Standard konektivity škol a sdílené iPady: kdo, kdy, na kterém iPadu a z jaké IP adresy

Standard konektivity škol říká jasně: „Využívání jednoho účtu více uživateli není povoleno." Škola zároveň musí umět dohledat, kdo byl kdy na její síti a z jakého zařízení. U počítačů to řeší přihlášení do systému. U sdílených iPadů to často zůstává jako díra: iPad koluje mezi třídami a nikdo pak neví, kdo ho v danou chvíli držel.

V tomto článku vysvětlujeme, co přesně standard vyžaduje, proč jsou sdílené iPady slabé místo a jak to v Hanus.ai řešíme. Hanus.ai je jediné MDM, které na sdílených iPadech vede historii přihlášení: kdo, kdy, na kterém iPadu a z jaké IP adresy.

V kostce

• Co standard chce: každý uživatel má vlastní účet, žádné sdílené ani anonymní účty, a síť umí dohledat vazbu IP adresa, čas a zařízení. Projekty IROP na konektivitu se podle standardu hodnotí.
• Kde je díra: sdílený iPad nabízí vedle školního účtu i relaci Host. Ta je pohodlná, ale anonymní.
• Co dělá Hanus.ai: relaci Host na sdílených iPadech vypne, takže se na iPad dostane jen žák nebo učitel se svým školním účtem.
• Historie přihlášení: každé přihlášení se zapíše do sekce Kyberbezpečnost: čas, jméno a účet, iPad se sériovým číslem, Wi-Fi MAC a veřejná IP adresa. Záznamy se drží 90 dní a jdou stáhnout do CSV nebo Excelu.
• Ochrana soukromí: historii vidí jen Super admin školy a každé hledání vyžaduje důvod, který se uloží do auditu.
• Prevence kyberšikany: automatické odhlášení na konci každé hodiny, odhlášení po nečinnosti a filtr obsahu webu, aby žák nenašel na iPadu přihlášený cizí účet.

Co Standard konektivity škol vyžaduje

Standard konektivity škol vydalo MŠMT v roce 2022 (č. j. MSMT-16039/2022-2). Je určený vedení a zřizovatelům základních, středních a vyšších odborných škol a konzervatoří. Odkazují se na něj specifická pravidla výzev IROP 2021 až 2027 a projekty škol řešící konektivitu se podle něj hodnotí. Parametry je potřeba plnit nejen při dokončení projektu, ale i v době jeho udržitelnosti.

Pro dohledatelnost uživatelů jsou podstatné tyto povinné parametry:

Bod standardu	Co říká	Co to znamená pro iPady
2.2.1 Systém správy uživatelů	Centrální databáze identit a její využití pro autentizaci žáků i učitelů za účelem bezpečného a auditovatelného přístupu. Využívání jednoho účtu více uživateli není povoleno (tzv. anonymní účty).	Na sdíleném iPadu se má každý přihlásit vlastním školním účtem, ne anonymní relací.
2.2.2 Logování přístupu	Logování přístupu uživatelů do sítě umožňující dohledání vazeb IP adresa, čas, počítačový systém. Tablet je podle standardu také počítačový systém.	Škola potřebuje vědět, který iPad a kdy byl na síti a pod jakou adresou.
1.2.3 Logování NAT	Monitoring a logování NAT provozu kvůli dohledatelnosti veřejného provozu k vnitřnímu zařízení, nejméně 3 měsíce.	Z veřejné IP adresy a času se musí dát dojít ke konkrétnímu zařízení.

Mezi doporučenými parametry je navíc logování provozu na úroveň koncového uživatele (bod 2.5.1) a nástroje pro centrální správu a audit ICT prostředků (bod 3.1.7).

Proč jsou sdílené iPady slabé místo

Na počítači ve škole se žák přihlásí svým účtem do systému a síť ví, kdo u počítače sedí. Sdílený iPad nabízí dva způsoby přihlášení:

• Školní účet žáka nebo učitele (Managed Apple Account ze školního Apple School Manageru),
• relaci Host, tedy dočasnou relaci bez jména, jejíž data se po odhlášení smažou.

