商丘某学校阅卷系统未开展风险监测和定期风险评估案

【案件背景】
2024年10月，河南省商丘市互联网信息办公室在日常网络和数据安全风险隐患排查中，发现属地某学校运营的智慧校园'阅卷系统'存在严重安全隐患。该系统存储了全校学生的姓名、学号、考试成绩、班级信息等大量个人信息，但学校未对该系统履行法定的数据安全保护义务。

【违法事实】
经网信办调查认定：一是未开展风险监测和定期风险评估——学校未对其数据处理活动开展风险监测，也未建立定期风险评估机制，违反了《数据安全法》第29条关于'数据处理者发现数据安全缺陷、漏洞等风险时应当立即采取补救措施'以及定期开展风险评估的规定；二是存在严重技术漏洞——阅卷系统存在XSS跨站脚本攻击漏洞和SQL注入漏洞，攻击者可利用这些漏洞窃取或篡改学生信息数据；三是未建立数据安全管理制度——学校未制定内部安全管理制度，未组织数据安全教育培训，未采取相应技术措施保障数据安全。

【处罚决定】
商丘市互联网信息办公室依据《数据安全法》第45条第一款规定，对该学校作出责令改正、给予警告的行政处罚。要求学校在规定期限内建立健全数据安全管理制度，委托专业机构对阅卷系统进行安全检测并修复漏洞，建立常态化的风险监测和定期风险评估机制。

【典型意义】
本案是教育行业数据安全风险评估执法的重要案例。一是明确教育机构作为数据处理者同样承担风险评估义务——学校不以营利为目的进行数据处理不构成豁免风险评估义务的法律理由；二是强调了对特殊群体（学生）个人信息的保护——学生数据涉及未成年人，其敏感性和保护要求更高，风险评估的制度化是保护学生隐私的重要基础；三是警示所有联网的信息系统（包括阅卷系统、教务系统等）都应纳入风险评估的覆盖范围，不能因'不是核心系统'或'内部使用'而降低安全要求。