2026年校园安全信息管理制度

2026年校园安全信息管理制度第一条为规范2026年及以后各级各类校园安全信息的全生命周期管理，防范数据泄露、滥用、篡改风险，保障师生人身财产安全、校园公共秩序与国家数据安全，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《未成年人网络保护条例》《教育部校园数字安全管理规范（2025版）》《网络安全等级保护条例》等法律法规与政策文件要求，制定本制度。第二条本制度适用于全国范围内各级公办/民办普通中小学、中等职业学校、高等院校、学前教育机构、校外托管机构、面向中小学生的校外培训机构（以下统称“校园”）的安全信息采集、存储、使用、传输、销毁全流程管理，以及校园安全信息系统运维、第三方服务商合作、应急处置等相关工作。第三条校园安全信息管理遵循“最小必要、分级授权、全程留痕、合规可控”的基本原则，严禁以安全管理为名超范围采集、滥用师生个人信息，严禁将校园安全信息用于商业变现、无关管理考核等非安全用途。第一章组织架构与权责划分第四条各校园必须成立校园安全信息管理领导小组，组长由校园法定代表人或主要行政负责人（校长、园长）担任，副组长由分管安全工作、分管信息化工作的校级领导担任，成员涵盖安保处、信息中心、教务处、学工处（德育处）、后勤处、财务处、专职法务专员的负责人，同时吸纳不少于2名学生代表、2名家长代表参与监督，高等院校需额外增加2名教职工代表。第五条领导小组承担校园安全信息管理的主体责任，具体权责包括：审定本校园安全信息管理实施细则、审批年度安全信息系统运维与防护预算、统筹协调安全事件应急处置、对违规责任人员作出问责决定、每季度组织1次管理成效评估。其中校园主要负责人为第一责任人，对本校园安全信息管理工作承担首要责任。第六条各部门权责划分清晰：信息中心负责安全信息系统的技术运维、数据加密防护、漏洞排查修复、访问日志留存，每周开展1次系统安全巡检；安保处负责提出安全信息采集需求、日常使用安全信息开展风险研判、涉险事件排查处置，每月梳理1次安全信息使用需求的合理性；学工处、教务处负责师生信息的采集核验、履行采集前的告知义务、处理师生关于个人信息的申诉需求；法务专员负责所有安全信息管理操作的合规审查、配合处理个人信息相关的投诉与法律纠纷；财务处负责将安全信息防护经费纳入年度预算，保障系统升级、等保测评、应急演练等经费足额拨付。第七条凡参与校园安全信息系统建设、运维的第三方服务商，必须具备国家网络安全等级保护2.0三级以上资质，涉及高等院校核心数据系统的服务商需具备等保2.0四级资质，合作前必须签订《数据安全保密协议》，明确服务商的数据使用边界与保密责任，预留不低于合同额10%的质量保证金，服务到期后满1年未出现数据违规问题方可返还。据2025年教育部全国校园数据安全事件通报，72%的校园数据泄露事件由第三方服务商违规操作导致，所有服务商的工作人员必须经过校园安全信息管理培训后方可进场作业，操作过程全程留痕，服务期间不得私自拷贝、导出任何校园安全信息。第二章安全信息分类分级管理第八条校园安全信息按内容属性分为四大类：一是人员安全信息，涵盖师生及入校第三方人员的身份信息（身份证号、人脸、指纹等生物识别信息、家庭住址、联系方式）、健康信息（既往病史、心理健康档案、传染病史、过敏史）、行踪信息（门禁记录、校园卡消费记录、考勤记录、入校报备信息）；二是场所安全信息，涵盖公共区域监控视频、消防告警数据、水电燃气监测数据、危化品存储场所监测数据、校舍结构安全监测数据、食堂食品安全溯源数据；三是应急处置信息，涵盖突发安全事件处置预案、涉事人员信息、事件调查进展、处置结果、舆情应对素材；四是公共关联安全信息，涵盖属地公安、应急管理、疾控、气象、市场监管等部门推送的涉校风险预警信息。