洞见丨网课爆破之后，教育隐私安全何解？

　　当前，教育行业已经成为网络安全的重灾区之一。全球知名的网络安全技术公司Check Point发布的安全报告显示，2022年7月，全球范围的教育机构平均每周每家会被攻击2000次。这个数字是其他行业均值的2倍多，相比2021年也略有增长。除了对机构的攻击，对于教师、学生、家长等用户的攻击也非常多，最典型的是通过骗取用户信任，在手机上安装相应软件获取移动设备的访问权限。鉴于网络安全形势越来越严重，加州大学伯克利分校专门发布了针对教师的网络安全指南，给出了五种常见的安全风险： 钓鱼攻击、分布式拒绝服务攻击、数据外泄、网络勒索和物联网攻击。  面对日益严峻的网络安全环境，教育行业该如何应对？近日， 北京邮电大学教育技术研究所副所长、教育部教育信息化技术标准委员会副秘书长李青教授， 在＂第三届元宇宙教育前沿峰会＂上，以《元宇宙教育应用中的数据隐私保护》为主题，系统分析了当前网络环境的现状，并对元宇宙时代下的教育隐私安全提出建设性对策。
　　（以下根据嘉宾演讲实录编辑整理，全文有删减）
　　2022年9月的网课＂爆破＂事件是2022年国内教育领域最广为人知的网络安全事件，在全社会造成了非常恶劣的影响。2022年11月份，中央网信办印发了《关于切实加强网络暴力治理的通知》，要求加大网暴治理的力度，建立健全网暴预警风险机制。2023年1月，教育部颁布了《直播类在线教学平台安全保障要求》行业标准，规定了直播类在线教学平台的安全合规要求、安全功能要求及数据安全要求。国家智慧教育平台组织的2023年＂寒假教师研修＂活动中为教师安排了＂教师直播教学安全培训＂课程，聚焦直播在线教学的安全问题，以及网络暴力等行为的心理调适等。
　　教育领域网络环境现状
　　目前，社会各行业领域当中，对于学生尤其是儿童的隐私保护的任务非常艰巨。 美国公益组织Common Sense制定了一套非常严格的隐私保护标准，据该组织2021年的测评结果，只有26%的产品达到了＂通过＂水平，符合对用户、特别是儿童用户的最低保障，其余74%产品都未达到合格水平。而2018年同样的测评标准只有10%的应用能通过。软件供应商在儿童APP中采取了很多不良做法，包括向儿童发送第三方的销售信息，针对儿童提供定制广告，而且售卖儿童的数据，进一步降低了社会对儿童APP和教育APP的信任程度。
　　国内，教育APP中的安全问题也得到了政府的重视。2021年北京市教委、北京市委网信办、公安局三部门联合发布通知，要求对教育APP中违规收集个人信息及安全漏洞的两大问题进行整改。
　　在国家标准方面，全国信息安全标准化技术委员会（TC260）发布了信息安全相关的国家标准共451项。国际标准化组织ISO也在安全和隐私保护领域积极开展了相关标准研制工作。
　　对应到工业或细分行业层次，已经有一些事实标准或工业标准在应用，如美国1EDTech（原IMS）发布了《数据隐私保护》标准，帮助软件供应商和学校用较为公允的方式审查应用程序当中的隐私保护情况。对于通过标准的符合性认证的软件，教育机构在采购和使用时就不用再重复审查。
　　IMS《数据隐私保护》标准中规定了评价隐私保护水平的量规，分为四大方面：数据收集、数据安全、数据共享 和广告。 对于各个方面都有一些达标或部分达标、完全达标的层级指标。
　　与IMS数据保护类似的是前面提到的Common sense的隐私评级，它主要针对未成年人，这个隐私评级标准的依据是现行的各种法律法规制度。Common sense作为一个第三方中立机构，在美国面向未成年人各种的电影、APP、节目的评级方面有较大的话语权。在这个隐私评级标准中给出了五大类评价指标，分别是数据收集、数据共享、数据安全、数据权利、个人控制。
　　元宇宙时代下的教育隐私安全
　　当前，元宇宙现在正不断普及，其广泛应用也带来了人们对于安全和隐私的忧虑。 2021年12月大型跨国虚拟专网服务商NordVPN针对元宇宙的一项调查显示：66%的调查对象认可元宇宙可以取代目前所知和所用的社交媒体，87%的人表达了对于元宇宙隐私的重大关切，47%的人不相信在元宇宙当中他的身份会受法律保护，45%的人担心个人数据会被这些厂商收集并用来针对他们。此外，元宇宙中不能识别别人的身份，担心自己在元宇宙中的身份被泄露，存在交易安全问题也是常见的忧虑。
　　元宇宙的内生特性决定了它是数据极大丰富的应用形态， 存在极大的隐私风险。首先，元宇宙中会使用特制的头盔和手套捕捉一些信息，包括微表情、眼球动作、脑电信息等。这些信息收集频次高，实时性也高。第二，元宇宙功能实现和用户体验需要这些数据能得到充分使用，它会主动收集个人数据，比如采集用户在挑选商品时眼球、面部表情的变化。第三，大型元宇宙平台可能会横跨多个领域，把各种数据拼接，获得更加立体深刻的用户画像，我们的行为和偏好都逃不过它的观察。