Relace Host je pohodlná: žák nemusí znát heslo a hodina začne rychleji. Je ale anonymní. Nikdo pak nezjistí, kdo iPad v danou chvíli používal. A to je přesně „využívání jednoho účtu více uživateli", které standard nepovoluje. Navíc výchozí nastavení Applu relaci Host na sdílených iPadech povoluje, takže ji škola má zapnutou, i když o tom neví.

Síťová zařízení školy (firewall, Wi-Fi kontrolér) umí zaznamenat, které zařízení bylo kdy na síti. U sdíleného iPadu ale z logu sítě nepoznáte, který žák na něm zrovna byl. Bez toho dohledatelnost končí u zařízení, ne u člověka.

Jak to řeší Hanus.ai

1. Relaci Host vypnete jedním přepnutím

V nastavení Sdíleného iPadu ve skupině vyberete režim Jen přihlášení účtem. Na iPad se pak dostane jen žák nebo učitel se svým školním účtem a relace Host není k dispozici. Funguje od iPadOS 13.4. Když budete chtít, jde to stejně snadno vrátit.

Na stránce Kyberbezpečnost je navíc přehled Účet host na sdílených iPadech. Pro každou skupinu ukáže, jestli je tam relace Host povolená, a rizikové skupiny označí i s doporučením a odkazem rovnou do nastavení. Za rizikové považuje i skupiny, kde Sdílený iPad nikdo nenastavil, protože výchozí stav Applu relaci Host povoluje.

2. Každé přihlášení se zapíše do historie

Na stránce Kyberbezpečnost → Přihlášení na sdílených iPadech je zpětný záznam každého přihlášení:

• čas v časovém pásmu školy,
• Apple ID a jméno a příjmení žáka nebo učitele,
• iPad s názvem a sériovým číslem,
• Wi-Fi MAC adresa iPadu,
• veřejná IP adresa, pod kterou škola v tu chvíli vystupovala do internetu,
• skupina, ve které iPad byl.

Hledat jde podle data, jména, Apple ID, třídy, skupiny, Wi-Fi MAC i sériového čísla. Záznamy se drží 90 dní, tedy po dobu, kterou standard vyžaduje u logování NAT, a pak se automaticky smažou. Výsledky stáhnete do CSV nebo Excelu jako podklad pro kontrolu nebo pro šetření incidentu.

Wi-Fi MAC a veřejná IP jsou to, co propojí historii v Hanus.ai s logy školní sítě. Z logu firewallu víte, které zařízení bylo kdy na síti. Z Hanus.ai víte, kdo na tom iPadu byl přihlášený. Dohromady tak škola dohledá celý řetězec: veřejná IP, čas, iPad a konkrétní člověk.

3. Hledání v historii je pod kontrolou

Historie přihlášení jsou osobní údaje žáků, proto s nimi zacházíme opatrně:

• Stránku Kyberbezpečnost vidí jen Super admin školy. Běžný admin ani podpora Hanus.ai do ní nevidí.
• Před každým hledáním je povinný Důvod dotazu, například „šetření incidentu na žádost ředitele". Důvod se uloží do auditu spolu s filtry a počtem výsledků. Bez zápisu do auditu se hledání ani export neprovede.
• Evidenci může Super admin kdykoli vypnout v Nastavení → Vaše organizace.

Škola tak vždy ví nejen kdo byl na iPadu, ale i kdo, kdy a proč v historii hledal.

Proč na tom tolik záleží: kyberšikana

Kyberšikana mezi žáky bohužel přibývá a sdílené iPady jsou pro ni snadná příležitost. Typický scénář na sdíleném iPadu: žák se na konci hodiny neodhlásí ze sociální sítě. Další žák pak jeho účet převezme a zneužije: píše jeho jménem, posílá fotky, zesměšňuje ho.

Když je relace anonymní, škola nemá šanci zjistit, kdo za tím stál. S osobním přihlášením má každý žák svá data i přihlášené aplikace ve svém účtu, takže se k nim další žák na stejném iPadu nedostane. A když se přesto něco stane, škola ví, kdo iPad v danou chvíli držel. Bezpečnost školy tak není jen papír pro kontrolu IROP, ale skutečná ochrana dětí.

