（一）数据安全事件频发

近年来，教育领域数据安全事件屡见不鲜。如 2023 年 8 月，南昌某高校 3 万余条师生个人信息数据在境外互联网上被公开售卖；同月，江西某职业技术大学因未健全全流程数据安全管理制度、未采取数据加密等技术措施，导致数据库被黑客非法入侵，师生个人敏感信息遭泄露。这些事件不仅侵犯了师生的个人隐私，也对教育机构的声誉造成了严重损害。

我国在法律法规、部门规章、地方性法规、技术标准等多个维度，对教育领域的数据安全保护工作提出了具体细化要求。例如，《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等明确规定了数据处理者的责任和义务。然而，部分教育机构对这些法规的理解和执行存在不足，面临较大的合规风险。

图：中华人民共和国数据安全法 

图：中华人民共和国个人信息保护法

许多教育机构在技术防护措施上，大多依赖原有的网络安全设备，如文档加密、数据库加密、数据防泄漏和数据库审计等手段。但在数据流转、交换、存储等环节，缺乏专用的数据安全手段，尚未形成体系化、层次化的数据安全防护能力，难以抵御不断涌现的新型安全威胁。

（四）数据安全意识薄弱

高校内部可接触敏感数据的人员类型复杂，包括学校内部人员和外部供应商人员等。这些人员对数据安全法律法规的理解和风险意识参差不齐，存在随意访问、私发敏感数据的情况，导致数据外泄风险难以控制。

（五）内部防护和外部控制缺陷

教育系统内部普遍存在数据安全防护措施不健全的问题，如口令策略缺失、弱口令、暴力破解防范机制不足、访问控制机制缺陷、安全审计措施缺失等。这些问题增加了数据泄露、被篡改或滥用的风险。同时，在应对外部攻击时，缺乏有效的监测和防御手段。

（六）数据资产管理困难

教育数据资产具有量级巨大、类型多样的特点，其识别、分类分级、保护与全生命周期管理面临诸多难题。如何确保数据在整个生命周期中的机密性、完整性和可用性，是当前教育机构面临的一大挑战。

严格遵循《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规，以及《网络安全标准实践指南 —— 网络数据安全风险评估实施指引》等标准规范，开展数据安全建设工作。确保教育机构的数据处理活动合法合规，满足监管要求。

图：网络数据安全风险评估内容框架

（二）构建体系化防护

从数据安全管理、数据处理活动、数据安全技术等多个方面入手，构建全面、系统的数据安全防护体系。整合现有的安全技术和措施，形成层次分明、协同工作的防护架构，提高整体防护能力。

加强对教育机构内部人员和外部供应商人员的数据安全培训，提高其对数据安全法律法规的认识和风险意识。规范人员的数据操作行为，减少因人为因素导致的数据安全风险。

（四）全生命周期管理

对教育数据资产进行全生命周期管理，从数据的采集、传输、存储、使用、共享到销毁，每个环节都制定相应的安全策略和措施。确保数据在整个生命周期内的安全可控。

图：数据全生命周期管理

（五）持续监测与改进

建立数据安全监测机制，实时监控数据安全状况。定期进行数据安全评估和审计，及时发现安全漏洞和问题，并采取相应的改进措施，不断完善数据安全防护体系。

建立数据安全责任体系

高层管理责任：学校高层（如CIO等）对数据安全负最终责任，负责制定数据安全战略，确保数据安全管理资源的投入，批准数据安全政策，并监督数据安全管理体系的运行效果。

数据安全管理团队责任：设立专门的数据安全管理团队，负责数据安全体系的建设和维护。包括制定数据安全管理制度、流程和技术规范；组织数据安全风险评估；监督数据安全措施的执行情况；协调各部门在数据安全方面的工作。

图：数据权责UCD矩阵

业务部门责任：各业务部门负责人是本部门数据安全的第一责任人。负责落实数据安全管理团队制定的政策和流程，对本部门数据的收集、存储、使用、共享等环节进行安全管理；对本部门员工进行数据安全意识培训；及时报告数据安全事件。

技术部门责任：负责提供数据安全技术支持，包括数据安全技术工具的选型、部署和维护；保障数据存储和传输环境的安全；协助数据安全管理团队进行数据安全技术措施的实施；参与数据安全事件的技术调查和应急响应。

普通教职工责任：所有教职工都应遵守数据安全政策和流程，对接触到的数据负有保密和保护的责任。在日常工作中，不得违规操作数据，如未经授权访问、修改、删除或共享数据；发现数据安全问题或隐患应及时上报。

（2）责任落实与考核

制定明确的责任落实机制，将数据安全责任纳入各部门和个人的绩效考核体系。例如，将数据安全事件的发生率、数据安全措施的执行情况等作为考核指标。

定期对各部门和教职工的数据安全责任履行情况进行检查和评估，对表现优秀的部门和个人给予奖励，对违反数据安全责任的行为进行严肃处理。责任落实到人：将数据安全责任具体落实到部门、角色及个人，明确每个岗位和人员在数据处理过程中的安全职责和操作规范。对违反数据安全规定的人员，严格追究相应责任。