　　所以，元宇宙中用户面临的风险比原来更多。 在Web1.0时代，我们只在网站上留下相应的信息。到了移动互联网时代，会有更多信息，如位置信息、支付数据会被捕捉到。而到了元宇宙时代，我们的生理反应都会被以秒或毫秒的单位采集。
　　另外，元宇宙中，可能造成数据泄露的风险点也非常多。美德合作的一项研究通过测量了30个被试的数据使用情况，发现了超过25个潜在的个人数据泄露风险点，比如地理、空间数据、设备规格、网络数据、行为观察数据、认知敏锐度的数据。这是手机APP不能获得的，所以元宇宙会造成更多更大的新的泄露可能。
　　2022年，Common Sense评估VR/AR/XR应用中的风险点。该机构收集了市场上流行的7款头盔，从六个方面进行了评估。在所有测试硬件中，微软的Hololens表现最好，但仍处于被警告的水平；最差的是Pimax，它的隐私风险最严高，Common Sense在所有的六个方面都公布了相应评估结果。
　　另一问题是元宇宙中的用户很难匿名化。 在互联网应用中，有时我们直接把名字删掉作脱敏处理，这样数据就可以匿名化。但是元宇宙中，系统采集了包含生物特征在内的丰富数据，即使是把名字删掉也很难匿名化。因为很多数据都可以组合起来定义身份。比如，有研究表明仅从跟别人说话时如何移动头部和双手就可以区分出不同用户，和他人互动的方式也可以揭示出他的身份。另一项研究表明，如果这个设备允许共享数据，即便把他的个人的身份信息删除，也可以识别出这个人究竟是谁。
　　更严重的问题是，元宇宙中若发生侵权行为，责任主体很难划分。 追责的前提是需要准确定位到责任主体。GDPR中规定了两类数据控制者，第一类是唯一数据控制者，第二类是联合数据控制者。由于元宇宙是一个非常庞大复杂的网络环境，很难定位应该由谁承担保护用户的责任。
　　教育信息化企业应对措施
　　那么，作为教育信息化的企业和教育机构应该如何应对元宇宙时代的安全和隐私保护问题？从企业的角度，我们应该为产品定制合理的隐私政策。
　　首先隐私政策应该是清晰的、容易被理解的。元宇宙平台参与方成分复杂，平台上所有参与者都应遵守隐私政策协议。甚至隐私政策应具体到说明收集多少和多长时间的数据，包括但不限于传感器数据、位置数据、生理数据、业务数据和社交数据等等。不同的元宇宙数据收集需求和业务有很大差异，所以这个隐私政策必须定制。
　　这里有一个eduverse隐私数据范例可以供大家参考。它将数据收集分成了三部分：一是直接从用户那里收集；二是通过用户在平台上活动时收集；三是从第三方获得的数据。
　　其次，教育信息化企业要合理地遵循现有的数据隐私法规。 元宇宙的实现可能跨平台、跨不同地域，这就涉及到司法管辖权的问题。平台各相关方应遵循最严格的法规交集。当然这样成本会非常高，或由于各种客观条件的限制不能完全做到。但相关主体应该尽量做到，否则未来出现法律问题造成的损失会更大。
　　最后，加强用户对用户的隐私保护。 现实生活中，我们有时会发现监控设备安装不合理的情况或违法使用的情况。在虚拟世界中，这种可能得侵权变得更加容易。比如说将元宇宙中的活动录屏，你根本不知道别人正在通过非正常途径去记录你的活动，共享你的数据。这类不当行为是很难被察觉的，即便被察觉也很难处罚。教育元宇宙的参与者大部分是未成年人，所以必须设置严格的检查机制，防止用户交流出现不符合法律和道德规范的情况。元宇宙平台的运营者都应该明确告知用户，未经授权的收集和共享数据是不被允许的，会受到惩罚。另外，元宇宙中的人工智能应用应该是透明的，平台应该明示用户正在和人工智能交流，以避免对用户造成潜在的危害，和伦理困境。
　　教育机构应用元宇宙时该如何应对
　　作为教育机构，首先我们要检查虚拟现实或增强现实的设备的数据采集， 特别是应用新设备时要检查其中搭载了哪些传感器，会收集哪些数据。第二是评估设备和平台的隐私条款，包括可能会牵扯到学生的第三方应用，在第三方应用会不会造成数据泄露的风险。第三是注意评估隐私数据泄露的风险。 元宇宙是一个庞大的生态环境，很多人会开发相关的应用，需要去评估这些软件或开发人员是不是会收集潜在的敏感信息和个人身份信息。
　　第四，需要考虑到在使用元宇宙时可能会造成＂附带伤害＂， 比如用户戴了头盔后在房间内碰撞到其他东西，造成身体上的伤害；或者长时间佩戴头盔造成头疼、眼睛疼、感知错乱、恶心等不适现象。第五，对于学校来说，学生之间共享公用设备也有可能造成流感、皮肤病等卫生问题。学校应做好相应宣传和教育工作， 有针对性地制定安全规定，并告知学生及监护人使用元宇宙可能的存在的风险。
　　此外还有其他的安全措施。 比如应选择专门的、可信的教育元宇宙服务商；尽可能使用离线模式；要关注相关软件评级；未成年人用户应在成年人监督情况下使用；应制定合理的设备管理和更新策略。