教育大数据安全治理实施细则

教育大数据安全治理实施细则第一章总则第一条为深入贯彻国家网络安全与数据安全相关法律法规，全面落实教育系统网络安全等级保护制度，规范教育大数据全生命周期安全管理，保障学生、教师及教育从业人员的合法权益，促进教育数据有序共享与开放，支撑教育数字化转型战略实施，特制定本细则。第二条本细则适用于各级教育行政部门、各级各类学校（含幼儿园、中小学、中等职业学校、高等院校）以及经教育行政部门批准设立的其他教育机构。涉及教育数据采集、存储、处理、传输、共享、开放、销毁等活动的第三方服务机构，须遵守本细则相关规定。第三条教育大数据安全治理遵循“谁主管、谁负责；谁运营、谁负责；谁使用、谁负责”的原则，坚持安全与发展并重、保护与利用并举，确保数据在安全可控的前提下最大化发挥价值。第四条教育数据安全治理目标包括：确保数据的真实性、完整性、保密性、可用性和可追溯性；防止数据泄露、篡改、丢失、滥用和未经授权的访问；建立长效化、常态化的数据安全运营与合规机制。第二章组织架构与职责第五条建立健全教育数据安全组织领导体系。各级教育行政部门和学校应成立数据安全工作领导小组，作为本单位数据安全工作的决策与领导机构，由单位主要负责人担任组长，对数据安全工作负总责。第六条领导小组主要职责包括：（一）贯彻落实国家及上级部门关于数据安全的政策法规和标准规范；（二）审定本单位数据安全发展规划、年度工作计划及重大规章制度；（三）决策数据安全重大事项，协调解决跨部门数据安全重大问题；（四）组织开展数据安全应急处置和问责工作。第七条设立数据安全管理办公室（或指定承担网络安全职能的部门），作为数据安全工作的日常执行机构。其主要职责包括：（一）组织制定和落实数据安全管理制度与技术防护措施；（二）负责数据资产梳理、分类分级及重要数据识别备案工作；（三）组织开展数据安全风险评估、合规性审查及安全审计；（四）统筹数据安全教育培训与应急演练；（五）对接上级主管部门及公安机关、网信部门的数据安全监管工作。第八条业务部门是数据安全的主体责任部门。教务、学工、人事、财务、科研等业务部门在开展业务活动时，应同步落实数据安全保护措施，明确本部门数据管理员，负责本部门产生数据的采集审核、使用授权及日常安全管理。第九条建立数据安全协同工作机制。信息化部门负责技术支撑与平台保障，保密部门负责涉密数据管理，宣传部门负责数据安全舆情引导，形成齐抓共管的工作格局。第三章数据分类分级管理第十条实施数据分类分级策略是数据安全治理的基础。依据数据的重要程度、敏感程度以及泄露后对国家安全、公共利益、个人权益、教育秩序造成的损害程度，将教育数据从高到低划分为核心数据、重要数据和一般数据三级。第十一条教育数据分类维度主要包括：（一）按对象分类：学生数据、教职工数据、资产数据、科研数据、管理数据、教学资源数据等；（二）按领域分类：基础教育数据、职业教育数据、高等教育数据、继续教育数据等；（三）按属性分类：个人基本信息、学业成绩信息、行为轨迹信息、财务资产信息、生物识别信息等。第十二条核心数据是指一旦泄露、篡改、损毁，可能直接危害国家安全、经济运行秩序、社会稳定或公共利益的教育数据。主要包括：（一）涉及国家秘密的教育统计数据；（二）关键信息基础设施运行过程中的核心监测数据；（三）涉及大规模群体性事件预警的敏感数据；（四）国家规定的其他核心数据。第十三条重要数据是指一旦泄露、篡改、损毁，可能直接影响个人合法权益、教育机构正常运转或危害社会秩序的教育数据。主要包括：（一）学生、教职工的身份证号、家庭住址、联系方式、生物特征信息（人脸、指纹、基因等）；（二）涉及心理测评、家庭经济状况、特殊体质等个人隐私信息；（三）未公开的考试试题、试卷、标准答案及评分标准；（四）涉及教育经费、科研经费的详细财务数据；（五）未公开的科研成果、知识产权数据。第十四条一般数据是指除核心数据、重要数据以外的其他教育数据，泄露或损毁后影响较小。主要包括：（一）已公开的学校简介、招生简章、专业介绍；（二）公开的课程目录、讲座信息；（三）脱敏处理后的统计数据。第十五条建立数据分类分级动态管理机制。数据安全管理办公室应每年组织一次数据资产梳理，更新数据分类分级清单。对于新建业务系统，应在立项阶段确定数据分类分级属性。