Kyberbezpečnost a prevence kyberšikany na sdílených iPadech

Historie přihlášení pomůže, když se něco stane. Ještě lepší je, když se to vůbec nestane. Většina zneužití na sdíleném iPadu začíná stejně: předchozí žák se zapomněl odhlásit. Ve skupině sdílených iPadů v Hanus.ai proto nastavíte i tohle:

Nastavení v Hanus.ai	Co dělá	Proti čemu chrání
Jen přihlášení účtem	Vypne relaci Host, na iPad se dostane jen žák nebo učitel se školním účtem.	Anonymní používání, které nejde dohledat.
Odhlašování podle rozvrhu hodin	Žáci se ve školní dny automaticky odhlásí na konci každé vyučovací hodiny, 3 minuty po zvonění. Pojistka konce dne (výchozí 16:30) odhlásí iPady i při odpolední výuce mimo rozvrh.	Další žák nenajde na iPadu přihlášeného spolužáka.
Odhlášení po nečinnosti	Odhlásí žáka, když iPad nějakou dobu nikdo nepoužívá.	iPad odložený na lavici s otevřeným účtem.
Uspání obrazovky (iPadOS 17 a novější)	Uspí obrazovku po 2 až 15 minutách nečinnosti, výchozí je 5 minut. Žáka neodhlásí.	Otevřená obrazovka odloženého iPadu na očích ostatních.
Filtr obsahu webu	Automaticky omezí weby pro dospělé v Safari, umí vždy blokovat vybrané weby (například sociální sítě) nebo povolit jen vybrané weby.	Nevhodný obsah a sociální sítě během výuky.

Automatický filtr spolehlivě blokuje weby s obsahem pro dospělé. Další kategorie, třeba hazard nebo konkrétní sociální sítě, je potřeba přidat ručně do seznamu Vždy blokovat.

Když ke kyberšikaně přesto dojde

1. Zajistěte důkazy: snímky obrazovky zpráv nebo příspěvků, čas a název účtu, ze kterého přišly.
2. Dohledejte, kdo byl na iPadu: v Hanus.ai na stránce Kyberbezpečnost vyplňte důvod dotazu a hledejte podle času a sériového čísla iPadu, případně podle Wi-Fi MAC.
3. Postupujte podle školního preventivního programu a zapojte školního metodika prevence.
4. Využijte odbornou pomoc: pro děti je bezplatná a anonymní Linka bezpečí na čísle 116 111, s kyberšikanou, sextingem nebo falešnými profily pomáhá poradna E-Bezpečí. Vydírání nebo šíření intimních fotek oznamte Policii ČR.

Proč tohle jinde nenajdete

Apple dává MDM nástroje, jak sdílený iPad nastavit, ale historii přihlášení nevede. Žádné běžné MDM ji proto škole neukáže. V Hanus.ai ji skládáme sami ze zpráv, které sdílený iPad posílá při přihlášení, doplňujeme jména ze seznamu učitelů a žáků a ukládáme ji v časovém pásmu školy. Proto je Hanus.ai jediné MDM, ve kterém škola dohledá, kdo, kdy, na kterém iPadu a z jaké IP adresy byl přihlášený.

Co MDM udělá a co ne

Abychom byli přesní: Standard konektivity škol je hlavně o síti. Logování NAT, správa Wi-Fi a firewall zůstávají úkolem síťové infrastruktury školy a jejího správce. Hanus.ai doplňuje tu část, kterou síť sama nevyřeší: zakáže anonymní relaci Host a přiřadí každé přihlášení na sdíleném iPadu konkrétnímu člověku.

Pár věcí, které je dobré vědět:

• Evidují se sdílené iPady. iPady 1:1 má každý žák svůj, takže tam otázka „kdo na něm byl" nevzniká.
• Historie ukazuje přihlášení, ne odhlášení. iPad odhlášení Applu nehlásí. Konec relace poznáte podle dalšího přihlášení na tomtéž iPadu.
• Čas je okamžik, kdy server přijal zprávu o přihlášení. Veřejná IP je adresa školy (nebo mobilního operátora) do internetu, ne vnitřní adresa iPadu.
• Evidence se spouští po odsouhlasení aktuálních obchodních podmínek, které ji popisují. Ve verzi Hanus Lite není.

