Characterizing Security and Privacy Teaching Standards for Schools in the United States

Technische Samenvatting: Karakterisering van Onderwijsstandaarden voor Beveiliging en Privacy voor Scholen in de Verenigde Staten

Probleemstelling
Onderwijs over beveiliging en privacy (S&P) wordt steeds vaker geïntegreerd in de K-12 computerwetenschappelijke (CS) curricula in de Verenigde Staten, maar er is een gebrek aan empirisch begrip over wat er daadwerkelijk wordt onderwezen. Hoewel individuele staten en nationale organisaties onderwijsstandaarden publiceren om de leerverwachtingen van leerlingen uiteen te zetten, heeft geen enkel voorgaand onderzoek systematisch de reikwijdte van deze standaarden onderzocht. Het blijft onduidelijk of de behandelde onderwerpen aansluiten bij de bredere verwachtingen van de beveiligingsgemeenschap, hoe de inhoud is georganiseerd, en of er een onderscheid bestaat tussen onderwijs voor algemene eindgebruikers versus toekomstige technologieprofessionals. Deze kloof belemmert het vermogen om de effectiviteit van het huidige S&P-onderwijs te evalueren en om noodzakelijke verbeteringen te identificeren.

Methodologie
De auteurs voerden een uitgebreide handmatige analyse uit van 12.201 CS-onderwijsstandaarden verzameld uit alle 50 Amerikaanse staten (specifiek 47 staten met beschikbare standaarden per juni 2024) en acht nationale organisaties, waaronder de Computer Science Teachers Association (CSTA), de International Society for Technology in Education (ISTE), de Cybersecurity and Infrastructure Security Agency (CISA) en diverse Advanced Placement (AP), International Baccalaureate (IB) en certificeringsexamenorganen.

Het onderzoek volgde een tweetraps coderingproces:

1. Onderwerpidentificatie: Met behulp van open codering op een subset van standaarden uit vier staten, ontwikkelde het team een codeboek van S&P-relevante onderwerpen. Dit omvatte technische onderwerpen (bijv. encryptie, netwerkbeveiliging), sociale onderwerpen (bijv. ethiek, wetgeving) en gedragsonderwerpen (bijv. online veiligheid).
2. Labeling en Classificatie: Twee onderzoekers labelden de resterende 12.201 standaarden. Standaarden werden geclassificeerd als wel of niet gerelateerd aan S&P. S&P-standaarden werden verder gecategoriseerd in 109 afzonderlijke onderwerpen. Het team analyseerde ook de organisatie van de standaarden (bijv. de aanwezigheid van voorbeelden, categorisatie-labels) en classificeerde onderwerpen op basis van hun doelgroep: "algemene internet-/techgebruikers" versus "toekomstige technologieprofessionals".

De inter-rater betrouwbaarheid (IRR) werd berekend met behulp van de Kupper-Hafner overeenkomst, met een initiële overeenkomst van 0,62, die na discussie steeg naar volledige consensus. De studie richtte zich uitsluitend op CS-standaarden, waarbij werd erkend dat S&P-onderwerpen in andere vakken kunnen voorkomen (bijv. maatschappijleer), maar dat deze buiten de scope vielen voor deze initiële verkennende analyse.

Belangrijkste Resultaten
De analyse leverde 3.920 standaarden (32,1% van het totaal) op die gerelateerd zijn aan beveiliging en privacy, verspreid over 109 unieke onderwerpen.

