Keselamatan Siber EdTech: Data Pelajar & Akaun AI Terkawal

Pada hujung 2025, ramai institusi pendidikan tinggi sedang mengejar dua perkara serentak: pembelajaran berasaskan AI (analitik prestasi, pemperibadian, automasi tugasan pensyarah) dan ekosistem EdTech yang makin luas. Masalahnya, kebanyakan kampus masih bergelut dengan isu asas yang nampak “remeh” tetapi sebenarnya paling mahal bila gagal: data pelajar bertaburan di awan (cloud), pematuhan yang bercanggah, dan akaun digital yang hidup lebih lama daripada tempoh kontrak manusia.

Saya percaya satu perkara: AI dalam pendidikan hanya boleh dipercayai bila keselamatan siber dan privasi dibuat sebagai “enabler”, bukan penghalang. Kalau tidak, kita akan dapat AI yang pintar—tetapi berisiko, sukar diaudit, dan akhirnya menghakis kepercayaan pelajar.

Blog ini memecahkan tiga masalah yang sering berlaku (dan makin ketara bila AI mula digunakan secara meluas), serta apa yang boleh dibuat minggu ini—bukan “bila ada bajet”.

1) “Cloud chaos”: bila data pelajar merata di semua platform

Jawapan terus: Anda takkan dapat 100% pematuhan penggunaan platform institusi. Sasaran yang realistik ialah kurangkan risiko, ukur baki risiko, dan bina pemilikan bersama—terutama dengan komuniti akademik.

Pensyarah memang kreatif. Itu bagus untuk pedagogi, tetapi berisiko bila kreativiti itu bermaksud:

• simpan senarai nama, markah, rekod kehadiran, atau maklumat sokongan pelajar dalam pelbagai storan awan,
• guna aplikasi pihak ketiga untuk kuiz, rubrik, AI penanda (auto-grading), atau transkripsi,
• kongsi pautan fail tanpa kawalan akses yang jelas.

Kenapa ini jadi lebih rumit bila AI masuk?

AI mempercepat “kitaran cuba-buang”: hari ini cuba satu alat AI, minggu depan tukar alat lain. Setiap alat membawa:

• permintaan akses data (fail, e-mel, rakaman kelas),
• integrasi log masuk (SSO),
• pemprosesan data (kadang-kadang merentas negara),
• risiko “data tertinggal” selepas alat itu ditinggalkan.

Bila data pelajar tersebar, institusi hilang dua perkara paling penting untuk AI yang bertanggungjawab:

1. Kawalan (siapa akses apa, di mana disimpan, berapa lama)
2. Kebolehkesanan (audit trail: siapa muat naik, siapa kongsi, siapa muat turun)

Pendekatan yang biasanya gagal

• Tambah polisi lagi sampai semua orang kebas.
• Latihan wajib yang generik (semua orang dengar, sedikit orang ubah amalan).
• Pendekatan menghukum yang jarang dikuatkuasakan (dan semua orang tahu ia jarang berlaku).

Apa yang lebih berkesan: “ukur risiko” + “tetapkan ambang cukup selamat”

Ini langkah praktikal yang saya jumpa paling realistik untuk institusi:

1. Inventori perkhidmatan awan yang digunakan

   • Fokus pada kategori: storan fail, kolaborasi dokumen, borang/kuiz, aplikasi AI, rakaman video.
   • Jangan kejar kesempurnaan. Kejar “80/20”: platform yang paling kerap digunakan.

2. Klasifikasikan data pendidikan

   • Contoh ringkas:
     • Tahap 1: umum (bahan kursus tanpa data peribadi)
     • Tahap 2: dalaman (rubrik, bahan penilaian)
     • Tahap 3: sensitif (nama + ID pelajar + markah + rekod disiplin/keperluan khas)

3. Tetapkan ambang risiko yang dipersetujui tadbir urus

   • Bawa angka, bukan emosi: berapa alat, berapa jabatan, berapa kes data sensitif.
   • Bila jawatankuasa tadbir urus setuju “tahap risiko baki” yang boleh diterima, isu ini jadi tanggungjawab bersama, bukan beban unit ICT semata-mata.

