酒店成数据泄露的高发行业，如何防患于未然？

行业对于数据价值挖掘的尝试从未停止过。随着客人与酒店之间的互动变得越来越线上化，触点越来越多样化，物联网技术、AI智能和云技术进一步赋能行业发展的同时，也让我们面临前所未有的数据安全问题。今天，数据安全已经是全球CIO／CTO们首要关心的问题。让我们一起来看看以下数据：

• 数据泄漏事件连年增长(38%,来源于普华永道PWC)
• 盗版问题严峻，大幅增加(56%,来源于普华永道PWC)
• 企业为数据泄漏所付出巨大成本(400万美元/每起事件，来源于互联网数据研究中心Ponemon)
• 董事会因为数据泄漏事件向CEO和管理层问责(来源于纽约证券交易所调研报告NYSE survey)

而另一方面，随着越来越多的系统迁移到数字化环境以及云环境，随之而来的攻击威胁也越来越大。对于系统的供应商来说，更加需要随时保持警惕，确保有适当的安全策略，并不断对网络环境进行检测以防范潜在的安全隐患。我们发现，近年来除了数据泄露之外，通过恶意软件和其他手段用来勒索钱财的案件也越来越多。

酒店需要在网络安全方面变得更加灵活，传统情况下，很多危机处理是基于事后的弥补，在发生事故后进行调整，而不是在危机发生之前提高整个网络环境的安全性，加强保护措施。现如今，我们面临的潜在安全威胁和隐患每天都在变化和增长，这也要求酒店提升相应能力，并能够快速了解攻击者及其使用的攻击方式和手段，与时俱进。随着物联网的发展，尤其是当我们把闭路电视和语音控制都转移到云端时，就需要对客户隐私数据更加关注，并随时用这些问题警醒自己：谁能够访问这些数据?我们采取了哪些措施来保护数据信息，以规避风险？

酒店为什么是数据泄露的高发行业

根据很多媒体的报告，酒店行业是数据泄露的高发行业，这主要是因为酒店行业存储了大量的运营数据和客户数据，这一点足以引起黑客的兴趣和关注，同时也是因为酒店系统安全级别不高，使得黑客攻击变得很容易。这些安全事故的发生至少是因为以下一项或者多项原因：

• 远程访问

远程访问安全级别不够，攻击者很容易对环境进行远程访问并删除数据。

• 默认密码或者密码安全级别不够

多起数据泄漏事件已经一次又一次表明，事故发生的原因在于企业使用的密码安全级别不够高或者直接使用了供应商提供的默认密码。对于企业来说，必须要定期对密码做出更改，这包括数据库密码和供应商在环境中提前设定的其它类型的密码。

• 未修补漏洞会造成系统抗风险能力下降

应用程序或操作系统中暴露的漏洞，会使得攻击者轻而易举获取数据。企业需要确保网络环境始终保持在最新状态，并且所有补丁都得到修复。

对于酒店来说，需要能够强化风险防范意识，用更为先进的安全工具武装自己。现在有很多安全工具能够帮助客户主动对安全威胁进行监控，并通过聚合日志来检测潜在威胁。部分供应商会提供机器学习功能来帮助企业对工具进行训练，这样工具就可以检测到哪些是正常行为，哪些是非正常行为。

以支付为例，根据Hospitality Technology 2019年发布的最新住宿业技术报告，受访人在支付安全性方面的关注度相比2017年出现大幅提升。其中PCI<i>合规性的自我评估关注度最高，达到73%，而针对EMV[ii]和芯片支付卡的终端升级涨幅最大，增加了26个百分点。

Hospitality Technology于2019年发布的住宿业支付报告（图片来源于网络）

同时，收集和存储来自电脑终端的日志数据、来自应用程序、防火墙、服务器、VPN、防病毒/恶意软件工具和网络访问的活动日志对于建立基本的酒店安全措施并监测改进结果，也至关重要。