第十六条数据分类分级标识表如下：数据级别定义描述典型数据示例保护强度要求共享开放限制核心数据关系国家安全、公共利益，危害程度极高涉密统计数据、关键基础设施运行数据最高级别加密，物理隔离，严格访问控制禁止共享，严格限制出境，特殊审批重要数据关系个人权益、机构运行，危害程度较高身份证号、生物特征、心理档案、未公开试题强加密，脱敏访问，审计留痕限制共享，须进行安全评估，签署保密协议一般数据危害程度较低，可公开或内部使用公开简介、脱敏统计、公开课表基础防护，身份认证可依法依规开放第四章数据采集安全管理第十七条数据采集应遵循“合法、正当、必要、最小化”原则。采集数据应当有明确、合理的目的，限于实现处理目的的最小范围，不得过度收集数据。第十八条采集个人信息（含敏感个人信息）应当向个人告知采集的目的、方式、范围、存储期限及可能的用途，并获得个人或其监护人的单独同意。涉及未满十四周岁未成年人个人信息的，应当取得其监护人的同意。第十九条严禁通过诱导、欺诈、胁迫等方式采集数据。严禁在个人不知情的情况下，通过隐蔽式技术手段采集个人行为轨迹、生物特征等敏感信息。第二十条建立数据采集审批制度。业务部门因业务需要新增采集数据项或调整采集范围的，需提交申请，经数据安全管理办公室审核通过后方可实施。对于采集生物识别信息、宗教信仰、特定身份等敏感信息的，须进行严格的合规性审查。第二十一条规范第三方数据采集。确需委托第三方机构采集数据的，应对第三方机构的数据安全能力进行评估，签订数据安全保护协议，明确双方的权利义务及违约责任，并对采集过程进行监督。第二十二条建立数据源鉴别机制。在采集数据时，应验证数据源的真实性、合法性，防止恶意数据注入或污染。对于从公开渠道采集的数据，应进行去重、清洗和有效性验证。第五章数据存储与传输安全第二十三条数据存储应根据分类分级要求采取相应的安全措施。核心数据必须存储在通过国家相关认证的安全设施或专用云平台中，重要数据应存储在境内，确需向境外提供的，应当通过国家网信部门组织的安全评估。第二十四条核心数据和重要数据存储时，必须采用加密技术。加密算法应符合国家密码管理相关标准（如SM4、SM2等国密算法）。加密密钥应实行严格的密钥管理策略，定期轮换，且密钥的存储与数据存储分离。第二十五条建立数据备份与容灾机制。核心数据和重要数据应实施异地实时备份。一般数据应定期备份。备份数据应同样采取加密保护措施。定期（至少每半年）对备份数据进行恢复测试，确保备份的有效性。第二十六条加强数据存储介质管理。存储过核心数据或重要数据的硬盘、磁带、U盘等介质，在报废或转作他用前，必须进行不可恢复的物理销毁或逻辑擦除（符合国家保密标准），并建立销毁记录台账。第二十七条数据传输应当采用安全通道。内部传输核心数据或重要数据，应使用VPN、专网或加密通信链路。通过公共网络（互联网）传输数据的，必须使用HTTPS、SFTP等加密协议，确保传输过程中的机密性与完整性。第二十八条禁止使用微信、QQ、个人邮箱等社交或即时通讯工具传输、存储核心数据和重要数据。禁止将核心数据或重要数据上传至未经过安全评估的公有云盘或第三方网盘。第六章数据使用与加工安全第二十九条实施严格的访问控制策略。采用“最小权限”原则分配数据访问权限，根据岗位职责设置角色，通过RBAC（基于角色的访问控制）模型管理权限。定期（至少每季度）审查用户权限，及时回收离岗人员、转岗人员的访问权限。第三十条加强身份认证管理。访问核心数据和重要数据系统，必须实施多因素身份认证（MFA）。关键操作（如批量导出、删除、修改）应进行二次审批或双人复核机制。第三十一条数据脱敏处理。在非生产环境（如开发、测试、培训环境）中使用数据，或在前端展示、统计分析等场景下涉及敏感个人信息时，必须进行静态脱敏或动态脱敏处理。脱敏规则应保证不可逆性，如对身份证号进行遮挡，对姓名进行只保留姓氏处理。第三十二条数据使用审计。建立数据全流程操作日志审计系统，记录数据的访问、查询、导出、修改、删除等操作。日志内容应包含操作人、时间、IP地址、操作对象、操作结果等关键信息。审计日志保存时间不少于6个月，核心数据审计日志保存时间不少于3年。第三十三条数据加工分析安全。利用大数据技术（如数据挖掘、机器学习）对教育数据进行分析建模时，应采取措施防止分析结果反推还原出原始个人信息。在进行画像、评分等应用时，应避免算法歧视，保障公平性。第三十四条严禁违规使用数据。禁止将掌握的教育数据用于商业目的，未经授权禁止将数据提供给其他单位或个人用于与教育无关的用途。禁止非法买卖、提供或公开他人个人信息。