• Onderwerpdekking: De meest voorkomende onderwerpen waren het testen van code, ethiek, krediet/intellectueel eigendom en veilig online gedrag. De minst voorkomende onderwerpen waren RSA-encryptie, webbeschikbaarheid en sleutelbeheer. Zelfs de meest populaire onderwerpen waren niet universeel; 32 staten misten ten minste één van de 14 meest voorkomende onderwerpen. Geen enkel onderwerp werd door alle staten of organisaties behandeld.
• Doelgroeponderscheid: De meeste standaarden (in alle staten behalve zes) richtten zich op onderwerpen die gunstig zijn voor algemene gebruikers (bijv. wachtwoorden, veilig gedrag) in plaats van gespecialiseerde professionele vaardigheden. Echter, gespecialiseerde onderwerpen (bijv. digitale forensica, inputvalidatie) waren aanwezig, vaak in staten met specifieke cybersecurity-cursussen (Georgia en Texas).
• Variatie per Leerjaar:
  • Basisonderwijs: Richtte zich op fundamenten zoals acceptabel gebruik, algemene veiligheid en wachtwoorden.
  • Middelbare school (Middle School): Legde de nadruk op veilige gegevensoverdracht, webbeveiliging en fundamentele technische concepten.
  • Hoger onderwijs (High School): Behandelde technische onderwerpen (veilige codering, embedded systemen), kritisch denken over afwegingen en complexe aanvallen.
• Organisatie en Helderheid:
  • Vaagheid: Standaarden misten vaak concrete voorbeelden. Slechts 2.841 van de 3.920 S&P-standaarden bevatten voorbeelden of verhelderende verklaringen.
  • Categorisatie: Slechts 29 staatstandaarden werden expliciet gecategoriseerd onder "Beveiliging" of "Privacy". Veel S&P-onderwerpen (bijv. tracking, gegevenspermanentie) waren verborgen onder bredere categorieën zoals "Impact van Computing" of "Digitale Burgerschap", waardoor ze voor docenten moeilijk te lokaliseren waren.
  • Privacy vs. Beveiliging: Privacy werd aanzienlijk minder vaak expliciet gecategoriseerd dan beveiliging.

Belangrijkste Bijdragen

1. Omvattende Dataset: Het artikel biedt de eerste grootschalige, systematische karakterisering van de S&P-inhoud binnen de Amerikaanse K-12 CS-onderwijsstandaarden, en biedt een gelabelde dataset van 3.920 standaarden over 109 onderwerpen.
2. Identificatie van Gaten: De studie identificeert significante inconsistenties in de onderwerpdekking tussen staten en een gebrek aan consensus over wat een compleet S&P-curriculum vormt.
3. Structurele Analyse: Het benadrukt structurele problemen in de standaarden, specificaal het gebrek aan expliciete categorisering voor privacy en de schaarste aan instructievoorbeelden, wat de implementatie door docenten zonder S&P-achtergrond kan bemoeilijken.
4. Doelgroepdifferentiatie: Het werk maakt onderscheid tussen standaarden bedoeld voor algemeen digitaal burgerschap en die voor toekomstige professionals, waarbij wordt opgemerkt dat de huidige standaarden deze doelen vaak zonder duidelijke scheiding met elkaar verwarren.

Betekenis en Claims
De auteurs positioneren dit werk als een initiële verkenning bedoeld om "licht te werpen op" de huidige staat van het S&P-onderwijs en om "het proces van het evalueren van hun nut te beginnen". Zij beweren niet het probleem van het S&P-onderwijs te hebben opgelost, maar hebben eerder de empirische grondslag gelegd die nodig is voor toekomstige verbeteringen.

Het artikel betoogt dat het huidige landschap wordt gekenmerkt door:

• Fragmentatie: Een gebrek aan universele onderwerpen suggereert uiteenlopende leerresultaten afhankelijk van de locatie van de student.
• Implementatiebarrières: De vaagheid van de standaarden en het gebrek aan voorbeelden leggen een zware last op docenten, die vaak een gebrek hebben aan formele S&P-training.
• Toegankelijkheidsproblemen: Omdat S&P-onderwijs grotendeels beperkt is tot keuzevakken voor CS (waaraan slechts ~6% van de middelbare scholieren deelneemt), worden veel studenten uitgesloten van fundamentele S&P-vaardigheden.

De auteurs bevelen een duidelijkere scheiding aan tussen fundamentele S&P-concepten (voor alle studenten) en gespecialiseerde inhoud (voor toekomstige professionals), grotere investeringen in docentbronnen en -training, en het gebruik van aanvullende materialen om concrete voorbeelden te bieden zonder de duurzaamheid van de standaarten zelf in gevaar te brengen. Zij concluderen dat hoewel standaarden een punt van consistentie bieden, ze momenteel de specificiteit en de universele consensus missen die vereist zijn om een rechtvaardig en effectief S&P-onderwijs in de Verenigde Staten te waarborgen.