采用云技术过程中如何强化安全管理

云技术在最近几年的发展非常快。云解决方案为酒店带来的好处是显而易见的，在成本方面带来了更大的便利性和灵活性(由资本性支出转变为运营性支出)，并拥有弹性资源来适应系统使用的高峰和低谷。这时候，由于酒店更可能用供应商来进行功能性的维护，因此可能会减少相应的人员配置，但是这里减少的人员，最终应该重新投入到对系统的安全性维护中去。

让我们假设您的酒店使用的是云解决方案，这个时候，对电脑终端的安全性维护仍然非常重要，这一点需要我们格外注意。因为电脑终端提供了通往云平台应用程序的关键路径，一旦这个路径打通就意味着能够轻易获取数据。换句话来说，如果用户的电脑终端感染了能够捕获键盘输入的恶意软件，那就意味着恶意攻击者已经找到了进入酒店云应用程序的方法。因次，对于酒店电脑终端的安全维护和监视是至关重要的。

在此情况下，云供应商应该制定强有力的安全管理策略，并获得云环境运营的相关行业标准认证，包括ISO,PCI-DSS和CSL认证等。云服务提供商需要能够充分向酒店展示和说明他们会采取哪些具体措施来确保数据的安全性，如何加密和保护这些数据免受攻击，以及一旦受到攻击时有什么补救措施。

建立安全的云环境需要持续性的投入。以石基为例，我们采取了一系列完善的措施，来确保环境的安全，进而确保用户的数据安全。在过去的几年时间里，石基已经先后取得了ISO 27001、PCI-DSS和GDPR等国内和国际最严苛的且最领先的行业认证，并投入了大量的资源对运营系统以及应用程序的开源组件进行监控，确保补丁的及时修复。除了部署了最先进的安全工具（涉及集中式日志记录及事件监控，用户访问的MFA，防病毒/恶意软件，文件完整性监控，网页应用程序防火墙等的管理和监控）之外，应用安全团队还致力于针对应用程序进行渗透测试、代码审查和安全部署验证（“白帽黑客”）。通过不断尝试渗透应用程序，我们就能够在真正的攻击发生之前，找到并弥补任何漏洞。在核心系统对支付卡数据进行标记化处理，缩小PCI范围和攻击风险。

酒店可以采取哪些技术措施来加强数据的安全性

酒店企业可以采用几种技术来增强数据安全性，并且将攻击风险降到最低。主要涉及以下几个方面：

• 基础设施

1.确保所有远程访问都通过安全途径进行，包括使用多因素身份验证。

2.为每一个需要联网的系统设置并部署Web应用程序防火墙(WAF)。

3.在所有的环境和电脑终端部署防病毒、反恶意软件和防火墙。

4.部署文件监控系统，以监控重要文件的更改。

5.确保任何基于网络的通信都使用TLS1.2加密。

6.服务器和电脑终端都需要遵循行业强化标准。

7.确保在整个技术体系中对日志进行整合和监控。

• 应用程序

1.在可能的情况下加密静态数据，如果攻击者只能得到加密的数据，实际上我们就没有什么可担忧。同时，需要确保有加密密钥定期轮换策略。

2.使用标记化技术处理支付卡信息甚至个人敏感信息。如果酒店不存储这些敏感数据，对于攻击者来说则没有什么好窃取的内容。

3.制定强密码策略，并且针对所有用户强制执行，包括定期密码更改。

总体来说，酒店行业在安全管理方面需要做到防患于未然。笔者将行业在数据安全管理方面的建议总结为以下几点：对操作系统和应用程序定期进行补丁修复、确保远程访问的安全性、制定有效的安全管理和监控政策、在存储和传输过程中对数据进行加密、尽可能减少对敏感数据的存储（包括使用标记化技术，对不需要的数据进行清除等）。（本文作者系石基信息系统集成与安全高级总监 James Montague）