2026年教育数据安全保障专项计划

2026年教育数据安全保障专项计划本计划实施周期为2026年1月1日至2026年12月31日，适用范围涵盖全国各级教育行政部门、各级各类学校（含幼儿园、中小学、中等职业学校、高等院校、特殊教育学校）、教育信息化服务供应商、合规备案的在线教育平台及面向未成年人提供服务的校外培训机构，所有相关主体需严格按照本计划要求落实各项数据安全保障措施，全面防范教育数据泄露、篡改、滥用等风险，切实保护师生及家长的个人信息权益，维护教育系统稳定运行。本计划的总体实施方向为构建“技防为核心、人防为基础、制度防为支撑、协同防为补充”的四位一体教育数据安全防护体系，全年确保不发生重大及以上教育数据安全事件，一般数据安全事件发生率较2025年下降60%以上，全行业教育数据合规率达到98%以上，敏感数据全生命周期可追溯率达到100%。具体落地指标包括：所有相关主体数据安全责任落实覆盖率100%，三级及以上教育数据承载系统等级保护测评通过率100%，教育数据安全从业人员培训考核通过率100%，数据安全事件应急响应处置时长压缩至1小时以内，学生及家长对教育数据安全的满意度达到90%以上。所有相关主体需严格对照责任清单完成各项任务落地，责任清单具体要求如下：责任主体核心责任事项完成时限考核验证标准第一责任人省级教育行政部门1.制定属地教育数据安全专项实施细则；2.每季度组织1次属地全覆盖数据安全督查；3.建成省级教育数据安全态势感知平台；4.建立属地教育数据安全举报响应机制2026年3月31日前完成细则制定，6月30日前完成态势感知平台建设，全年常态化落实督查、举报响应要求1.实施细则可落地性评分不低于90分；2.季度督查覆盖率100%，问题整改闭环率100%；3.态势感知平台接入属地所有三级及以上教育数据系统，告警准确率不低于95%；4.举报响应时长不超过24小时，举报线索核查率100%分管信息化工作的副厅（局）长地市/区县教育行政部门1.落实省级专项计划要求，制定属地工作台账；2.每月开展1次属地学校、校外培训机构数据安全巡查；3.组织属地从业人员完成年度安全培训；4.按要求及时上报数据安全事件2026年2月28日前完成台账制定，全年常态化落实巡查、培训、上报要求1.工作台账责任到人、节点明确；2.月度巡查覆盖率100%，发现问题7天内完成整改；3.从业人员培训覆盖率100%，考核通过率不低于98%；4.事件上报及时率100%，无瞒报、漏报、迟报情况分管信息化工作的副县（处）长各级各类学校1.完成校内教育数据分级分类台账建立；2.配备专职/兼职数据安全员；3.完成校内所有信息系统的等保测评与安全改造；4.落实数据全生命周期管控要求，规范师生数据采集、使用流程2026年4月30日前完成分级分类台账建立、安全员配备，9月30日前完成所有系统安全改造，全年常态化落实管控要求1.数据分级分类准确率100%，台账动态更新；2.安全员持证上岗，全年在岗率100%；3.所有系统等保测评合格，高危漏洞清零；4.无违规采集、滥用学生数据的投诉学校校长教育信息化服务供应商1.承接项目前提交数据安全保障方案，完成进场人员背景审查与保密协议签订；2.所有交付系统上线前通过等保测评，预留安全审计接口；3.运维操作全程留痕，日志留存不少于180天；4.发现系统漏洞第一时间告知甲方并协助修复项目进场前完成方案提交、人员审查，项目交付前完成等保测评，全年常态化落实运维、漏洞处置要求1.安全保障方案通过甲方数据安全委员会审核；2.交付系统符合等保要求，接口适配省级态势感知平台；3.运维操作可追溯率100%；4.漏洞响应时长不超过2小时，修复率100%项目法定负责人在线教育平台/校外培训机构1.严格按照最小必要原则采集用户数据，公示采集用途与留存期限；2.未成年人数据采集前征得监护人书面同意；3.服务终止后15天内彻底删除所有用户数据；4.禁止向第三方倒卖、泄露用户数据2026年3月31日前完成存量数据合规整改，全年常态化落实各项要求1.无过度采集用户数据的投诉，采集告知覆盖率100%；2.未成年人数据采集监护人同意率100%；3.数据删除记录可追溯，无残留；4.