云战略能够成功的前提是如何做到安全可控。

数据安全都是相对的，能够真正的理解风险并控制风险才是关键。

在采用云服务和解决方案之前，你需要从这五个方面的系统安全性问题考察你的供应商：

- 是否建立了数据安全管理体系，包括哪些方面？

- 在确保产品安全性方面采取了哪些措施，如何确保没有其他第三方接触到我的数据？

- 如何防范、监测并应对网络攻击？

- 获得了哪些数据安全相关的证书？

- 如何确保跨区域、跨国界的数据合规性？

今天的酒店业，正处于“云战略”转型的关键时期。这十年中，酒店行业已经接受了系统本地部署向云端部署的转变。关注的重点也已经不在于“云是否安全”，而是“怎么做才能确保云战略落地安全可靠”。云计算和大数据已不在新兴技术之列，而已进入到发展的快车道。
正如Gartner在2017年发布的《新兴技术成熟度曲线报告》所提出的：“Gloud is not a strategy, it is a tactic”。（云计算不是一种战略，而是一种战术。）

“云计算发展的十年， 也是从战略回归战术的十年。”
在这一过程中，无论是云服务提供商、类似石基这样的系统和软件服务商，还是用户，也都在改变思考问题的方式，聚焦于如何解决云计算时代的一系列数据问题。 
石基信息信息技术安全总监Aleksander  Ludynia 和石基信息DPO （数据保护执行官）Sylwia Zielińska分别从不同的角度阐述了酒店和酒店管理集团在落地云战略过程中应该考虑的数据隐私和数据安全方面的要点，也为大家在选择和评估系统服务供应商时提供一些参考。

01 云战略下企业的数据安全管理和策略

与传统的本地部署模式相比发生了怎样的变化？

云计算最早出现的时候，人们往往把它比作“银行”，把数据比作“钱”。人们把数据存在家里，还是银行里，数据安全治理的结构、措施和职责分配是完全不同的。 

本地部署模式下，相当于人们把“钱”存在了家里。而家里的安全措施可能并没有银行那么完善和高级。

云部署的模式下，相当于用户把“钱”，也就是数据资产存储在银行里面。 这种模式下，数据有三重保障。
- 第一重保障  来自于云服务商，比如阿里云或者AWS。
阿里云和AWS也是石基目前在海外和国内的合作伙伴。云服务商提供最基本的基础层安全保障，因此选择信誉度高且可信赖的云服务商是非常关键的。 
- 第二重保障  来自于石基这样的系统和软件服务商。
这类供应商必须能够确保其提供的软件服务和应用符合数据安全规范和标准，并确保数据安全性、完整性以及用户对数据的可得性。
- 第三重保障  来自于客户自身，是否进行了到位的数据安全保障工作。

区别于传统本地部署的模式，用户自身不再需要对数据安全承担全部责任，但依然需要保留一部分的职责。（如下图所示）

传统模式下和云模式下，各方的工作职责也是不一样的。
也就是说，对于酒店而言，在云模式下，酒店只需要进行日常管理和软件使用和运维方面的工作就可以了，包括权限管理、补丁更新、防病毒保护等。

另一方面，酒店需要与云服务相关供应商确定其是否建立了完善的数据安全管理体系以及这一体系中包括的具体内容。且这一数据安全体系，最好是建立在ISO27001的基础之上。

根据这一标准，企业数据安全管理体系必须覆盖如：
信息安全方针制定、建立信息安全组织、访问控制、操作安全、通信安全、系统获取、开发和维护、突发事件管理、信息安全性方面的业务连续性管理和灾难恢复、数据隐私和法律合规性管理等14个方面。
为了确保整个体系的高效运转，我们需要密切关注和监控，并且持续改进。

“新的安全风险和潜在安全威胁每天都在发生，因此我们安全管理是一个持续的过程。更重要的是，我们需要能够建立一套安全管理制度和数据安全体系，并形成数据安全管理的闭环。”

                                                                                                  ——石基信息信息技术安全总监

                                                                                                  Aleksander Ludynia

如上图所示，从安全风险的识别，到使用合适的安全管理和数据治理策略，再到安全防控措施的具体实施落实，再到对防控措施进行结果跟踪和检测，这是一个完整的闭环流程。

而这一流程的建立，需要大量的资源投入，包括顶尖的技术投入、专业人才投入，来确保流程运转高效且通畅。

相关阅读：

2020年酒店数据安全管理六大趋势及应对措施

02 云服务供应商如何确保其经手的数据是安全的？

要确保用户数据安全，软件服务供应商需要建立强大的软件管理能力，以为用户的关键数据资产提供充分的保障。
在基础层和应用层，系统需要是零漏洞，比如不允许未经授权的数据访问。这不仅仅是针对网络黑客而言，也是针对云服务用户，在未得到允许之前，也不能访问对方的数据。
为了将这一基础原则落实到位，石基在最初开始设计软件系统时就遵从了“安全第一”的准则，这一准则贯穿整个软件开发过程、基础层管理和服务提供的各个阶段。

让我们以软件开发为例，来具体看看其中涉及的安全管理措施：

- 为开发人员提供培训，主要涉及如何写安全的代码，避免软件系统漏洞；

- 基于对安全威胁类型的分析，定义安全管理要求，并在这一过程中明确可能发生的潜在的安全问题和风险；

- 对软件设计进行分析，确保软件能够应对所有人以上列出的潜在的安全风险，免遭网络攻击；

- 软件代码需符合安全管理要求；

- 对软件代码进行审核来进一步确保安全性，并进行渗透测试；

- 对运行中的软件进行持续监控，及时确定可能的潜在网络攻击并进行立即响应。

以上所有的措施，都是为了确保软件应用无漏洞，且数据不会遭受来自网络罪犯，或者任何未经授权的其它第三方的访问。所有这些工作，如果没有专业团队支持，是无法做到的。 
在石基，我们对这一点非常重视。
“在石基，我们已经建立了数据安全和安全治理团队。团队成员专业且富有经验，很多团队成员都持有多个安全领域相关证书，如Offensive Security Certified Professional（一项道德黑客认证）、AWS安全专家认证和信息系统安全专家认证。

