宾馆无线实名认证跑起来以后，认证系统里会积攒两类数据：住客的身份信息，以及住客的上网记录。这两类数据都敏感，身份信息是个人信息，上网记录是监管追溯的依据。数据放在系统里，问题就来了：店里哪些人有权限看这些数据？这个问题如果不想清楚，权限乱开，轻则住客信息泄露，重则实名认证体系形同虚设。
先给角色分级。宾馆里跟认证系统打交道的，大概有三种角色：老板或者店长，负责整体的管理和查看运营情况；前台，负责日常的住客服务，比如帮客人处理认证问题；技术或者代维人员，负责系统的配置维护。这三种角色对数据的需求完全不同，权限也应该分开：店长看经营层面的统计和报表，前台看处理业务需要的当班信息，技术人员看系统配置和故障排查需要的日志。谁都不需要看全部数据。
权限的最小化，是这条线的核心原则。前台处理一个客人认证失败的投诉，需要看到这个客人的认证记录，但不需要看到全店所有客人的上网记录；店长需要看每天的认证量、成功率这些运营数据，不需要也不应该去看单个住客的具体上网内容。权限按岗位的职责需要来配，够用就好，多了就是风险。
身份信息和上网记录，最好分开管理。住客的证件信息属于高敏个人信息，能看到的人应该更少，能导出的就更要严格控制。上网记录是监管追溯的依据，查询要能留痕。实际系统里，这两类数据如果放在同一个界面、同一套权限下，就很容易被连带查看。有条件的宾馆，应该要求认证系统把这两类数据的查看权限分开设置。
查询留痕是必须做的。谁在什么时间、查了谁的记录，系统里要有记录可查。这个要求一方面是为了防内部人滥用，另一方面也是合规检查时"数据被妥善管理"的证据。曾经有宾馆出现过前台把住客信息截图外传的事情，如果没有查询留痕，事后根本查不到是谁干的。留痕功能看起来是管理负担，真出事了就是救命的功能。
权限的授予和回收，要有人管。前台入职，给他开认证系统的账号，配前台应有的权限；前台离职，账号要第一时间停用。很多宾馆在这件事上很随意，人走了账号还在，前任能看的东西，换个人继续能用。宾馆人员流动本来就大，权限回收不及时，等于给数据安全留了一扇长期开着的门。
还有一个经常被忽略的细节：导出的控制。认证数据如果要导出，比如配合监管检查导出某段时间的日志，导出动作本身要有权限控制，导出的文件要有范围限制。不能任何一个人登录后台都能导出全量数据。导出记录同样要留痕，配合监管做导出和私下导出的性质完全不同。
权限的申请和审批，要走一个简单但明确的流程。前台要查某个客人的认证记录，是业务需要；技术代维要改配置，是工作需要。这些权限的开通，不能靠口头一句话就办了，应该有一个记录：谁申请的、什么理由、谁批准的、开通了什么权限。流程不用复杂，一张登记表或者系统里的一条申请记录就行。有了这个记录，权限的每次变动都清楚，事后追溯也有依据。
第三方代维的权限，要单独对待。很多宾馆的认证系统是供应商或者代维公司在维护，他们需要登录系统排查故障、调整配置。代维账号的权限应该限定在维护范围内，不能拿着代维账号看住客的实名数据。代维账号的活动同样要留痕，代维服务到期或者换人，账号要停用或者收回。把代维当自己人、账号不设限，是很多宾馆数据失控的开始。
权限的定期复核，要成为一个固定动作。宾馆的岗位在变、人员在变、代维在变，权限配置却常常停在最初的状态。每过一段时间，把系统里的账号和权限清单拉出来过一遍：哪些账号还在用、哪些权限已经用不上、有没有离职人员的账号还挂着。这个复核不需要技术能力，店长就能做。权限这东西，配置一次不算数，持续维护才算数。
还要提醒一点：权限的分配要跟着数据分级走，不能一刀切。店长能看统计报表，不一定需要看单条上网记录；前台处理当日业务，不一定需要查历史数据。系统支持按数据范围、按时间范围、按操作类型分别授权的，就用细一点的权限；不支持的，也要在制度上约定清楚谁能查什么。权限设计越贴近实际职责，数据越安全，日常操作也不受影响。
宾馆无线实名认证的数据权限，说到底就是一个原则：按岗位需要配权限，能看的人越少越好，看了什么都要留痕。权限申请有流程、代维账号设限、定期复核权限，这几件事坚持做下去，实名认证的数据安全才算有了实在的保障。权限管理不是技术问题，是宾馆经营者自己要抓的管理问题。