无数据泄露、倒卖等违规记录平台/机构法定代表人所有相关主体需严格按照教育数据分级分类标准落实全生命周期管控，教育数据按敏感程度从低到高划分为四级：一级为公开数据，包括学校招生简章、公开师资介绍、公开教学资源等可面向社会公众公开的信息，防护要求为确保数据真实性、无篡改；二级为内部数据，包括校内教务安排、非敏感办公资料等仅可面向校内教职工公开的信息，防护要求为禁止无授权对外传播；三级为敏感数据，包括学生成绩、家庭住址、联系方式、常规健康档案等仅可面向指定管理人员公开的信息，防护要求为加密存储、访问留痕、最小授权；四级为核心敏感数据，包括未成年人生物特征信息、学生特殊疾病档案、未公开的升学考试试题及评分库、学生资助敏感信息等仅可面向极个别获批人员公开的信息，防护要求为双人授权访问、全程录像留存、禁止任何形式的导出与对外共享。数据采集环节，除经省级教育行政部门专项审批的特殊场景外，禁止采集未成年人面部、虹膜、声纹、基因等生物特征信息，禁止采集与教育教学无关的学生宗教信仰、家长收入、家长职务等信息，所有数据采集前需通过官网、家长会等渠道公示采集用途、留存期限、使用范围，采集未成年人数据必须征得监护人签字确认的书面同意，禁止通过默认勾选、捆绑授权等方式变相获取用户同意。数据存储环节，三级及以上教育数据必须存储在境内符合等级保护要求的服务器中，敏感数据采用国密算法进行加密存储，加密密钥由甲方单位与运维服务商分别保管，任何单一主体无法独立完成解密操作，禁止将三级及以上教育数据存储在境外服务器或未经备案的云服务平台中。数据传输环节，所有涉及三级及以上数据的传输过程必须采用TLS1.3及以上版本的加密协议，禁止明文传输敏感数据，传输过程中设置断点续传校验机制，防止数据被篡改、截取。数据使用环节，严格执行权限最小化原则，教职工仅可获取履行岗位职责所需的最小范围数据权限，例如班主任仅可查看本班学生的相关数据，学科老师仅可查看所授班级学生的学科成绩数据，所有数据导出操作需提前提交申请，经部门负责人、数据安全员双人审批后方可执行，导出的数据设置访问密码与3天自动失效期限，禁止私存、转发导出的敏感数据，所有数据访问、导出、修改操作全程留痕，日志留存期限不少于180天。数据共享环节，跨部门、跨单位共享教育数据需提交共享申请，明确共享数据范围、用途、使用期限，经单位数据安全委员会审批通过后方可共享，签订数据安全保密协议，明确共享双方的安全责任，禁止二次转发、滥用共享获取的教育数据。数据销毁环节，达到留存期限的教育数据、用户申请注销的个人数据需采用不可逆的销毁方式，包括多次覆写、物理消磁、物理粉碎等，禁止仅通过简单删除、格式化操作完成数据销毁，销毁过程全程录像，销毁记录留存期限不少于3年。2026年6月底前，各省级教育行政部门需完成省级教育数据安全态势感知平台建设，接入属地所有承载三级及以上数据的教育信息系统，实时采集系统访问日志、操作日志、漏洞告警信息，具备异常访问识别、数据泄露预警、攻击路径溯源功能，对短时间内批量下载敏感数据、非授权时段访问核心系统、陌生IP访问敏感数据库等异常行为实现秒级告警，自动触发临时访问阻断机制，同时将告警信息推送至属地对应单位的数据安全员，要求2小时内完成核查处置。2026年9月底前，所有承载三级及以上数据的教育信息系统完成零信任架构改造，落实“永不信任、始终验证”的防护原则，无论访问主体来自校内内网还是校外公网，均需完成身份认证、设备健康认证、访问环境认证三重验证，根据访问主体的身份、访问场景动态调整权限，例如教职工在外网访问敏感数据时，除账号密码验证外，还需完成刷脸+短信二次验证，且仅赋予查看权限，禁止数据导出操作。全面推广数据脱敏技术应用，所有涉及敏感数据的开发测试、对外展示、第三方合作场景需自动启动脱敏流程，对姓名、身份证号、手机号、家庭住址等敏感字段采用掩码、替换、泛化等方式进行脱敏处理，例如对外展示的学生成绩列表隐去姓名与身份证号，仅显示学号与成绩，导出给第三方的用户信息将手机号中间四位、身份证号中间八位替换为星号，防止敏感数据泄露。建立常态化漏洞扫描与修复机制，各单位每半个月对所属的所有教育信息系统开展一次全量漏洞扫描，建立漏洞台账，明确修复时限，高危漏洞需在24小时内完成修复，中危漏洞需在72小时内完成修复，低危漏洞需在7天内完成修复，漏洞扫描与修复记录留存期限不少于1年，未完成高危漏洞修复的系统必须暂停对外服务，直至漏洞清零。