“Buat ia masalah bersama” tanpa bergaduh

Bawa isu ini ke platform yang betul: mesyuarat fakulti, senat akademik, atau sesi town hall. Bukan untuk memalukan sesiapa—tetapi untuk membina pemilikan.

Ayat yang biasanya mengubah nada perbincangan: “Kalau ini terjadi pada data pelajar, ia juga boleh terjadi pada data peribadi pensyarah.”

Bila orang nampak risiko pada diri sendiri, mereka lebih mudah menyokong amalan selamat.

2) “Baseline blues”: patutkah ada piawaian keselamatan siber seragam?

Jawapan terus: Secara praktikal, institusi pendidikan bukan “kurang peraturan”, tetapi terlebih peraturan yang bercanggah. Namun, institusi masih perlukan baseline minimum yang ringkas dan boleh dilaksana—terutama untuk EdTech dan AI.

Ramai pemimpin kampus suka idea “satu baseline untuk semua”. Masalahnya, universiti ialah ekosistem pelik: ada makmal penyelidikan, klinik kesihatan, operasi kewangan, perpustakaan digital, dan kedai buku—semuanya di bawah satu pentadbiran.

Dalam realiti, pematuhan sering datang berlapis-lapis: kontrak geran, keperluan data, akta/garis panduan industri, audit dalaman. Bila bercanggah, yang menang biasanya yang paling “berisiko audit”, bukan yang paling logik.

Jadi apa baseline yang wajar untuk AI dalam pendidikan?

Saya ambil pendirian tegas: Baseline paling bernilai bukan dokumen 200 muka surat. Baseline paling bernilai ialah set minimum kawalan yang memaksa disiplin data.

Contoh baseline minimum yang patut institusi ada untuk EdTech/AI (ringkas, tetapi “keras”):

1. SSO dan MFA untuk semua alat EdTech berisiko sederhana/tinggi

   • Jika alat memegang data pelajar, jangan benarkan log masuk kata laluan lemah.

2. Prinsip akses minimum (least privilege)

   • Pensyarah akses kelas sendiri, bukan semua data.

3. Dasar retensi data

   • Berapa lama rakaman kelas, transkrip AI, dan fail penilaian disimpan?

4. Penilaian vendor (vendor risk) yang standard

   • Di sini banyak institusi tersekat. Buat versi “ringan” yang boleh lulus dalam 2–4 minggu, bukan 6 bulan.

5. Log audit asas

   • Sekurang-kurangnya: log akses, log muat turun, perubahan kebenaran.

Kenapa baseline membantu “jual” projek keselamatan?

Dalam organisasi, “buat benda betul” kalah dengan “buat benda wajib”. Baseline memberi bahasa yang mudah difahami oleh pengurusan: pematuhan, liabiliti, dan bukti kawalan.

Untuk siri “AI dalam Pendidikan dan EdTech”, ini penting kerana AI memerlukan data. Dan bila data menjadi nadi, kegagalan kawalan asas akan muncul sebagai krisis reputasi, bukan sekadar isu teknikal.

3) “Login limbo”: akaun sementara yang jadi akaun kekal

Jawapan terus: Akaun yang tak dinyahaktifkan ialah pintu belakang yang paling murah untuk penyerang. Penyelesaian lembut tetapi berkesan bermula dengan data penggunaan akaun dan bahasa proses HR, bukan “bahasa ancaman siber”.

Institusi pendidikan tinggi memang ada banyak peranan sementara:

• pensyarah sambilan
• fasilitator kursus pendek
• pembantu penyelidik
• pelajar bekerja sambilan

Masalah biasa:

• akaun dibuat awal “sebab nak siapkan LMS”,
• akaun dibiarkan lama “sebab nak selesaikan markah”,
• kemudian semua lupa.

Kenapa isu akaun jadi lebih kritikal bila AI digunakan?

