酒店属于公共上网场所，WIFI实名认证不只是为了防蹭网，更重要的是满足网络安全和公安审计的合规要求。这块做不好，轻则被要求限期整改，重则影响年检甚至处罚。但不少酒店对合规的理解还停留在"装了实名认证就行"，实际上认证只是第一步，日志留存、上报对接、数据保护这些配套没做到位，一样过不了检查。这篇结合我们服务酒店项目的经验，说说合规这条线到底要做到什么程度。

先弄清本地公安的具体要求

各地对住宿场所上网的要求并不完全一致。有的地方只要求实名加日志留存，有的要求接入当地的公共上网安全管理平台，有的对涉外酒店有额外规定。合规的第一步不是急着买系统，而是主动去属地网安部门问清楚本地的具体要求，最好能拿到书面的规范或者对接文档。我们见过酒店照着外地的标准建了一套，结果本地要求接平台，又得推倒重来。这个成本本可以通过一次咨询避免。别怕麻烦，问清楚了再动手，是最省事的做法。

实名信息要真实可追溯

合规的核心是"出了事能查到人"。所以认证时采集的身份信息必须真实、能对应到具体自然人。手机号验证码是基础手段，因为手机号本身已经实名；对于要求更严的场景，可能需要身份证核验。要注意的是，采集到的实名信息必须和上网行为日志能关联起来，也就是某个时间段某个IP是谁在用，得能查得到。如果认证归认证、上网日志归日志，两者对不上，那实名就是摆设。系统设计时要保证认证记录和上网日志通过统一的会话标识串起来。

日志留存的内容和时长都有讲究

上网日志不是随便记记就行。通常需要留存的包括上网账号、对应的实名信息、上下线时间、分配的IP地址、访问的目标信息等。留存时长各地有明确规定，普遍要求半年以上，有的地方更长。日志要保证完整、不可篡改，存储上要有足够的容量规划。一家满房的酒店每天产生的日志量不小，如果存储没规划好，可能存了两个月就满了，老日志被覆盖，检查时才发现该留的没留。留存策略要按最长要求的时间加上余量来做容量规划，并且定期检查日志是否正常写入。

和公安平台的对接要专人跟进

如果本地要求接入公共上网安全管理平台，这个对接往往有专门的协议和数据格式，还要申请专线或者VPN通道，走审批流程。对接过程涉及网安部门、平台方、酒店、系统厂商多方，周期不短。这件事要有专人跟进，把每个环节的进度盯住。对接完成后还要验证数据能不能正常上报，上报的字段是否符合要求，别以为通道通了就万事大吉。我们遇到过对接看似完成，实际上报数据缺字段，检查时才发现的情况。上报成功的回执要留好，这是合规的证据。

采集的个人信息也要依法保护

合规是双向的。一方面要满足公安审计，采集实名信息；另一方面，采集来的手机号、身份信息属于个人信息，酒店有保护义务，不能滥用、不能泄露。系统在存储这些信息时要做加密，访问要有权限控制，不能让前台随便就能导出全量客人信息。认证页面上最好有隐私告知，让客人知道采集了什么、用于什么目的。个人信息保护现在管得越来越严，酒店如果因为上网系统泄露了客人信息，那是另一重风险。合规不能顾此失彼，采集和保护要同时到位。

访客和员工的上网也要纳入管理

合规覆盖的不只是住客。来大堂、餐厅、会议室的临时访客，只要用了酒店的WIFI，一样要实名、一样要留日志。有的酒店只管住客，公共区域放了个不用认证的开放WIFI，这就是合规漏洞。访客可以用手机号验证码这种轻量方式认证，但不能完全不管。酒店员工的办公上网如果和客用网络在一起，也要纳入管理。做合规规划时，要把所有能连酒店WIFI的人群都盘一遍，确保没有绕过认证的口子。

平时要能随时配合检查

检查往往是突击的，要求短时间内提供某个时间段的上网记录、某个人的上网轨迹。系统要能方便地按时间、按账号、按IP快速查询和导出日志，而不是要临时找厂商远程操作半天。运维人员平时就要熟悉查询导出的操作，最好做一次模拟检查演练。检查时手忙脚乱、查不出数据，即使系统本身合规，也会给检查方留下管理不到位的印象。合规不只是系统达标，还包括人能熟练地用系统配合检查。

酒店WIFI实名认证上网系统的合规，是认证、日志、上报、保护、配合检查一整套配合起来的事，任何一环缺失都算不上真正合规。前期把本地要求问清楚，系统按最严的要求建，运维人员会用会配合，这条线才算走通。合规做扎实了，检查来了心里才有底。