2026年3月底前，所有高等院校、区县及以上教育行政部门需配备至少2名专职数据安全员，中小学、中等职业学校、校外培训机构需配备至少1名专职或兼职数据安全员，所有数据安全员需参加省级教育行政部门统一组织的岗位培训，考核合格后颁发上岗证书，每年完成不少于40学时的继续教育，考核不合格的需及时调整岗位。建立分层分类的常态化培训机制，针对各单位管理层人员，每年至少开展2次数据安全责任培训，重点解读《数据安全法》《个人信息保护法》《未成年人网络保护条例》中关于教育数据安全的责任条款，明确单位主要负责人为数据安全第一责任人，发生责任事件需承担相应的行政、法律责任，培训考核结果纳入管理层年度绩效考核。针对一线教职工、培训机构从业人员，每学期至少开展1次数据安全操作规范培训，重点讲解教务系统使用规范、学生数据保护要求，禁止将学生成绩、个人信息发布到公开的微信群、QQ群等社交平台，禁止私存学生及家长的敏感数据，培训考核结果纳入教职工职称评审、评优评先的参考指标。针对技术运维人员，每季度至少开展1次专业技术培训，重点讲解漏洞修复、应急响应、攻击溯源等实操技能，培训考核合格后方可上岗操作，教育信息化服务供应商的运维人员进场前需完成安全背景审查，签订保密协议，所有运维操作需有甲方单位人员全程陪同，禁止单独操作核心数据库。2026年2月底前，各单位需结合自身实际修订完善数据安全应急预案，明确事件分级标准与处置流程，将数据安全事件划分为三个等级：一般事件为泄露或滥用100条以下三级敏感数据，未造成不良影响；较大事件为泄露或滥用100-1000条三级敏感数据，或泄露100条以下四级核心敏感数据，造成局部不良影响；重大事件为泄露或滥用1000条以上三级敏感数据，或泄露100条以上四级核心敏感数据，造成大范围不良影响或引发群体性事件。各单位每半年至少开展1次实战化应急演练，模拟数据泄露、勒索病毒攻击、核心系统被入侵等常见场景，检验应急响应团队的处置能力，演练结束后形成复盘报告，针对演练中暴露的问题优化应急预案，全年演练次数不少于2次。建立快速响应处置机制，发生数据安全事件后，第一时间切断攻击路径，防止数据进一步泄露或被篡改，1小时内上报属地教育行政部门与网信、公安部门，配合相关部门开展溯源调查，同时第一时间通知受影响的用户，做好解释告知工作，禁止瞒报、漏报、迟报数据安全事件。完善责任追究机制，对未落实本计划要求、存在数据安全隐患的单位，由教育行政部门下达整改通知书，限期完成整改，逾期未整改的予以通报批评；对发生数据安全责任事件的单位，依法依规追究第一责任人与相关责任人的责任，情节较轻的给予约谈、通报批评，情节严重的给予政务处分，构成犯罪的移交司法机关追究刑事责任；对责任事件涉及的教育信息化服务供应商，纳入教育信息化采购黑名单，3年内不得承接任何教育信息化项目；对责任事件涉及的在线教育平台、校外培训机构，依法处以罚款，情节严重的责令停业整顿、吊销办学许可。落实经费保障，各级教育行政部门需将数据安全建设经费纳入年度教育信息化预算，占比不低于信息化总预算的20%，专项用于数据安全平台建设、系统安全改造、人员培训、应急演练等工作，建立经费使用台账，确保专款专用，不得截留、挪用。完善考核评估机制，将数据安全工作纳入对下级教育行政部门、学校的年度绩效考核体系，占比不低于10%，考核结果与经费拨付、评优评先直接挂钩，全年发生1次重大及以上数据安全事件的单位，年度绩效考核直接评定为不合格，取消当年所有评优评先资格。建立多部门协同联动机制，教育行政部门联合网信、公安、工信、市场监管等部门建立季度联席会议制度，共享教育数据安全威胁情报，联合开展执法检查，严厉打击非法窃取、倒卖、滥用教育数据的违法犯罪行为，形成监管合力。畅通监督举报渠道，各级教育行政部门在官网、官方公众号开设教育数据安全举报通道，公布举报电话与邮箱，鼓励师生、家长举报违规采集、滥用学生数据的行为，举报线索经查实的，给予举报人500元至5000元不等的奖励，同时对举报人信息严格保密，防止打击报复。2026年1月至2月为部署启动阶段，各级教育行政部门完成属地实施细则制定、应急预案修订、责任清单下发工作，组织召开专项计划启动会议，明确各项工作的时间节点与责任人；2026年3月至4月为底数摸排阶段，完成所有相关主体的数据安全员配备、第一轮全员培训、教育数据分级分类台账建立工作，完成存量教育数据的合规性核查；2026年5月至6月为平台建设阶段，完成省级教育数据安全态势感知平台建设，完成第一轮全量系统漏洞扫描与高危漏