第九条校园安全信息按敏感程度与泄露影响分为三个等级：一级为核心敏感级，指一旦泄露会直接造成人员人身伤害、重大财产损失或恶劣社会影响的信息，包括所有未成年学生的全部个人信息、师生的生物识别信息、健康隐私信息、家庭住址、危化品存储具体位置与存量数据、未公开的突发安全事件处置细节；二级为重要级，指泄露会影响校园正常公共秩序的信息，包括公共区域监控视频、师生考勤记录、消防告警数据、应急处置预案、校舍安全监测数据；三级为一般级，指可面向公众公开的信息，包括校园公开的安全风险提示、应急演练通知、公共区域安全指引、已结案的安全事件通报。第十条不同等级信息实行分级授权访问机制：一级数据访问必须由校园安全信息管理领导小组2名及以上副组长共同审批，仅可授权安保、应急处置相关工作人员访问，访问日志留存不少于3年；二级数据访问由申请人所在部门负责人审批，访问日志留存不少于18个月；三级数据无需审批，可面向公众公开。第三章安全信息全生命周期管理规范第一节采集规范第十一条安全信息采集严格遵循最小必要原则，仅可采集与校园安全管理直接相关的信息，严禁采集师生的宗教信仰、基因信息、血型、家长收入与财产状况、未成年学生的社交记录等无关信息。除校门、宿舍出入口、危化品库房、食堂操作间、操场公共区域等确需身份核验或安全监测的点位外，不得在卫生间、更衣室、心理咨询室、家校沟通室等私密区域安装人脸识别、声音采集设备。第十二条采集个人信息前必须履行充分告知义务，告知内容包括采集用途、存储期限、使用范围、异议渠道，采集成年师生信息需取得本人书面知情同意，采集未成年学生信息需取得监护人书面知情同意，2026年所有校园生物识别信息采集知情同意率必须达到100%，对不同意采集生物识别信息的人员，必须提供刷卡、动态刷码、人工核验等替代准入方案，不得以此限制其正常入校、进出宿舍或参与校园活动。第十三条安全信息采集渠道必须为校园官方自主可控的系统，不得委托第三方机构私自采集师生信息，不得要求师生通过第三方非授权小程序、链接填报个人敏感信息；针对智能手环、智能校服等带定位功能的设备，仅可在有走失风险的低龄学前教育、特殊教育机构经监护人同意后使用，定位数据仅可用于学生走失、突发安全事件的定位处置，不得用于日常行为监控。第二节存储规范第十四条一级核心敏感数据必须存储在校园本地物理隔离的专用服务器中，不得存储至公有云服务器，加密方式必须采用国家密码管理局认定的SM2非对称加密、SM3哈希校验、SM4对称加密算法，数据异地备份必须存储至属地教育行政部门指定的灾备中心，备份频率不低于每日1次，备份数据采用离线存储方式，不得接入公共互联网。第十五条服务器物理机房必须符合《数据中心设计规范》（GB50174-2017）B级以上标准，配备7*24小时温湿度监测、气溶胶消防系统、生物识别物理门禁，所有进入机房的人员必须提前审批、全程登记、全程录像，机房访问日志留存不少于5年。二级数据可存储在校园私有云或属地教育部门指定的政务云平台，存储同样需符合国密算法加密要求。第三节使用规范第十六条安全信息使用严格限定于校园安全管理范畴，严禁以下使用场景：利用人脸识别数据统计学生课堂抬头率、课间活动轨迹、师生交往情况等与安全无关的内容；将学生的健康信息、心理健康档案用于评优评先、分班、招生录取的参考依据；批量导出师生个人信息用于商业推广、外部数据交易；公开泄露未成年学生的个人信息或涉险事件隐私。第十七条安全信息使用全程留痕，所有访问、下载、导出操作均自动记录操作人、操作时间、操作内容、数据用途，确需导出数据开展安全处置的，需存储在加密专用设备中，处置完成后72小时内彻底删除，不得私自留存副本。