在线教育等保定级要点：直播、题库与教务系统
在线教育机构做等级保护，流程与其他行业一致——定级、备案、建设整改、等级测评、监督检查。但落到“定几级”这一步，行业有三个特点会让判断复杂：学员规模动辄数万到数百万，未成年人占比高；直播课与选课季的并发峰值远高于日常，中断代价被放大；系统大量部署在公有云，平台与机构自身的责任边界容易混淆。这决定了它不能套用某个通用结论，而要按系统逐个判断。
一、先把系统切开：六类常见定级对象
定级对象应当是边界清晰、具备独立业务功能、由明确责任主体运营使用的信息系统。在线教育机构常见的问题是“平台”这个词太大——业务方口中的一套平台，技术侧往往是好几个可独立定级的对象。按业务属性大致切成六类：
- 直播与点播教学系统：推流转码、课程调度、课堂互动与回放，决定教学能否开展。
- 学员服务端：官网、App、小程序、学习后台，个人信息采集最密集的入口。
- 题库与作业测评系统：题目资源、组卷、批改与学情记录。
- 教务与教研内部系统：排课、教研资源库、教师与课酬管理，通常不对公众开放。
- 交易与结算链路：下单、支付、退费、发票与优惠券，涉及资金完整性。
- 数据类底座：用户画像、学习行为分析、报表与数仓，最易被遗漏。
切开后形成一张清单，写清责任人、部署位置、数据类别与外部接口。这张表在备案、整改、测评三个阶段都要用，值得一次做细。
二、典型系统的等级建议与理由
等级由两个要素共同决定：系统遭到破坏后侵害的客体，以及侵害的程度。客体分公民与法人合法权益、社会秩序与公共利益、国家安全三类；程度分一般、严重、特别严重三档。把这两把尺子放到具体系统上，可得出大致区间：
- 直播教学与课程调度系统：中断直接影响教学秩序，面向不特定学员群体，按三级考虑较常见。
- 学员服务端：个人信息采集最集中，且涉及未成年人，泄露影响面广，普遍按三级管理。
- 题库与作业测评系统：核心是教学资源与学情数据，多数按二级管理；若与直播教学共用底座，建议并入上一级统一考虑。
- 教务教研内部系统：不对外提供服务，影响范围限于机构内部，通常定二级。
- 交易与结算链路：涉及资金完整性与支付信息，多数定二级；若支撑大规模公众交易，需与教学平台一并评估。
- 数据底座与学习行为分析：承载上游数据汇聚，等级一般不低于其汇聚的最高级别系统。
以上属于常见做法而非统一口径，最终以属地公安机关网安部门的审核意见为准。
三、影响定级的三个变量
同样是教学系统，不同机构定出的等级可能不同，主要看三个变量：
- 用户规模与构成：注册学员量级、是否以未成年人为主、是否跨省提供服务。规模越大、未成年人占比越高，侵害程度判定通常越重。
- 业务不可中断的程度：有无排课强约束、是否在固定时段集中开课、中断后能否快速恢复。连续性要求高，判定往往偏上。
- 数据的类型与集中度：是否采集敏感个人信息、生物识别信息，是否跨系统汇聚形成画像，是否向第三方提供或委托处理。数据越集中，等级越高。
定级前把这三个变量逐项梳理，再对照等级矩阵推导结论，过程会清晰很多，也更容易在专家评审中说清理由。
四、在线教育行业要额外衔接的合规要求
除等级保护外，教育类线上业务还有几条并行要求，在定级阶段一并考虑，可避免后续重复整改：
- 教育移动应用备案。《教育部等八部门关于引导规范教育移动互联网应用有序健康发展的意见》明确，提供者应在取得 ICP 备案（涉及经营电信业务的还需申请电信业务经营许可）、网络安全等级保护定级备案的证明和等级测评报告后，向住所地省级教育行政部门备案。《教育移动互联网应用程序备案管理办法》（教技厅〔2019〕3 号）进一步规定提供者备案与使用者备案两类，明确“一省备案，全国有效”，材料齐全的应在受理后 10 个工作日内完成备案并编号。等保定级备案是教育业务备案的前置材料之一。
- 未成年人个人信息保护。《儿童个人信息网络保护规定》（国家互联网信息办公室令第 4 号，2019 年 10 月 1 日施行）适用于不满十四周岁未成年人的个人信息，要求设置专门的保护规则与用户协议、指定专人负责、显著告知并征得监护人同意、提供拒绝选项、加密存储且不超过必要期限，发生泄露时启动应急预案并报告。《个人信息保护法》同样将此类信息列为敏感个人信息。
- 校外线上培训相关要求。面向中小学生开展学科类线上培训的，还涉及培训内容、时长、人员资格与预收费管理等方面的规定，信息安全是排查重点之一。
这几项与等保整改内容高度重叠，建议在同一轮整改中统筹安排，避免分头推进造成返工。
五、常见误区与周期、费用区间
- 把整个“平台”当作一个定级对象，导致等级整体偏高或偏低。正解是先切系统，再逐个定级。
- 只给面向学员的 App 定级，漏掉后台与数据底座。测评环节会按系统清单逐项核查。
- 认为定级报告写完就结束。按 GB/T 22240-2020 的流程，二级以上还需专家评审、主管部门审核、公安机关备案审查，任一环不通过都要重走。
- 认为系统上了云就不用管。云平台责任止于其自身控制的部分，租户侧的配置、账号与数据仍由机构负责。
周期上，从启动定级到完成首次测评通常需要数周到数月不等，主要取决于系统数量、整改工作量与测评机构排期；费用随系统数量、等级与地域差异较大，具体以属地要求为准。二级以上系统应当在安全保护等级确定后 30 日内，由运营、使用单位到所在地设区的市级以上公安机关办理备案手续。
如果您正在梳理系统清单或准备定级材料，可以先从等保定级的流程说明入手，配合备案材料清单逐项准备；整改阶段的控制点对照可参考等保整改，测评环节的分工与节奏见等级测评流程，预算测算口径见等保费用构成。