風險性質之改變
風險性質之改變
以前用 AI 做出來的是靜態網頁，用完不留資料，最糟就是這個工具不好用。接了資料庫之後性質變了：你在持續蒐集特殊教育學生的學習歷程資料。
特教場域還有一個普通教育沒有的問題：間接識別。就算資料表裡一個名字都沒有，只要這個系統是給資源班或巡迴輔導用的，「這筆資料存在」這件事本身，就洩漏了這個學生的障礙身分。這一點事後補不回來，設計的時候就要處理。
蒐集限制
共七項。七項沒辦法全部做到，就不要建資料庫，做靜態版本一樣能用。
蒐集限制
共七項。七項沒辦法全部做到，就不要建資料庫，做靜態版本一樣能用。
個人資料的四種風險來源
以文字檢視本圖
- 特種個人資料 例：障礙類別、鑑定結果、心評報告、就醫紀錄。適用比一般個資嚴格得多的規定
- 準識別符 例：借用擴視機、電動輪椅加人工電子耳。樣本小時，代號等於沒有用
- 資料集存在本身 例：一份巡迴輔導服務紀錄。即使全是代號，存在本身就揭露身分
- 夾帶第三人 例：行為紀錄寫到其他學生、照片裡的同學。未取得該生家長同意
不得逾越之限制
- 僅儲存隨機碼或代號。姓名、學號、身分證統一編號一律不得進入系統，對照表以紙本形式留存於學校端。
- 不得儲存障礙類別、鑑定文號與班級型態。欄位名稱中亦不得出現「資源班」「特教班」等字樣。
- 狀態欄位採中性代碼。儲存
audio而非「需要報讀」，儲存selected而非「無法書寫」。 - 跨校部署時各校建置獨立專案。不得共用單一資料庫，避免跨校比對後產生可識別性。
- 保留期限於建置時訂定，載明於系統說明，屆期刪除。
- 蒐集前依學校既有之個人資料告知同意程序辦理。不因屬內部工具而免除。
- 先確認縣市教育主管機關的資通安全規範。資料庫服務在境外，跨境傳輸不是建置的人可以自己決定的。
研習現場一律用虛擬資料。不要因為「只是測試」就把真實資料放進測試環境。測試環境裡存的一樣是個人資料。
存取權限驗證
第一天下午每個人都要做一次，三十秒。
存取權限驗證
第一天下午每個人都要做一次，三十秒。
資料表存取權限，設定前後的差別
以文字檢視本圖
- 未設定 未登入的任何人取得網址即可讀取整張資料表，後果不可回復
- 已設定列層級安全性 未登入者讀不到任何資料，須登入且具權限方能讀取
驗證方式：開啟無痕視窗，於未登入狀態下輸入系統網址，檢視能否載入資料。
資料表沒設列層級安全性（Row Level Security）的話，任何人只要拿到網址，就能讀到整張表。這是這類專案最常出、後果也最嚴重的疏漏，而且 AI 生出來的程式碼不一定會幫你設。
- 開一個無痕視窗或換一個瀏覽器。重點是完全沒登入的狀態。
- 貼上你的系統網址看列表頁載不載得出資料。載得出來，就是設錯了。
- 再狠一點：直接開資料表的端點網址問系統要這個專案的資料表 API 端點，把那個網址貼進無痕視窗。如果回你一整包 JSON，表示權限全開。
- 改完再驗一次照抄這句：「請為所有資料表開啟列層級安全性，未登入使用者不得讀取或寫入任何資料，並說明驗證方式。」改完自己再測一次，不要它說改好了就算數。
這一項要排在無障礙檢核前面做。無障礙沒做好，是用起來不方便；權限沒設好，後果救不回來。
欄位設計
原則：用最少的欄位，回答你想問的問題。
欄位設計
原則：用最少的欄位，回答你想問的問題。
先寫下你想回答的問題，再回推需要哪些欄位。反過來做，蒐集範圍一定愈開愈大。
| 欄位 | 內容 | 所回答之問題 |
|---|---|---|
session_id | 隨機碼，每次開啟時生成 | 不綁定身分仍可觀察使用行為 |
unit_code | 單元代碼 | 跨班跨校比較之對應鍵 |
path_chosen | text／audio／diagram | 各取用路徑之實際使用比例 |
path_switch_count | 切換次數 | 切換頻繁者，反映既有設計存在障礙 |
response_mode | typed／selected／spoken | 多元作答方式之實際採用情形 |
task_id correct time_on_task | 題目、答對與否、作答時間 | 取用路徑與作答表現之關聯 |
上面這些欄位沒有姓名、學號、障礙類別、班級型態，但已經夠回答輔導團實務上要答的問題：語音路徑多少人用、用的人答對率差多少、哪些單元的路徑切換特別頻繁。
這些問題實際畫出來長什麼樣，見資料儀表板（示範）。那一頁也示範了圖表的替代文字和資料表怎麼做。
要走行政程序確認的事
三項，都不是技術能解決的。
要走行政程序確認的事
三項，都不是技術能解決的。
- 錢誰出、帳號掛誰。免費方案的儲存容量和專案數都有上限，一校一專案很快就會撞到。
- 誰維護。你調動之後，這個系統接下來誰顧。帳號綁在個人身上的，人一走就斷。
- 跨境傳輸的資安規範。要問縣市教育主管機關，不要自己認定。