第七章数据共享与开放安全第三十五条数据共享与开放应遵循“按需共享、分类开放、权责对等”的原则。建立数据共享申请、审批、流转、销毁的闭环管理流程。第三十六条内部共享。教育机构内部部门间因业务需要共享数据的，应通过统一的内部数据交换平台进行。数据提供方应在共享前核实数据接收方的业务需求与权限范围，必要时对数据进行脱敏处理，并签订内部数据共享保密承诺书。第三十七条外部共享。向教育系统以外的其他政府部门、企事业单位或社会组织提供数据的，必须进行严格的合规性审查。（一）提供核心数据的，须报上级主管部门批准；（二）提供重要数据的，须进行安全风险评估，评估通过后签订数据安全协议；（三）提供一般数据的，须进行必要的备案。第三十八条数据开放。面向社会公众开放公共数据资源时，应优先开放脱敏后的统计数据、非涉密的政务信息。开放个人信息的，必须经过匿名化处理，确保无法识别特定个人且无法复原。第三十九条数据共享接口安全。提供数据共享服务的API接口，应具备身份认证、访问控制、流量控制、加密传输等安全功能。应对接口调用进行实时监控，发现异常调用（如高频访问、异常IP爬取）时应立即触发报警并自动阻断。第四十条涉及向境外提供数据的，严格按照《数据出境安全评估办法》等规定执行。申报数据出境安全评估，或签订标准合同，并进行备案。第八章数据销毁安全第四十一条建立数据销毁机制。当数据保存期限届满或数据使用目的已实现且无继续保存必要时，业务部门应发起数据销毁申请。第四十二条数据销毁审批。销毁核心数据和重要数据，须经数据安全管理办公室审核，并报单位领导小组批准。销毁一般数据，须经业务部门负责人审批。第四十三条数据销毁方式。（一）逻辑销毁：通过软件覆写技术，将存储介质上的数据扇区进行多次覆盖，使其无法被恢复。适用于需重复使用的存储介质。（二）物理销毁：通过消磁、粉碎、焚烧等方式破坏存储介质。适用于不再使用的存储介质或存储过极高敏感数据的介质。第四十四条销毁记录与验证。数据销毁过程应有两人以上在场监销，并详细记录销毁数据的名称、级别、数量、销毁时间、销毁方式、监销人等信息。销毁完成后，应进行抽查验证，确保数据已被彻底清除且不可恢复。第九章安全监测与应急响应第四十五条建立全天候数据安全监测体系。利用态势感知、日志分析、数据库审计等技术手段，对数据资产进行动态监测。重点关注异常访问行为、批量数据导出行为、非工作时间高频操作等风险指标。第四十六条建立数据安全事件应急响应预案。预案应包括应急组织架构、事件分级标准、响应流程、处置措施、后期恢复等内容。应急响应预案应定期（至少每年一次）进行评审和修订。第四十七条数据安全事件分级。根据事件的影响范围和危害程度，将数据安全事件分为特别重大（I级）、重大（II级）、较大（III级）和一般（IV级）四个等级。第四十八条应急响应流程。（一）监测发现：监测系统发现异常或接到报告；（二）研判上报：安全人员初步研判，确认事件等级并上报领导小组；（三）应急处置：采取隔离、断网、封堵、备份恢复等技术措施，防止事态扩大；（四）调查取证：留存日志、快照等证据，分析事件原因；（五）通报公告：按照规定向上级主管部门报告，必要时向社会公告；（六）恢复总结：恢复业务正常运行，总结经验教训，完善防护措施。第四十九条演练培训。每年至少组织一次数据安全专项应急演练，检验预案的有效性。定期对全体教职工进行数据安全意识培训和技能培训，提高防范数据泄露的能力。第十章监督检查与责任追究第五十条建立常态化监督检查机制。数据安全管理办公室应定期（每半年）组织对本单位及所属机构的数据安全管理制度落实情况、技术防护措施有效性进行监督检查。第五十一条合规性审计。引入或聘请第三方专业机构，定期对教育大数据处理活动进行合规性审计，评估数据安全风险，出具审计报告。对审计发现的问题，相关责任部门应制定整改计划并限期完成。第五十二条考核评价。将数据安全工作纳入年度网络安全责任制考核指标体系。对在数据安全保护工作中做出突出贡献的部门和个人，给予表彰和奖励。第五十三条责任追究。对违反本细则规定，导致数据泄露、丢失、滥用等安全事件发生的，依据相关规定对直接责任人员和主管领导进行问责。构成犯罪的，依法移送司法机关追究刑事责任。（一）未落实数据安全保护要求，造成一般数据安全事件的，责令整改并通报批评；（二）未落实数据安全保护要求，造成较大及以上数据安全事件的，依规给予纪律处分；（三）故意泄露、买卖、篡改教育数据的，从严从重处理；（四）在发生数据安全事件后，隐瞒不报、