有位校长看了四家系统，功能表拉出来几乎一样：排课、考勤、课消、家校、报表。最后按价格选了最便宜的那家。

用了半年，教务老师离职。三个月后他发现，那位老师还能登录，家长名单被导出去过一次。

功能表上看不出这件事。功能表只能回答「有没有」，回答不了「谁能拿走」。

10 月 22 日，某头部教育科技公司在北京的开发者节上给了一个算力分配比例：未来 60% 的应用在本地完成，30% 云端协同，10% 需要云端大模型。原话是「既要具备处理复杂任务的能力，也要守住数据边界、降低使用成本」。

60/30/10 这个比例可以直接当尺子用。不是量模型跑分，是量一套系统的数据出域程度。

下面五个问题，是功能演示永远不会主动讲的部分。每一问都给「销售会怎么说」和「你该追问什么」。

数据存在哪：这句话到底在问什么

销售最常说的是「我们用的是大厂云，很安全」。这句话答的不是这个问题。

云厂商安全，不等于你的数据安全。要问的是三件事：服务器在哪个区域、是不是独立数据库、能不能指定不出境。

更实际的一问：能不能本地部署或者私有化部署？如果全校 800 名学生的姓名、成绩、家庭情况都在别人的公有云上，你要接受一个前提——数据在别人的机房里。

这不是说公有云不能用。是说你得知道它在哪里，并且能对家长说清楚。家长问「我孩子的成绩存在哪」，答「在云上」和答「在本地服务器，只有校长和班主任能看」，是两种信任度。

问机房位置这件事，听着技术，其实很土。你就问一句：这台服务器在哪个城市？答不上来的，多半是转手再转手的资源。

谁能导出：一次能带走多少

这个问题最容易被忽略，因为演示的时候没人演示导出。

1000 名学生，15 个字段，导出来是一个 300KB 左右的表格。一条消息就发走了，没有任何痕迹。

要问的是：导出权限给了几个人？导出的表有没有水印、有没有操作日志？单次导出超过 200 条会不会触发提醒？

合格的答案通常是「只有校长和 1 名管理员能导，每次导出记日志，含操作人、时间、条数」。听到「都能导，很方便」，这句话本身就是答案。

还有一种更隐蔽的导出：截图。系统拦不住手机拍屏幕，所以真正的防线不是技术，是权限给得少。能看到全校 800 条的账号，这 800 条就能被拍 800 次。

离职员工账号第几天失效

这是五个问题里最容易被绕过的。系统有停用功能，但没人执行，等于没有。

要问的不是「能不能停用」，是「停用这件事谁做、几天内做、有没有提醒」。有的系统会在员工标记离职时自动锁定，有的只在合同到期时提醒，差别很大。

这张表建议直接写进离职交接单。人走了流程才启动，通常已经晚了一周。而家长名单被带走，往往就发生在这一周里。

备份多久一次：丢一天还是一周

「我们每天备份」这句话要追问三句：备份存在哪，能不能恢复，恢复要多久。

每天备一次，出事最多丢一天。1000 人的机构，一天大概 2000 条考勤、60 条课消。丢一天是 2000 条记录，丢一周是 14000 条，够教务老师手工补三天。

还有一个数要问：恢复要多久。有的系统备份能做，恢复要厂商排期，三天起步。三天不上课，家长电话就打爆了。

备份和恢复是两件事。只问备份频率，等于只问了一半。

还有个常见坑：备份文件和主库放在同一台机器上。机器一坏，两个一起没。要问的是异地还是同机。

这几项做到位，价格通常贵三成到五成。一套系统年费 8000 元和 12000 元的差别，往往就在私有化部署、导出日志、按班授权这三项上。省下的 4000 元，对应的是 800 个学生数据裸奔一年。这个换算，校长自己会做。

能不能只给老师看自己班

这一条决定的是「最小必要」能不能落地。老师只需要看自己那 40 个学生，不需要看全校 800 个。

托管机构更明显。条例要求每 20 名学生不低于 1 名工作人员，一个老师看 20 个孩子，系统里就该只给他这 20 个的权限。

要问的是：权限按角色分，还是能按班级分？一个老师带两个班，能不能只给这两个班？跨班查询要不要审批？

只有角色、没有班维度的系统，通常只有两种状态：要么人人能看全校，要么人人都要校长开权限。前者是风险，后者是负担。

五级分级：不是所有数据都要同一把锁

把字段按敏感度分级，比笼统说「数据安全」有用。分级之后，每级配不同的存储要求和查看范围，才落得下去。

这张表可以直接拿去问供应商：这五级你们支持几级？如果只有「管理员」和「普通用户」两档，L4 和 L5 的字段就必然被过度暴露。

顺带说一句家长端。家长能看到什么也要按级配：L3 的成绩可以给，L4 的家庭情况不该出现在家长端，L5 的照片要有授权范围和期限。

再对着 60/30/10 排一遍，哪些数据该留在本地就清楚了。

说一个最常见的反例：选型时只看功能演示，不问数据出域。

演示环境里一切都很顺。排课三分钟生成，考勤一键点名，报表一秒出来。这些都对，但这些是「有没有」的问题。

演示不会告诉你：演示账号是超级管理员，实际老师的界面可能完全不一样；演示数据是假的，真实数据存在哪个机房没人提。

更隐蔽的一点：很多机构在试用期就把真实学生数据导进去了。试用结束不续费，数据留在对方服务器上，你不知道它什么时候被删、有没有被删。

所以试用期只导 20 条假数据，姓名用「测试01」，手机号用 13800000000。等功能、权限、导出、恢复四项都验完，再导真的。

合同里至少写三条：数据所有权归机构；服务终止后 30 天内完成导出并删除；发生数据泄露的通知时限，比如 24 小时。这三条不写，出事只能协商。

五个问题也可以合并成一段话，直接发给销售：学生数据存在哪个区域，能不能私有化部署？谁能导出，有没有日志？离职账号几天内停用，谁负责？备份频率和恢复时长是多少？老师权限能不能按班分配？

这段话发过去，24 小时内逐条回得清楚的，可以往下谈；回一句「这些都支持的」，要小心。

还有一层：权限设计得再细，老师不用也没意义。见过一所机构，系统里每个老师都有账号，实际排课还在表格上，理由是「系统太慢」。数据在系统里是空的，权限再严也保护不了什么。

写在最后

选系统这件事，功能表迟早会同质化。排课、考勤、课消这些，做得好的和做得差的差距在体验，不在有无。

真正拉开差距的是边界：数据在哪、谁能拿、拿走后多久失效。

60/30/10 给我的启发不是技术，是顺序——先想清楚哪些数据不能出门，再想哪些功能该上云。

顺序反了，功能越多，风险越大。

关注「学邦技术」公众号，回复「手册」，即可领取本文对应的完整版管理资料（表格/制度/流程模板），持续获取教培运营干货。

点击公众号菜单「免费体验」，还可预约学邦教务教学管理系统演示——排课、考勤、课消、家校沟通、财务报表一站搞定，让教务老师从表格里解放出来。