监督与考核：建立数据安全责任监督和考核机制，定期对各责任主体和人员的数据安全工作进行检查和评估。将考核结果与绩效挂钩，激励各方面积极履行数据安全责任。

数据安全分类分级梳理

图：数据认责及分类分级过程

对学校内部所有数据进行全面梳理，包括结构化数据（如数据库中的用户信息、财务数据等）、半结构化数据（如XML文件）和非结构化数据（如文档、图片、视频等）。梳理过程中明确数据的来源、存储位置、数据格式、数据的业务用途等信息。

可以通过数据发现工具扫描学校的信息系统和存储设备，自动发现数据资产，并结合人工调查的方式，确保数据梳理的全面性和准确性。

根据数据的业务属性、数据的来源、数据的用途等因素对数据进行分类。例如，按业务领域分类，可以分为财务数据、教职工数据、学生数据等；按数据的来源分类，可以分为内部生成数据、外部采集数据等；按数据的用途分类，可以分为生产数据、测试数据、备份数据等。

结合《中华人民共和国教育行业标准-教育数据分类分级指南》，根据学校数据的重要性和敏感程度对数据进行分级。

分类分级标准：参考《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》以及《中华人民共和国教育行业标准-教育数据分类分级指南》等行业标准，结合学校的实际情况，制定数据分类分级标准，按照机构、人员、业务维度，采用以线分类法为主、面分类法为辅的混合分类法将数据分类，综合考虑数据发生泄露、篡改、丢失或滥用后的影响对象、影响程度、影响范围，将数据划分为不同级别，如核心数据、重要数据和一般数据。

数据梳理与定级：对学校内部的数据进行全面梳理，依据分类分级标准，对每一项数据进行准确分类和定级。例如，学生的高考成绩、录取信息等可定为核心数据；教职工的工资信息、普通教学资料等可定为重要数据；一般性的校园活动通知等可定为一般数据。

管控策略制定：针对不同级别的数据，制定相应的管控策略。对核心数据实施最严格的保护措施，如加强访问控制、加密存储、定期备份等；对重要数据采取较高等级的防护措施；对一般数据则采取基本的安全防护措施。同时，根据数据级别的变化，及时调整管控策略。

图：敏感数据识别及统计分析

（1）内置敏感数据识别工具

内置适合学校需求的敏感数据识别工具，基于数据内容分析、数据模式匹配、机器学习等技术来识别敏感数据，例如，通过正则表达式匹配身份证号码、银行卡号等常见的敏感数据格式；利用机器学习算法对文本内容进行分析，识别出可能包含个人隐私信息的内容。

根据学校的数据分类定级标准和敏感数据的定义，内置敏感数据识别工具的规则，规则涵盖各种类型的敏感数据，如个人身份信息、财务信息、科研信息等。

例如，对于个人身份信息，可以配置规则识别身份证号码、护照号码、手机号码等；对于财务信息，可以配置规则识别银行账户信息、交易记录等。

将敏感数据识别工具部署到学校的数据存储和处理环境中，定期对数据进行扫描和识别。识别工具可以设置为自动扫描模式，按照预设的时间间隔（如每天、每周）对指定的数据源进行扫描。

对于新生成的数据或新接入的数据源，应及时启动敏感数据识别工具进行扫描，确保及时发现其中的敏感数据。

（4）结果处理与反馈

敏感数据识别工具扫描完成后，会生成识别结果报告。数据安全管理团队应对识别结果进行分析和验证，确认识别的准确性。

对于识别出的敏感数据，应采取相应的安全措施，如进行分类定级、实施保护措施等。同时，将识别结果反馈给数据的业务部门，提醒其对敏感数据进行重点关注和管理。

图：敏感数据动态保护

根据数据的分类定级和业务需求，制定动态的访问控制策略。对于不同级别的敏感数据，设置不同的访问权限。

访问控制策略应支持基于角色的访问控制、基于属性的访问控制等多种方式。根据用户的角色、职责、所属部门等属性，动态授予或限制其对敏感数据的访问权限。

（2）数据脱敏与匿名化

对于需要在非生产环境中使用或对外共享的敏感数据，进行脱敏或匿名化处理。

同时对数据进行匿名化处理，使其无法识别出数据主体的身份。

建立敏感数据的动态监控机制，实时监控对敏感数据的访问和操作行为。通过内置的数据安全监控工具，对数据的访问请求、访问时间、访问频率、数据的读取和修改操作等进行实时监控。

当发现异常访问行为（如频繁访问敏感数据、未经授权的批量下载等）时，监控系统应及时发出警报，并记录详细的访问日志，以便后续进行调查和处理。

对敏感数据的使用过程进行审计，记录数据的使用情况，包括数据的访问时间、访问用户、访问目的、数据的使用方式等信息。审计日志应详细、准确，并且能够进行追溯。

定期对审计日志进行分析，检查是否存在违规使用敏感数据的行为。对于发现的违规行为，应及时采取措施进行处理，并对相关责任人进行追究。

敏感数据加密存储及访问

图：敏感数据加密存储及访问

根据数据的分类定级和业务需求，制定加密策略。对于高敏感性数据（如一级和二级数据），应优先采用加密措施。例如，涉及个人隐私信息（如身份证号、银行卡号）和学校核心机密数据（如专利技术文档）必须进行加密存储和传输。

