中小学学生信息档案保密管理方案

中小学学生信息档案保密管理方案一、总则数据安全是教育数字化的底线，也是学校依法治校的核心组成部分。本方案旨在构建覆盖学生信息全生命周期的防护体系，通过制度规范与技术防范相结合，确保学生个人信息及敏感隐私数据的保密性、完整性与可用性。1.1目的防范学生信息在采集、存储、传输、使用、销毁等环节发生泄露、丢失或滥用，保障学生及家长的合法权益，规避学校法律风险，维护教育教学秩序稳定。1.2依据本方案依据《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》《中华人民共和国未成年人保护法》及GB/T35273-2020《信息安全技术个人信息安全规范》等法律法规与标准制定。1.3适用范围本方案适用于全校范围内涉及学生个人信息（含学籍信息、家庭信息、成绩信息、健康体检信息、心理档案等）处理的所有部门、教职员工、外包服务人员及第三方合作机构。1.4基本原则最小必要原则：仅采集、存储和处理教育教学必需的最少信息，范围外信息一律不采。知情同意原则：采集敏感信息前必须获得监护人（及适龄学生）的明确书面或电子授权。全程加密原则：敏感数据在传输与存储过程中必须采用强加密算法，严禁明文流转。权限分离原则：系统管理员、安全保密员、安全审计员三权分立，杜绝超级用户权限滥用。二、组织与职责清晰的责任划分是落实保密制度的前提，实行“谁主管、谁负责；谁使用、谁负责；谁保管、谁负责”的层级责任制。2.1领导小组组长：校长（第一责任人）。负责审批全校性信息安全制度，指挥重大泄露事件的应急处置。副组长：分管信息化副校长、分管德育副校长。负责监督制度执行，协调资源落实技术防护措施。成员：教务处主任、德育处主任、总务处主任、信息中心主任。2.2职能部门信息中心（技术责任主体）：负责部署防火墙、WAF（Web应用防火墙）、DLP（数据防泄漏系统）及数据库审计系统。负责定期（每季度）进行漏洞扫描与渗透测试，修复CVE漏洞。负责数据备份策略的执行（本地备份+异地备份），确保RPO（恢复点目标）≤1小时，RTO（恢复时间目标）≤4小时。教务处/德育处（业务责任主体）：负责规范学籍变动、成绩录入、评优评先等业务流程中的数据操作。负责审核班主任及任课教师的数据访问权限申请。财务处（资助管理责任主体）：负责学生家庭经济状况、银行卡号等资助信息的专项保密管理。2.3一线人员班主任：作为信息采集的第一道关口，负责核实信息真实性，确保采集源头的合规性，对班级群内的信息传播负直接责任。系统管理员：负责服务器日常运维，严禁私自导出、查看业务数据，操作过程必须通过堡垒机进行并全程录屏审计。三、信息分级与分类并非所有信息都需要同等强度的保护，分级施策才能在保障安全的同时兼顾教学效率。根据敏感程度与泄露后影响，将学生信息划分为三级。3.1L1级（绝密级/核心隐私）定义：泄露后可能导致学生人身安全受到威胁或财产遭受重大损失的信息。范围：身份证号、护照号、社会保障卡号。家庭详细住址（精确到门牌号）。生物识别信息（指纹、虹膜、人脸识别原始图像）。心理健康诊疗记录、特殊疾病史（如癫痫、抑郁症等）。银行卡号、支付账户密码。防护要求：必须采用AES-256或国密SM4算法加密存储；访问必须经过多因子认证（MFA）；严禁打印输出；导出需校长审批。3.2L2级（机密级/重要隐私）定义：泄露后可能导致学生隐私被侵犯或生活受到干扰的信息。范围：学生及其父母、监护人的联系电话（手机号、座机）。家长工作单位及具体职务。学业成绩（含平时成绩、期中期末成绩、排名）。体检数据（身高体重视力等常规体检除外，含异常指标）。防护要求：数据库字段级加密；访问需基于RBAC（基于角色的访问控制）模型授权；查询界面需进行部分脱敏处理（如手机号显示为138**1234）。3.3L3级（内部级/一般信息）定义：可公开或在校园内合理流通的信息。范围：姓名、性别、出生日期（不含年月日的完整日期可降级）。所在班级、学号（非身份证号派生）、寄宿/走读状态。获奖情况、考勤记录。防护要求：校园网内可控访问；对外发布需经过教务处审核。四、采集与录入管理源头控制是降低泄露风险成本最有效的手段，必须严防“过度采集”与“违规采集”。4.1采集审批流程：凡涉及新增采集项目（如引入第三方APP收集步数、睡眠数据），业务部门必须填写《数据采集审批表》，报信息中心与法务审核。禁止项：严禁采集与教育教学无关的个人信息（如宗教信仰、基因信息、指纹原始图像、性取向等）。