I forrige uke opplevde en gruppe unge jenter at en voksen mann tok seg inn i Whereby–rommet de var i. Skolen reagerte straks og anmeldte saken, i tillegg til at de ga beskjed til Oslo kommune om hendelsen. Kommunen valgte da å legge ned forbud mot å bruke plattformen for alle skoler i kommunen.
– Grunnen er at det ikke er gjennomgått med tanke på sikkerhet, og det konkrete eksempelet hvor en fremmed mann kunne komme seg inn i det digitale rommet til elever, viser at det er svakheter i hvordan verktøyet er designet, mener Trine Lie Larsen, kommunikasjonsdirektør i Osloskolen.
Etter deres mening er Whereby designet slik at de ikke kan gå god for sikkerheten i verktøyet.
– I Whereby er det så åpent at det ikke er behov for passord, og navnet på det digitale rommet inngår i navnet på lenken. Da er det vanskelig å holde uvedkommende ute, hevder Lie Larsen.
Whereby oppfordrer brukerne til å lage mer kompliserte navn på rommene, så det ikke går an å gjette seg frem til hva det kan være. Etter hendelsen har de også lagt inn som default innstilling at alle må "banke på" for å slippes inn i rommet av administratoren.
Avhengig av bruk
Torgeir Waterhouse på sin side mener kommunen her har valgt feil løsning på problemet. Han understreker at skolen ikke kan la alt slippe fritt løst, eller la foreldre «stemme» frem hvilke verktøy man skal bruke.
- Dette er en vurdering foreldrene ikke er i stand til å gjøre. Men skolen kan lytte til hva slags funksjonalitet og bruk foreldrene forventer seg. Spørsmålet om det er sikkert nok, er et spørsmål om hvordan de bruker det, ikke om løsningen som sådan, sier Waterhouse.
Han mener skolen i teorien kunne åpnet for livestrømmer til alle, så kunne de som ville, følge med på lærernes forelesninger. Men at det er en annen vurdering når det skal undervises direkte, med elever i videorommet. Likevel mener han sikkerheten med å lage komplekse romnavn, med krav om å banke på for å komme inn, bør holde.
- Når det gjelder Whereby i lukkede rom, ser jeg ikke at sikkerheten ikke skal være god nok. Du kan alltids diskutere sikkerheten i selve teknologien, men det kan du diskutere når det gjelder alle andre verktøy også.
Feil tiltak
Han mener det nå er riktig å ta et par skritt tilbake.
– Det er mange scenarioer som kan lede til at feil person kommer inn i rommet. Foreldre, søsken, noen kan ta med seg pcen utendørs. Uansett hvilken løsning du har, er man avhengig av at de som bruker løsningen har kunnskapen til å gjøre det riktig.
Waterhouse peker på to tiltak kommunen heller burde gjort når feilen ble oppdaget.
– Man burde spurt seg hva dette betyr for informasjonen og kompetansen skolene og lærerne har. Og hva betyr det for hvilke rutiner man har.
Feil å lete etter syndebukk
Han understreker at saken er alvorlig og opprørende, men at problemstillingen ikke burde handlet om å finne en syndebukk, hverken lærer eller tjeneste.
– Man har behov for å peke på noe konkret som har skyld i feilen. Men det var ikke nødvendigvis Whereby sin skyld. Det kan være misforståelser, det kan være brukerfeil. I et sånt perspektiv er det viktig at den som tar beslutningen heller tenker: «Hva er det vi skal unngå, hva skal vi oppnå», og ta en beslutning etter det.
Waterhouse mener at det er avgjørende for den pågående situasjonen med hjemmeskole at lærere finner en god måte å ha kontakt med elevene på.
– Man må stille grunnspørsmålet: Vil det at man utelukker Whereby fra skolen, gjøre at man unngår situasjoner man ikke vil ha i et videomøte? Svaret på det er antageligvis nei.
– Så får lederne heller være støttende og veiledende, og sørge for at alle er bevist på hvilke feller man må unngå.
Risikerer «Shadow-IT»
– Man må ha høy fleksibilitet og høy toleranse for at lærere skal finne løsninger i det vi står i, og man må ha toleranse for at feil skjer, og heller passe på at man agerer på en slik måte at man får ting til å fungere.
Waterhouse mener det er viktig å ikke bidra til skremsel og panikk når slike ting oppstår, og legger til at det også gir uheldige effekter å ha et for «strengt regime».
– Man må være klar over at man kan oppleve det vi kaller «Shadow-IT», hvor folk som ønsker å gjøre jobben sin, finner alternative løsninger fordi løsningene de blir tilbudt, ikke er gode nok, sier han og legger til:
– Da er det klokere å heller sørge for at lærerne har den informasjonen og kunnskapen de trenger for å håndtere disse systemene godt.
41 bærumsskoler bruker Whereby
Til tross for kommunens forbud har andre kommuner tatt i bruk Whereby på skolen. I Bærum kommune er plattformen kjøpt inn og tatt i bruk på samtlige 41 skoler.
– Mange lærere har oppdaget Whereby og jobber godt med det, og når man da responderer på en hendelse med totalforbud, da blir det å dra det veldig langt. Det fremstår som en stress- og medie-press-drevet beslutning. Mens hovedproblemet i denne saken er jo; Hvordan unngår man at uvedkommende har tilgang? sier han og påpeker:
– Man må stille grunnspørsmålet: Vil det at man utelukker Whereby fra skolen, gjøre at man unngår situasjoner man ikke vil ha i et videomøte? Svaret på det er antageligvis nei.
Etter det Shifter forstår er det opp til den enkelte rektor hvilke apper som skal brukes i de forskjellige skolene, men at Utdanningsetaten sitter på godkjenningen. Det må i en normalsituasjon foreligge en databehandleravtale og en såktalt DPIA.
Hos Datatilsynet
Spørsmålet nå er om Oslo kommune vil gjøre unormale grep, nå når samfunnet generelt er unormalt, og om de vil la enkeltskoler og lærere bruke Whereby, så lenge man lokalt vurderer det som sikkert.
Skolen har anmeldt saken til politiet, og også bedt om en vurdering fra Datatilsynet.
Avdelingsdirektør i Datatilsynet, Jørgen Skorstad, er ikke kjent med plattformen og hendelsen. Han sier på generelt grunnlag at plattformer som brukes av skolen bør ha en eller annen form for beskyttelse.
– Hvis plattformen er helt åpent, kan hvem som helst komme inn. Skjer møtene i en skolekontekst, er det skoleeier, altså Oslo Kommune i dette tilfellet, som har ansvaret.