                                                                                                ——石基信息信息技术安全总监

                                                                                                        Aleksander Ludynia

03 企业应该如何检测和应对随时有可能发生的网络攻击？

网络攻击是不可避免的，所有的企业都应该理解并接受这一点。他们必须为应对潜在的网络攻击做好准备。

这就像是上战场打仗一样，企业技术团队需要具备相关的能力来提早发现潜在攻击，并建立流程和工具来进行有效的应对。其中工具的配备是十分重要的，这些工具需要能够帮助团队随时了解当前系统运行的状况，且能够对潜在风险进行监测和打击。 
只有在团队配合工具的使用对潜在网络攻击能够熟练应对时，对潜在威胁的监测和应对流程才能真正发挥意义。
石基建立安全和网络运营中心团队的目的就在于能够在持续监控系统安全性。Aleksander Ludynia 说，整个团队365天无休，7x24时运转，确保每时每刻的系统安全，并对偶发和突发事件进行及时响应。团队不仅仅负责安全监控和风险管理，也对系统的抗压能力和补丁管理等多个流程进行管理，此外还负责安全配置管理、对目前安全潜在威胁的信息收集、抵御攻击等多项职责。 
“很多网络攻击都是在工作日以外发生的，比如周五晚上。我们不能等到周一再去应对和组织这些攻击，这就太晚了。这也是为什么我们决定建立一个7x24随时待命的团队的原因”。Aleksander说。

04 数据合规性是必要的，但不等同于数据安全

很多安全标准都会对数据安全级别要求以及如何保护企业数据资产进行说明。但即便严格遵照标准中说明的要求执行，也无法确保系统完全不受外部攻击。
我们还需要确保强大的数据安全系统支持，并对所有的安全点进行全盘的考虑。更重要的是，要取得合规性证书，往往意味着企业需要通过独立的外部审计，来表明企业在安全合规方面的表现是否合格。

因此，优质的云服务供应商通常都需要取得此类证书，向客户证明其自身具备必要的能力，来保护数据的安全。 其中最受欢迎的是国际 ISO／IEC 27001 证书。
石基的数据安全管理系统是基于ISO27001 认证的。这套系统能够使我们辨识安全风险并采取一系列的安全管控措施。
我们尤其会关注隐私数据和个人数据安全，也花费了大量的时间和精力来进行系统设计，在处理个人数据的过程中符合合规性和安全性要求。我们还获得了ISO/IEC 27018和 PCI－DSS认证。

科普小知识

ISO27001认证被誉为国际上最严谨、最权威，也是最被广泛接受和应用的信息安全领域的体系认证。

ISO27018更着重于个人隐私数据保护，又称云隐保护认证。同ISO 27001一样，也是国际最权威、最严格的信息安全体系认证。

PCI－DSS认证的重点是对持卡人数据的保护，PCI DSS信息安全标准有6大目标，12个大类要求，由PCI安全标准委员会的创始成员共同制定。”

Aleksander进一步说：“满足安全标准合规性要求是很重要的，但这只是整个数据安全管理工作的一部分。
我们不仅仅通过取得证书来证明达到了相应的数据安全级别，我们还通过大量的内外部技术性和深层的渗透测试和审计来确保安全管理系统的有效运行，同时确保数据的安全性。
换句话来说，数据合规性在法律层面上的要求是必须遵守的，而数据合规性法案在数据安全方面制定的标准如果能够落实执行的话，将是锦上添花的。”安全性和个人数据包括一直以来是热点话题。所有的跨国企业都面临着数据保护和不同国家各类安全政策合规性的挑战。
这部分工作内容介于公司法务部门和安全部门之间，是最需要关注的。因为一旦发现不合规或者个人数据泄漏，企业就会面临罚款。除了确保符合数据保护要求之外，我们还会关注如何在产品研发和产品功能方面贯彻隐私保护的相关要求。

无论对于石基自身，还是对于客户来说，我们都认为遵守数据保护的相关要求是一项责任。石基目前在全球范围内拓展业务，对于我们而言，最关键的就在于我们在数据保护合规性方面不断满足不同国家、不同地区数据保护法的规定。对个人隐私数据的保护，也需要与研发团队紧密沟通，并贯彻于整个产品研发过程之中。也就是团队之间需要清楚的知晓数据保护相关的要求，并确保石基的产品符合个人数据合规性的要求。

“尽管有各种数据保护法直接适用于石基公司和我们的客户，但我们依然决定采用GDPR标准作为基点，尤其是在它成为适用于各国数据保护的全球标准后。通过培训、政策规定、数据保护影响评估、数据处理协议和各类工具来确保数据合规”。

                                                                                                            ——石基首席数据保护官

                                                                                                                   Sylwia Zielińska

Summary  
酒店行业一直在云战略上不断前行。这一新的时代下，安全风险会不断变化，其带来的威胁和挑战也会不断变化。
安全管控的职责不仅仅只是酒店独自承担。云服务提供商和软件供应商都需要承担起相应的职责。这就是为什么酒店在践行云战略过程中需要选择高信誉、可信赖合作伙伴的原因。
这些合作伙伴需要建立起完善的安全和隐私管理系统和体系。这将使得酒店更加能够专注于服务和客户体验本身，而不是深受安全问题和风险所累的技术公司。