4.2告知与同意动作：使用《学生信息采集告知书》，明确告知采集目的、数据类型、存储期限及使用范围。执行：必须获得监护人签字同意。若为年满14周岁未成年人，需同时获得本人同意。例外：因履行法定职责（如学籍注册、中考报名）或应对突发公共卫生事件（如疫情防控）依据法律法规要求采集的，可免除单独同意，但必须进行公示。4.3渠道安全纸质采集：使用带编号的连页单据，回收时必须核对份数；填写完毕的纸质表单必须放入带锁文件箱，严禁随意放置在办公桌桌面。电子采集：优先使用教育局或学校统一部署的官方平台；严禁使用个人微信小程序、问卷星（非企业认证版）、百度网盘等未通过安全评估的公众链接收集L1/L2级信息。五、存储与保管存储环节需防范物理丢失、网络入侵与内部越权三重威胁，构建纵深防御体系。5.1纸质档案保管库房要求：档案室必须安装防盗门窗、红外报警监控（监控保留90天以上）、烟感报警装置；实行“双人双锁”管理（两把钥匙分别由不同人员保管）。借阅管理：借阅L1/L2级纸质档案需经德育处主任批准，并在档案室内查阅，严禁带出；确需复印的，须经分管副校长审批，复印件按密级管理，用完即碎。5.2电子数据存储隔离部署：学生信息数据库必须部署在校园网核心业务区（VLAN隔离），严禁直接映射到公网IP。加密要求：硬盘级：启用全盘加密（如BitLocker）。文件级：L1级电子文档（如Excel花名册）必须设置打开密码（长度≥12位，含大小写字母+数字+特殊符号）。数据库级：身份证号等敏感字段必须采用透明加密（TDE）或应用层加密。备份策略：增量备份：每日02:00执行。全量备份：每周日02:00执行。异地备份：每月1日将加密备份包同步至教育局灾备中心或物理隔离的移动硬盘（该硬盘存放在保险柜内）。5.3终端管理禁止存储：严禁将包含L1/L2级信息的文件下载、保存在个人电脑（含家用电脑）的本地硬盘（如桌面、文档夹）。云盘禁令：严禁将学生信息上传至百度网盘、腾讯微云、GoogleDrive等公有云盘的个人空间。屏幕保护：包含敏感信息的终端，屏幕保护等待时间必须设置为5分钟以内，且恢复时需输入密码。六、使用与查询权限失控是内部泄露的主要途径，必须实施严格的访问控制与操作审计。6.1权限管控（RBAC模型）默认最小权限：新入职教师账号默认无权查看学生全量信息，仅具备本课程成绩录入权限。班级隔离：班主任仅能查询本班学生数据；年级组长仅能查询本年级数据；跨年级查询需教务处审批。视图限制：普通教师查询学生名单时，系统前端应自动对L1级信息（身份证号）进行掩码处理（显示为320*********123X）。6.2批量导出管理审批流程：导出超过50条记录的L1/L2级数据，需在OA系统提交申请，注明用途、接收范围，经分管校长审批后，由信息中心执行导出。水印机制：导出的Excel/PDF文件必须强制加载背景水印，内容包括：导出人：张三；用途：中考报名；时间：2024-05-20；严禁外传。时效控制：导出的临时文件权限应在24小时后自动失效。6.3场景化操作规范成绩分析：教师使用成绩分析系统时，优先使用系统内置的统计分析功能；若需导出原始数据，仅允许导出“学号+成绩”，严禁导出“姓名+身份证号+成绩”的关联数据。家校沟通：班主任在家长群发布通知时，严禁直接发布Excel表格或含全班名单的长图；必须使用“群待办”或“私信”功能点对点发布个人成绩；发布获奖名单时，如涉及L1级信息（如身份证号用于领奖），必须线下单独通知。七、传输与共享数据离开受控环境风险指数级上升，传输过程必须全程加密并建立可追溯链条。7.1内部传输邮件传输：严禁使用外部邮箱（QQ、163、Gmail）传输学生信息；必须使用学校企业邮箱，并启用“加密传输”与“阅后即焚”功能。即时通讯：严禁在微信群、QQ群中直接传输包含L1/L2级信息的文件；如必须传输，应使用企业微信/钉钉的“密聊”功能或发送“微盘”链接（设置权限为“仅指定人可下载”且“禁止转发”）。7.2外部共享与上报通道要求：向教育局、卫健委等上级部门上报数据，必须通过VPN虚拟专网接入政务外网，或使用专用SFTP服务器（SSH协议），严禁通过互联网HTTP/FTP明文传输。介质要求：使用U盘、移动硬盘拷贝数据时，必须使用经过杀毒且格式化为加密分区的专用U盘（禁止使用私人U盘）。7.3第三方合作管理准入审核：引入第三方服务（如校服厂商、营养配餐公司、研学机构）时，必须审核其数据安全保护能力。