学生信息泄露事故，最初的一个小时决定一切

平时觉得绝不会发生的事，某一天会突然发生。因为AI学习平台的一个设置失误，一个班学生的答案和姓名被暴露到了外部，而这件事还是通过家长的一通电话才知道的。这时才手忙脚乱地联系负责的厂商，可赶上周末没人回应，时间越往后拖，暴露的范围就越大。事故发生时把损害放大的，不是事故本身，而是慌乱之中白白流走的最初一个小时。事先画好的应对预案有还是没有，会分出完全不同的结果。

事故会以什么样子到来

信息泄露并不只有那种大张旗鼓的黑客攻击。要先了解常见的形态，才能提前防备。

• 设置失误：把共享链接的权限留在了“完全公开”的情况。
• 账号盗用：老师账号的密码外泄的情况。
• 错误输入：把敏感信息整份输入给外部AI的情况。
• 厂商事故：在所使用的服务公司自身发生泄露的情况。

“我们很安全”这种信念最危险。事故总是从预料之外的小缝隙开始。

首次应对流程

发现后立即按以下顺序行动。事先把顺序背下来是关键。如果到了事故当天才开始琢磨先做什么，那就已经晚了。

1. 切断：立即封堵被暴露的链接与账号，止住进一步泄露。
2. 上报：立即告知管理者和AI委员会，必要时告知韩国地方教育厅。
3. 记录：按时间顺序写下何时、什么内容、向谁暴露了。
4. 通知：向受影响的学生与监护人如实告知事实和所采取的措施。
5. 防止再发：分析原因并完善指南。

事故应对中最糟糕的选择就是“悄悄捂住”。隐瞒会把小事故养成大不信任。

从法律上讲，达到一定规模以上的个人信息泄露也有义务毫不迟延地通知信息主体并向相关机构申报，因此不隐瞒、如实告知是原则。平时就把这五个步骤和负责人联系方式写在一张纸上贴在教师办公室，真到事故发生时才能不慌乱地行动起来。

要点总结

事故应对的成败取决于平时的准备。第一，事先掌握设置失误、账号盗用、错误输入、厂商事故等泄露的形态。第二，把切断、上报、记录、通知、防止再发这五个步骤背下来。第三，把迅速而坦诚的通知而非隐瞒立为原则。有准备的学校即便经历事故也能守住信任，没有准备的学校则连一个小失误都会让它动摇。希望您就在今天，把我们学校的一小时应对预案写成一张纸留存下来。如果可以，在学期初做一次模拟演练也很好。仅仅用5分钟检查一下“如果现在发现了泄露，谁先做什么”，实际情况下的应对速度就会大不一样。有准备的一个小时，能把学生的信息和学校的信任一同守住。