Banyak platform AI/EdTech hari ini berintegrasi dengan:

• Learning Management System (LMS)
• storan fail institusi
• e-mel institusi
• sistem analitik pembelajaran

Satu akaun lama yang masih aktif boleh:

• tarik data kelas lama,
• akses fail yang sepatutnya sudah ditutup,
• eksport data pelajar untuk kegunaan luar.

Langkah paling efektif: “buat kira-kira” akaun

Sebelum minta HR ubah proses, datang dengan bukti.

Bina laporan ringkas:

• jumlah akaun aktif mengikut kategori (staf, kontrak, pelajar bekerja)
• tarikh log masuk terakhir ke sistem institusi
• akaun yang tak digunakan > 180 hari / 365 hari

Satu slaid yang bersih lebih kuat daripada 20 e-mel peringatan.

Cara bercakap dengan HR supaya tak jadi perang wilayah

HR biasanya responsif pada tiga perkara:

1. pematuhan audit
2. liabiliti organisasi
3. kejelasan proses

Bingkaikan isu begini:

• Akaun yatim (orphaned accounts) menyukarkan audit.
• Offboarding yang kabur meningkatkan risiko salah guna akses.
• Polisi kitar hayat akaun mengurangkan kerja pengecualian, bukan menambah.

Frasa yang saya suka guna: “Ini bukan projek keselamatan. Ini kebersihan proses.”

Polisi kitar hayat akaun yang praktikal (contoh)

Anda boleh mula dengan aturan mudah, kemudian perhalusi:

• Akaun kontrak tamat: auto-suspend selepas 14 hari
• Akses gred: akaun kekal aktif tetapi terhad selama 30 hari
• Akaun pelajar bekerja: tamat ikut rekod jawatan; jika masih pelajar aktif, akses kerja dipisahkan melalui peranan

Bila identiti diurus melalui peranan (role-based access), offboarding jadi rutin—bukan drama.

4) Rangka kerja 30 hari untuk EdTech & AI yang lebih selamat

Jawapan terus: Dalam 30 hari, institusi boleh capai penurunan risiko yang nyata tanpa menunggu transformasi besar—asal fokus pada 4 kerja teras.

Minggu 1: Peta aliran data pelajar (data map)

• Senaraikan 10 alat EdTech/AI paling kerap digunakan
• Tandakan jenis data yang terlibat (markah, rakaman, identiti, tugasan)

Minggu 2: Tetapkan “zon selamat” alat yang diluluskan

• Pilih 3–5 alat yang memenuhi keperluan asas (SSO/MFA, perjanjian data, retensi)
• Sediakan panduan 1 halaman: “alat disyorkan + kegunaan sesuai”

Minggu 3: Kuatkan identiti—mulakan dari akaun sementara

• Audit akaun tidak aktif
• Tetapkan auto-suspend untuk akaun yang melepasi tempoh log masuk terakhir

Minggu 4: Komunikasi bersama fakulti (bukan kempen menakut-nakutkan)

• Bentangkan angka risiko baki
• Minta maklum balas halangan sebenar (contoh: integrasi kalendar keluarga, aliran kerja penilaian)
• Putuskan pengecualian yang dibenarkan—dengan syarat yang jelas

Penutup: AI yang dipercayai bermula dengan disiplin data

Keselamatan siber dan privasi bukan aksesori kepada AI dalam pendidikan. Ia prasyarat. Kalau data pelajar merata di awan, pematuhan bercanggah tak diurus, dan akaun digital tak pernah “mati”, platform AI yang paling hebat pun akan jadi liabiliti.

Langkah paling realistik ialah yang paling membosankan: inventori, klasifikasi data, baseline minimum, dan kitar hayat identiti yang kemas. Bila itu stabil, barulah AI boleh berkembang dengan selamat—dan pelajar akan rasa yakin bahawa pembelajaran digital mereka dijaga.

Kalau institusi anda sedang merancang projek AI (analitik pembelajaran, tutor AI, auto-grading, transkripsi kuliah), apakah satu kawalan asas yang anda sanggup wajibkan untuk semua alat—SSO/MFA, retensi data, atau audit log?