合同约束：必须在合同中签署《数据保密协议》，明确：数据仅用于本次合作目的（如制作校服仅需尺码，严禁索取身份证号）。合作结束后15日内必须彻底删除数据，并提交销毁证明。发生泄露事件时，第三方承担法律责任与赔偿责任。最小化供给：向第三方提供数据时，应进行脱敏处理（如仅提供“班级+姓名+性别”，不提供家庭住址）。八、应急处置响应速度决定了泄露后果的扩散范围，必须建立分级触发机制与标准化处置流程。8.1事件分级一般事件（Ⅲ级）：涉及1-10人L2级信息泄露，或未造成实质性扩散的L1级信息误操作。判定标准：如班主任误将含手机号的名单发至无关班级群，且群成员已撤回。响应：班主任立即撤回/删除->报告德育处->填写《安全事件自查表》->全校通报批评。较大事件（Ⅱ级）：涉及11-100人信息泄露，或L1级信息泄露至可控范围外。判定标准：如含有身份证号的Excel文件被上传至公共网盘。响应：立即断网/删除链接->上报分管校长->通知受影响家长->追查日志->问责处理。重大事件（Ⅰ级）：涉及100人以上信息泄露，或数据在暗网/社交媒体公开传播。判定标准：数据库被黑客入侵拖库，学生在社交媒体遭遇大规模诈骗/骚扰。响应：启动应急预案->物理隔离受损系统->上报教育局与公安机关->发布官方声明->法律介入->心理干预。8.2处置流程发现与报告：任何教职员工发现泄露迹象，必须在15分钟内报告信息中心（电话：XXXX-XXXX）。止损与阻断：立即修改相关系统管理员密码（长度16位以上）。关闭相关服务器非必要端口（仅保留22/443端口）。联系平台方（微信/钉钉/网盘）启动紧急删除流程。溯源与取证：保留系统日志、防火墙日志、操作录屏。封存相关涉事计算机，禁止继续操作以防破坏证据。通报与安抚：在24小时内制定对外口径，经教育局审核后统一发布。对受影响学生及家长进行点对点告知，并提供防诈骗建议。九、监督与考核没有检查的制度只是一纸空文，需通过定期审计、日志分析与违规处罚形成闭环管理。9.1审计检查日志审计：信息中心每月导出数据库审计日志与堡垒机操作日志，重点检查：非工作时间（22:00-06:00）的敏感数据查询记录。批量导出操作（SELECT*或导出CSV）记录。失败的登录尝试（超过5次/分钟视为暴力破解，需封禁IP）。现场抽查：保密领导小组每学期进行2次现场抽查，检查项包括：办公桌面是否有未收纳的纸质名单。电脑是否安装非法软件（如远程控制木马、游戏外挂）。是否存在弱口令（如123456、admin123）。9.2考核问责积分制：将信息保密纳入教师年度绩效考核，总分10分。扣分项：发现未锁屏离开工位：扣1分/次。在微信群传输明文敏感信息：扣5分/次。私自收集无关信息：扣10分/次。一票否决：造成重大泄露事故者，年度考核直接定为“不合格”，取消当年评优评先资格，并移交纪检部门或司法机关处理。十、附则10.1培训教育岗前培训：新入职教师必须参加信息安全培训并考试合格（分数≥90分）后，方可开通系统账号。定期培训：每学年开学前组织全员信息安全意识培训，重点剖析典型泄露案例。10.2解释与生效本方案由学校信息中心负责解释。本方案自发布之日起施行，原有相关制度与本方案冲突的，以本方案为准。附录A：可执行工具表附录A-1：学生信息采集审批表（样表）申请部门教务处/德育处/其他申请人张某某采集项目名称2024年秋季学生校服尺码统计采集时间2024.09.01-2024.09.10数据类型□L1绝密（身份证/生物识别）□L2机密（电话/住址）☑L3一般（姓名/尺码）采集方式☑纸质表单□学校官方系统□第三方平台（名称：________）采集依据《关于做好2024年校服征订工作的通知》数据用途统计尺码，向厂家定制校服存储位置校服管理专用文件夹（加密）共享范围仅校服厂家（提供脱敏数据：姓名+尺码）安全承诺本人承诺数据仅用于上述用途，采集结束后妥善保管纸质/电子档案，不超范围采集，不泄露隐私。<br>申请人签字：____________日期：2024/08/25部门审核同意采集。已确认最小必要原则。<br>部门负责人签字：____________日期：2024/08/26信息中心审核采集方式符合安全规范，存储位置合规。<br>信息中心主任签字：____________日期：2024/08/26校领导审批同意。<br>签字：____________日期：2024/08/27附录A-2：敏感数据导出申请表（样表）导出人