Kniha (2022)/Bezpečnost testování z pohledu řízení rizik

Při posuzování významu (a racionality vynaložených nákladů) jednotlivých aspektů bezpečnosti testování můžeme použít metodiku známou z oblasti řízení rizik. V rámci instituce a v kontextu připravovaného testování bychom se měli zamyslet nad:

• identifikací aktiv,
• ohodnocením aktiv,
• identifikací hrozeb,
• odhadem pravděpodobnosti výskytu jednotlivých hrozeb,
• odhadem zranitelnosti aktiva hrozbou,
• odhadem celkového rizika vyplývajícího z jednotlivých ohrožení aktiv.

Identifikace aktiv

Aktivy se myslí vše, co pro organizaci představuje hodnotu. Ačkoliv to nemusí být z úzkého pohledu na testování zřejmé, mezi hlavní aktiva ve školství patří zejména důvěryhodnost celé instituce. Existují případy, kdy hrubé chyby v zabezpečení procesu testování (při přijímacím řízení) vedly až k fatálním následkům v podobě odebrání akreditace.

Ohodnocení aktiv

Při ohodnocení aktiv můžeme odhadnout například cenu položkové banky, respektive jejího obsahu. V položkové bance 1. LF UK je asi 10 tisíc položek. Náklady na jejich pořízení byly asi 1500 Kč za položku. Odtud dostáváme cenu za celý obsah položkové banky 15 milionů Kč. Odhadnout můžeme i cenu vybudované důvěryhodnosti instituce. Jde o dlouhodobě budované hodnoty s velkými náklady. Pokud by došlo např. ke skandálu kolem přijímacího řízení, pak to může znamenat, že byly znehodnoceny náklady na PR za dobu třeba 5 let. Kdyby ztráta důvěry v regulérnost řízení vedla až k odebrání akreditace, ztratí fakulta příjmy za výuku studentů, tedy jeden z největších zdrojů příjmu, a to na několik let. U větší fakulty tak ztráta dosáhne řádově stovek milionů Kč. Mezi chráněná aktiva ale patří např. i osobní údaje účastníků testů, které jsou chráněny podle GDPR pod hrozbou drakonických pokut.

Identifikace hrozeb

Hrozbami rozumíme takové scénáře, v nichž mohou být ohrožena aktiva organizace. Při testování jde zejména o vnější a vnitřní hrozby. Mezi hrozbami zaujímají zvláštní místo pokusy o úmyslné ovlivňování výsledků nedovolenými postupy. Existuje řada typů neetického a podvodného jednání, které mohou ohrozit vypovídací schopnost testu:

Vynesení položek, nebo též neoprávněné získání předběžných znalostí, může nastat, pokud účastníci předchozích běhů vynesou znění otázek. Buď si obsah zkoušky zapamatují, nebo zkopírují zadání mobilem, nebo ho opíšou. Cílem je dosáhnout v testu výhody proti ostatním testovaným, díky znalosti konkrétních testových otázek. Neoprávněný přístup k testovacím otázkám přináší podvádějícím nespravedlivou výhodu oproti poctivým účastníkům testu.

Nedovolená spolupráce. Dva nebo více testovaných se mohou pokoušet spolupracovat na vypracování testu. Například opisovat odpovědi, nebo sdílet odpovědi během testu prostřednictvím textových zpráv a podobně.

Záměna identity. K znehodnocení vypovídací schopnosti testu může dojít, pokud test absolvuje někdo jiný než skutečný uchazeč. Tomuto "testovacímu proxy" lze zabránit dodržením vysokých standardů pro ověření identity. Zvláště při distančních testech, kdy jsou možnosti pro ověřování identity omezené, je třeba věnovat tomuto problému velkou pozornost.

Nedovolená pomoc. Výsledek testu může být zkreslen i "koluzí" (utajenou dohodou), pokud se testovanému dostane pomoci od personálu, který testy organizuje či vyhodnocuje. Koluze znamená, že testový dohled, nebo správce testu poskytl zkoušenému neoprávněnou pomoc nebo nějakým způsobem manipuloval s testovými daty nebo testovací relací. Příkladem tajné dohody může být situace, kdy dohlížitel umožní zkoušenému odchýlit se od schválených testovacích postupů, získat přístup k neautorizovaným zdrojům, nebo mu umožní překročit schválený čas na vyplnění testu. Utajená dohoda se může také vztahovat na manipulaci se záznamy o zkoušce, jako je změna odpovědí zkoušeného ze špatné na správnou, nebo přidání chybějících odpovědí.

Nedovolené pomůcky a zdroje. Podle průzkumu mezi patnáctiletými žáky v Čechách byl v roce 2013 stále nejrozšířenějším způsobem podvádění používání "taháků", teprve na dalších místech byly technické prostředky jako mobilní telefony a podobně.

Hrozby pro bezpečnost se u jednotlivých druhů testování liší. Papírové zkoušky mohou být náchylnější na kopírování odpovědí než zkoušky na počítači (zvláště v případě adaptivního testování), zatímco počítačové testování může být náchylnější k použití neautorizovaných zdrojů. Zásady a postupy zabezpečení by měly být přizpůsobeny tak, aby vyhovovaly danému druhu testů.

Pro každý typ ohrožení je třeba připravit:

• Odhad pravděpodobnosti a potenciálních důsledků každého z možných případů,
• preventivní opatření k omezení hrozeb,
• následné postupy pro minimalizaci dopadu mimořádných událostí.

Ačkoliv je oceňování rizik pracné a nemusí být na první pohled pochopitelné, proč se jím zabývat, jeho smysl je zásadní - pomoci zajistit na ochranu důležitých hodnot prostředky, které jsou v rozumné relaci ke chráněným hodnotám.

Je zřejmé, že prevence a eliminace bezpečnostních hrozeb si vyžaduje systematický přístup. Proto při sumativním testování velkého významu bývá vytvořen bezpečnostní plán testu, který specifikuje kdo, kdy a čím se má zabývat, aby bylo dosaženo potřebné úrovně bezpečnosti. Pojďme si takový bezpečnostní plán projít krok za krokem.