Jak začít

1. Ve skupině se sdílenými iPady otevřete nastavení Sdíleného iPadu a zvolte Jen přihlášení účtem.
2. Na stránce Kyberbezpečnost zkontrolujte přehled Účet host na sdílených iPadech, ať nikde nezůstala relace Host povolená.
3. Ověřte, že máte napojený seznam Učitelé a žáci, aby se v historii ukazovala i jména, ne jen Apple ID.
4. Hotovo. Od té chvíle se každé přihlášení zapisuje do historie.

Často kladené otázky

Co je Standard konektivity škol?

Dokument MŠMT z roku 2022, který stanoví technická kritéria bezpečné školní sítě: připojení k internetu, vnitřní síť, Wi-Fi, správu uživatelů a logování. Odkazují se na něj výzvy IROP a projekty škol na konektivitu se podle něj hodnotí, a to i v době udržitelnosti.

Smí žáci na sdíleném iPadu používat relaci Host?

Podle Standardu konektivity škol není povoleno, aby jeden účet využívalo více uživatelů, a výslovně zmiňuje anonymní účty. Relace Host je anonymní, proto doporučujeme ji na sdílených iPadech vypnout a přihlašovat žáky školním účtem.

Jak zjistím, který žák byl přihlášený na sdíleném iPadu?

V Hanus.ai na stránce Kyberbezpečnost → Přihlášení na sdílených iPadech. Vyplníte důvod dotazu, filtr (třeba sériové číslo iPadu a datum) a uvidíte, kdo se na něm kdy přihlásil.

Jak dlouho se historie přihlášení uchovává?

90 dní, pak se záznamy automaticky smažou. Stejně dlouho se drží i audit hledání a exportů.

Kdo může historii přihlášení vidět?

Jen Super admin školy. Každé hledání i export vyžaduje důvod, který se zapíše do auditu.

Jak na sdílených iPadech předejít kyberšikaně?

Vypněte relaci Host, aby se každý žák přihlašoval svým účtem, a zapněte automatické odhlašování podle rozvrhu hodin nebo po nečinnosti. Další žák pak na iPadu nenajde přihlášený účet spolužáka. Filtr obsahu webu navíc omezí nevhodné weby a vybrané sociální sítě.

Nahradí Hanus.ai logování na firewallu?

Ne. Logování NAT a síťového provozu je úkol síťové infrastruktury. Hanus.ai k němu přidává informaci, kterou síť nemá: kdo byl na konkrétním sdíleném iPadu přihlášený. Díky Wi-Fi MAC a veřejné IP se obě evidence dají propojit.

Funguje to i na iPadech 1:1 a na Macích?

Historie přihlášení se vede pro sdílené iPady. Na iPadu 1:1 je uživatel jeden, takže dohledatelnost plyne z přiřazení iPadu žákovi.

Je to v souladu s GDPR?

Historie slouží k zabezpečení školy a k plnění Standardu konektivity. Přístup má jen Super admin, každý dotaz se zdůvodňuje a audituje, záznamy se po 90 dnech mažou a evidenci jde vypnout.

Související

• Jak nastavit sdílený iPad
• iPad pro každého, nebo sdílený?
• Sdílený iPad ve třídě
• Apple třída a spravované účty žáků a učitelů
• Bezpečnost Hanus.ai

Zdroje

• MŠMT: Vydán Standard konektivity škol (aktualizováno 19. 3. 2026)
• MŠMT: Standard konektivity škol, č. j. MSMT-16039/2022-2 (červenec 2022), body 1.2.3, 2.2.1, 2.2.2, 2.5.1 a 3.1.7
• MMR: IROP 2021 až 2027, vzdělávací infrastruktura
• Policie ČR: Děti a online rizika (Linka bezpečí, E-Bezpečí)