数据安全合规评估在线旅游平台的实践【原创】
摘要：随着旅游服务行业数字化转型，数据逐渐成为核心生产要素。数据安全保障已成为在线旅游企业不可忽视的工作。本文旨在分析了近年来国内发布施行的数据安全相关法律法规和标准文件。为在线旅游平台企业数据安全保护提供了措施指导，提出了数据安全合规评估的体系框架和评估指标。为在线旅游企业进行数据安全合规评估提供了参考。
关键字：数据安全、风险评估、旅游平台、合规体系
引言
伴随着数字经济时代浪潮的来临，数据要素逐步成为数字经济时代的核心生产要素。国家一直重视数据安全的相关问题，陆续出台一系列涉及数据安全的法律法规，明确政府部门和相关企业平台的责任。在线旅游平台作为通过在线方式向用户提供预定旅游产品或服务的企业，采集且存储了大量的旅游用户敏感个人信息包括身份认证信息（如身份证号等）、行踪轨迹信息、住宿信息（如酒店预订）、交通票务（如门票预订，高铁预订）等。伴随着非法网络活动的肆虐，在线旅游平台企业面临着严峻的网络攻击威胁和数据泄露风险，因此作为拥有海量数据的在线旅游平台企业更应当按照国家法律法规要求做好数据安全合规体系的建设和评估工作。
在线旅游平台数据安全要求
国家和主管部门先后颁布实施了《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《工业和信息化领域数据安全管理办法（试行）》《电信网和互联网数据安全通用要求》（YD/T 3802-2020）《电信网和互联网数据安全评估规范》（YD/T 3956-2021）等国家法律法规和行业标准。针对在线旅游平台的数据安全工作提出了如下合规要求：一：定期开展数据安全合规评估，并向有关主管部门报送数据安全合规评估报告 二：建立分类分级机制，识别企业重要数据和核心数据并形成目录 三：建立健全全流程数据安全管理制度，定期组织开展全体员工和重要岗位数据安全教育培训，采取相应的技术措施和其他必要措施如加密、脱敏，保障平台数据安全。
数据安全合规评估方法
基于在线旅游平台的数据特点，参考《电信网和互联网数据安全评估规范》（YD/T 3956-2021）行业评估规范标准，对在线旅游平台的数据安全合规评估方式主要包括人员访谈、文档查验、系统平台的演示、测评验证等方式。
1）访谈工作由数据安全评估团队成员与被评估方人员如安全管理人员、系统平台产品和开发人员、运维人员如：数据库管理员、网络管理员等进行交流、咨询等活动，了解有关受评估系统的基本信息、日常操作流程以及员工对数据安全的认知，获取相关证据
2）文档查验由数据安全评估团队成员审阅数据安全管理规范体系文件及证据资料文档如应急演练记录文档、数据安全培训资料、数据全生命周期管理等管理制度和操作规程等。通过文档查验，可以评估企业的数据安全管理制度是否健全，是否能够覆盖数据全生命周期的各个环节。
3）系统平台演示由被评估方对受测的订退票务平台、客服操作平台系统以及其他数据安全防护软硬件平台进行演示，评估成员对演示过程进行评估发现数据安全风险缺陷评估，重点关注系统的权限控制机制、数据加密措施、访问日志记录等安全特性。
4）测试验证由评估成员通过技术测试（如漏洞扫描、人工渗透、流量监测）获取证据。主要测试目的验证权限控制、身份认证、审计机制、数据加解密、组件漏洞、数据泄露等方面的安全性。
数据安全合规评估体系建立
根据数据安全评估规范等行业标准，建立数据安全合规评估框架包括评估3大项、18小项、76个评估要点如下图所示。
图1 数据安全合规评估体系
在线旅游平台数据安全合规评估实践
参考上述数据安全评估方法和评估指标体系，对某在线旅游企业开展了数据安全合规评估.某在线旅游平台企业为一站式旅行服务提供商，通过移动应用端以及小程序等可为用户提供一套完整的旅行产品、服务及差异化的旅行内容。业务范围涵盖高铁汽车客运等交通订票、酒店名宿预订、出行旅游度假以及其他旅行相关服务等。经过数据安全评估团队该在线旅游企业存在如下数据安全风险:
1) 数据权限管理
在授权与访问控制方面：虽然已经接入统一权限管理系统，但是抽查发现存在违反“最小必要”原则授权，部分数据权限授权给非必要账号，导致数据泄露的风险。
2) 数据安全审计
在数据安全监测与审计方面：日志记录不全面，缺少重要数据操作审计以及敏感数据接口调用的日志，尚未对日志审计发现的问题进行整改跟踪.存在发生数据安全事件无法进行追踪溯源的风险。
3) 数据安全生命周期管理
在制度方面：缺乏数据安全生命周期的制度文档，特别是在销毁环节。在技术方面：数据销毁的技术手段不足存在被恢复的风险。企业对外合作过程中，和合作伙伴如酒店集团、租车公司、航空公司在数据交换中存在使用md5等过期的弱算法保护的传输方式。
在线旅游平台企业数据安全建议
针对上述企业数据安全合规风险，结合笔者数据安全工作经验，提出以下建议：
一是：加强数据的全生命周期管控，在数据采集阶段遵循“合法正当必要”的原则采集数据，通过明确采集数据的目的 和用途，确保数据源的真实性、有效性，对采集或生成的数据进行分类分级管理。在数据传输和共享阶段，涉及到敏感信息的传输和共享 需要经过信息安全评审，数据传输和共享过程要求使用符合要求安全算法加密。在数据销毁阶段制定了数据销毁安全管理规定，对不同介质的销毁标准进行了规定，通过设立专门的数据销毁岗位、提供统一的数据销毁工具，建立可操作的数据销毁标准流程，实现对数据介质的有效销毁，防止因对存储介质以及纸质文件中的数据内容进行恶意恢复而导致的个人信息等数据泄露风险。
二是：加强企业安全建设以达到保护系统重要资产的目的。在安全区域边界方面，采取边界访问控制，配合和细化相关访问控制策略。部署网络入侵检测系统，对边界流程进行检测。对目前网络设备、服务器等采取严格的身份鉴别机制。对敏感业务数据和用户口令进行加密存储。
三是：完善数据安全制度体系规范，数据安全基础性管理和数据全生命周期各环节安全保护要求和操作规程，规范体系覆盖数据分类分级、权限明确管理、日志留存、风险监测预警、应急响应、安全评估、教育培训等方面。
结语
本文基于在线旅游平台行业特点，首先阐述了国家和行业的数据安全要求和行业数据的现状，提出了基于行业标准的数据安全合规评估框架，并通过评估实践识别出相应的数据安全风险，最终提出了合理解决建议。
数据安全不仅仅是技术层面问题，更是平台企业管理问题。在线旅游平台企业需要提高全体员工的数据安全意识，培养数据安全合规文化，确保每个员工都能够在日常工作中遵守数据安全规范，共同维护企业的数据安全。