确定加密的范围，包括数据存储加密（如数据库加密、文件加密）和数据传输加密（如网络通信加密）。对于存储加密，可以选择对整个存储设备加密（如磁盘加密），也可以对特定的数据文件或数据库表加密；对于传输加密，应确保数据在网络传输过程中不被窃取或篡改。

存储加密技术：选择适合学校数据存储环境的加密技术。

传输加密技术：采用SSL/TLS协议对网络通信进行加密，确保数据在传输过程中不被窃取或篡改。对于内部网络通信，可以使用VPN技术建立加密通道；对于对外的Web应用，必须使用HTTPS协议进行数据传输加密。

建立密钥管理系统，负责密钥的生成、分发、存储、更新和销毁。密钥管理是加密安全的核心环节，必须确保密钥的安全性。

密钥应存储在安全的硬件设备中，并采用多因素认证方式对密钥访问进行严格控制。密钥的更新和销毁应有严格的流程和记录，避免密钥泄露导致数据被破解。

（4）加密实施与验证

在数据存储和传输环节实施加密措施。对于新存储的数据，直接按照加密策略进行加密存储；对于已存储的敏感数据，应逐步进行加密改造。在数据传输过程中，确保所有敏感数据都通过加密通道传输。

定期对加密措施的有效性进行验证，检查加密算法是否被破解、密钥是否泄露、加密配置是否正确等。通过模拟攻击测试（如渗透测试）验证加密措施的安全性。

数据水印防止资源盗用

（1）数据水印技术选型

选择适合学校数据特点的数据水印技术，数字水印适用于图片、音频、视频等多媒体数据，通过在数据中嵌入不可见的水印信息，用于追踪数据的来源和使用情况；文本水印适用于文档、报表等文本数据，通过在文本中嵌入显式的水印文字（如用户信息、时间戳等），防止数据被未经授权的复制和传播。

（2）水印嵌入与提取

在数据生成、分发或使用过程中嵌入水印。对于数字水印，可以在多媒体数据的编码阶段嵌入水印，确保水印与数据紧密结合，难以被移除；对于文本水印，可以在文档生成或打印时动态嵌入水印。

建立水印提取机制，用于检测数据是否被非法使用或传播。通过水印提取工具，可以快速定位数据的来源，为数据盗用行为提供证据。

（3）应用场景与效果评估

在数据共享、分发和对外提供服务的场景中广泛应用数据水印技术。

定期评估数据水印技术的应用效果，检查水印是否被成功嵌入、是否影响数据的正常使用、是否能够有效追踪数据的传播路径等，根据评估结果，优化水印技术的参数和应用场景。

数据安全预警数据早防早控

支持覆盖数据采集、传输、存储、使用、共享全生命周期，全流程嵌入数据异常访问预警、超限使用预警、异常行为预警等，形成完整安全闭环，保障数据安全流转与价值发挥。

（1）数据安全监测体系建设

建立全面的数据安全监测体系，涵盖数据的存储、访问、传输、使用等各个环节。通过数据安全监测工具（如数据防泄漏系统、网络流量监测系统、终端安全管理系统等），实时收集数据安全相关的日志和事件信息。

监测体系应具备以下功能：实时监控数据的访问行为，检测异常访问模式（如频繁访问敏感数据、非授权访问等）；监控数据的传输路径，检测数据是否被非法外传；监控终端设备上的数据操作行为，防止数据被非法复制或泄露。

根据数据安全风险评估结果，制定数据安全预警规则。预警规则应基于数据的分类定级、访问行为特征、数据传输异常等因素。例如，对于一级数据（极高敏感性），任何未经授权的访问尝试都应触发预警；对于数据传输行为，如果检测到大量敏感数据被传输到企业外部网络，应立即发出预警。

预警规则应支持动态调整，根据企业业务的变化和数据安全威胁的演变，及时更新预警规则。

建立快速的预警响应机制，确保在数据安全事件发生初期能够及时采取措施。当监测系统触发预警时，应立即通知数据安全管理团队和相关业务部门。

数据安全管理团队应迅速对预警事件进行分析和调查，判断事件的严重性和影响范围。对于确认的数据安全事件，应立即启动应急响应流程，采取措施阻止数据泄露或进一步的损害。

建立预警事件的记录和分析机制，对每次预警事件的处理过程和结果进行详细记录，定期对预警事件进行分析总结，优化预警规则和响应流程。

上海启疆信息科技有限公司（简称：启疆科技）立足上海，服务全国高校，专注教育数据与信息安全主航道，在数据治理、数据安全、信息安全服务等领域为客户提供有竞争力、可信赖的产品、解决方案与服务。

上海启疆信息科技有限公司

上海市闵行区顾戴路3009号祥鹿大厦303室

www.qijiangtech.com