向法定机关提供安全信息的，必须要求对方出具加盖公章的调取文书，经领导小组双人审批、法务专员合规审查后方可提供，调取记录留存不少于3年。第十八条2026年采用AI算法开展安全信息智能分析的校园，算法模型训练不得使用师生的个人敏感数据，AI分析的异常预警结果必须经过人工核验后方可触发处置流程，不得仅凭AI自动分析结果对师生采取处罚、限制活动等措施，每半年开展1次算法公平性审查，防范算法歧视，AI分析日志留存不少于3年。第四节传输与销毁规范第十九条一级核心敏感数据传输必须采用加密VPN专属通道，不得通过微信、QQ、普通电子邮箱、公共网盘等公共互联网渠道传输，传输过程记录传输人、接收人、传输时间、数据内容，日志留存不少于3年；二级数据传输需采用加密传输协议，不得明文传输。第二十条安全信息超过法定留存期限或师生离校、离职满1年的，除需永久留存的档案信息外，必须完成彻底销毁，销毁采用“数据多次覆写擦除+存储介质物理粉碎”的方式，由信息中心、安保处、法务专员三方在场监督，出具销毁记录并签字留存，不得随意丢弃存储介质，不得私自转卖、赠送存储过校园安全信息的硬件设备。据2025年全国校园数据安全违规事件统计，41%的事件由传输渠道不规范、存储介质随意处置导致，各校园每季度需开展1次传输渠道、闲置存储介质的专项排查。第四章风险监测与应急处置第二十一条信息中心安排专人7*24小时监测安全信息系统的运行状态，每周开展1次漏洞扫描，每月开展1次渗透测试，每季度开展1次等保合规测评，发现高危漏洞要在24小时内完成修复，无法立即修复的要第一时间采取系统隔离措施，同步上报属地教育行政部门与网信部门。系统设置异常访问自动告警机制，对非工作时间访问一级数据、短时间内批量下载超过100条人员信息等异常行为，自动触发告警，信息中心需在15分钟内响应核查。第二十二条各校园制定数据泄露、系统瘫痪、信息篡改三类专项应急预案，每半年开展1次应急演练，演练记录留存不少于2年。发生数据泄露、信息篡改等安全事件后，第一时间启动应急预案，第一时间隔离涉事系统，排查泄露范围与影响人员，在1小时内上报属地教育行政部门、网信部门、公安机关，同时在24小时内告知所有受影响人员，未成年受影响人员同步告知其监护人，告知内容包括泄露的数据类型、可能造成的影响、学校已采取的处置措施、防范建议等，不得迟报、瞒报、漏报。第二十三条针对安全信息相关的舆情事件，校园要在2小时内发布权威回应，及时澄清不实信息，回应内容需经过法务专员合规审查，避免引发次生舆情。第五章监督考核与问责第二十四条各校园要将安全信息管理工作纳入部门年度绩效考核，权重不低于15%，每半年开展1次内部合规审计，审计结果向教职工代表大会、家长委员会公开。属地教育行政部门每年对辖区内校园开展不少于2次的安全信息管理专项检查，检查结果与校园评级、财政补贴拨付、校长绩效考核直接挂钩，对检查不合格的校园，要求限期整改，整改期间暂停所有新的信息化项目审批。第二十五条各校园设立专门的举报邮箱、举报电话，接受师生、家长、社会公众的监督，接到举报后要在7个工作日内完成核查反馈，对举报属实的人员给予1000-5000元的现金奖励，严格为举报人保密。第二十六条对违规操作的工作人员，视情节轻重给予通报批评、扣发全年绩效、调离岗位、解聘的处理，造成人身或财产损失的依法承担赔偿责任，涉嫌犯罪的移交司法机关处理；对违规的第三方服务商，立即终止合作，扣除全部质量保证金，追究违约责任，同时上报属地教育行政部门纳入校园服务商黑名单，5年内不得参与本地任何校园项目招投标；对领导小组履职不到位、制度落实不力的，追究校园主要负责人