigo 28, uma lista de sub-processadores e um mecanismo de transferência legal, nenhum dos quais o questionário produz.
• Como o produto realmente é de usar. Um fornecedor pode passar por uma revisão de segurança de forma abrangente e ainda assim enviar software que sua equipe não consegue operar. A avaliação ocorre em paralelo com a avaliação; não substitui por ela.

Usado bem, o HECVAT é um filtro que permite que uma pequena equipe de segurança avalie muito mais fornecedores do que poderia de outra forma. Usado como a revisão inteira, ele produz software aprovado que ninguém quer usar e contratos que não podem ser aplicados.

Lista de verificação de preparação do fornecedor

Se você vende para o ensino superior e ainda não foi solicitado um HECVAT, será. Tenha estes prontos antes que o pedido chegue:

1. HECVAT Lite completo e mantido atualizado, com a versão Completa disponível mediante solicitação.
2. Uma lista de sub-processadores publicada com propósito, região e salvaguarda para cada entrada.
3. Um DPA com uma cláusula FERPA pronto para assinatura, juntamente com os termos do Artigo 28 do GDPR e Cláusulas Contratuais Padrão se você lidar com dados da UE.
4. Um ACR atual cobrindo interfaces de aluno, autoria e administrativas.
5. Um resumo de segurança de uma página — hospedagem, criptografia, isolamento, backups, resposta a incidentes, controle de acesso — para o revisor que quer a forma disso em dois minutos.
6. Uma posição de atestação honesta. Se você não tem SOC 2, diga isso, e diga o que desencadearia o início de um.

As instituições que valem a pena vender não estão procurando um fornecedor sem lacunas. Elas estão procurando um cuja descrição de si mesmo corresponda ao que encontram quando verificam. Para instituições planejando um piloto junto com a revisão, o kit de piloto executa ambos em paralelo.

Eduspera é uma plataforma de aprendizado com foco em acessibilidade construída para se sentar ao lado de um LMS de campus em vez de substituí-lo: WCAG 2.2 AA como requisito de produto, um Relatório de Conformidade de Acessibilidade publicado, respostas HECVAT públicas, SAML single sign-on com metadados InCommon, provisionamento SCIM e LTI 1.3 com retorno de nota. As instituições podem começar a partir do kit de piloto de 12 semanas, que define o plano, as métricas e a lista de verificação técnica que suas equipes de identidade e dados trabalharão.

Perguntas frequentes

O HECVAT é obrigatório?

Não é uma exigência legal, mas é uma prática quase universal. A maioria das universidades dos Estados Unidos exige um HECVAT completo antes que um serviço de nuvem possa ser aprovado, e muitas não iniciarão uma revisão de contrato sem um. Trate-o como obrigatório na prática, mesmo que nenhum estatuto o nomeie.

Qual é a diferença entre HECVAT Completo e HECVAT Lite?

Escala. O Completo tem várias centenas de perguntas e é usado quando um fornecedor manterá dados institucionais ou de alunos sensíveis, ou quando o serviço é operacionalmente crítico. O Lite é um subconjunto muito mais curto usado para compromissos de menor risco e para qualificação inicial, e é onde a maioria das primeiras conversas começa.

Um HECVAT substitui um relatório SOC 2?

Não. Um HECVAT é o próprio relato do fornecedor sobre seus controles; um SOC 2 é a opinião de um auditor independente sobre se esses controles operam. As instituições que lidam com dados sensíveis geralmente querem ambos. Um fornecedor sem SOC 2 ainda pode passar na revisão, mas as respostas do HECVAT precisam ser consideravelmente mais específicas.

O que é o Cloud Broker Index?

Um repositório comunitário de HECVATs completos mantido para o setor de ensino superior. Quando um fornecedor está listado, um revisor em outra instituição pode frequentemente confiar na avaliação existente em vez de realizar uma nova, o que encurta substancialmente a aquisição para ambos os lados.

Quanto tempo leva uma revisão do HECVAT?

De alguns dias a alguns meses, impulsionado quase inteiramente pela qualidade das respostas. Respostas específicas e evidenciadas com lacunas divulgadas avançam rapidamente. Respostas vagas geram ciclos de acompanhamento, e cada ida e volta normalmente custa uma semana. Publicar suas respostas publicamente é a maneira mais eficaz de encurtá-la.