【官方公告】《数字创业型民宿数据安全管理规范》（T/YNMS 118—2026）团体标准正式发布实施

• 标准编号：T/YNMS 118—2026
• 中文标准名称：《数字创业型民宿数据安全管理规范》
• 英文译名：数字创业型民宿数据安全管理规范
• 提出与归口单位：云南省旅游民宿行业协会
• 批准发布日期：2026年11月05日
• 正式实施日期：2026年11月12日
• 公文发文字号：云旅民宿协发〔2026〕第025号
• 所属体系板块：板块二：特色场景与在地体验指南
• 评价载体形态：仅报告

---

T/YNMS 118—2026

数字创业型民宿数据安全管理规范

前言

本文件按照 GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起草。

本文件是云南省旅游民宿行业协会系列团体标准的重要组成部分。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。

本文件由云南省旅游民宿行业协会提出并归口。

本文件起草单位：云南省旅游民宿行业协会、云南财经大学、云南法匠科技有限公司、帅亚昆明科技有限公司。

本文件主要起草人（主编）：谢洪忠。

本文件参编人员：班先海、尹启昌、田博垚、贺双全、杜有银。

本文件贯彻落实全国统一大市场建设要求，面向全国各省、自治区、直辖市范围内的旅游民宿及相关文旅服务机构统筹适用，任何组织或机构不得利用本文件设置带有地域歧视、属地保护或排除外地经营者参与公平竞争的限制性门槛。

本文件为首次发布。

引言

随着移动互联网、云计算及远程协作技术的深度普及，以“数字游民”、“旅居创客”、“远程办公团队”为核心客群的数字创业型民宿与旅创空间在全国各大文旅目的地蓬勃兴起。入驻创客往往在空间内部开展软件源代码编写、跨境电子商务结算、商业机密方案设计、音视频数字化创作及人工智能大模型训练等高价值生产经营活动。

由于民宿与旅创空间具有“人员流动性高、自带设备（BYOD）种类繁杂、开放式公共网络环境脆弱、物理空间半开放”等显著特征，极易面临内网网络监听、ARP欺骗、未授权数据穿透、公用打印文件失密、勒索病毒横向传播及核心代码资产外泄等严峻的数据安全与网络安全风险。

为贯彻落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及 GB/T 22239—2019《信息安全技术 网络安全等级保护基本要求》（等保2.0）等法律法规与国家标准要求，破除地方保护壁垒与碎片化管理痛点，推动全国大住宿业统一市场建设，特制定本文件。

本文件旨在确立数字创业型民宿与旅创空间在网络安全架构、数据全生命周期安全、终端与自带设备防护、物理机房与环境安全、人员安全管理及网络安全应急响应等维度的工程级控制措施与管理规程，为创客团队提供企业级、高可靠、合规可信的数字化生产营商环境。

---

1 范围

本文件规定了数字创业型民宿与旅创空间数据安全管理的基本导向、网络安全架构、数据安全全生命周期管理、终端与自带设备（BYOD）安全、物理与环境安全、人员安全管理、网络安全应急响应与持续改进，以及符合性检查等要求。

本文件适用于全国范围内提供联合办公工位、创客住宿、远程研发测试等一体化服务的数字创业型民宿、旅创空间、数字游民基地及乡村创客工坊的数据安全体系建设、网络集成工程实施、日常安全运维与合规评估。其他具有办公属性的精品度假民宿可参照执行。

---

2 规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

• GB/T 1.1—2020 标准化工作导则 第1部分：标准化文件的结构和起草规则
• GB/T 22239—2019 信息安全技术 网络安全等级保护基本要求
• GB/T 25069—2022 信息安全技术 术语
• GB/T 28448—2019 信息安全技术 网络安全等级保护测评要求
• GB/T 35273—2020 信息安全技术 个人信息安全规范
• GB/T 37988—2019 信息安全技术 数据安全能力成熟度模型
• GB/T 39786—2021 信息安全技术 信息系统密码应用基本要求
• GA/T 70—2014 信息安全技术 计算机信息系统安全审计产品安全技术要求
• T/YNMS 114—2026 数字创业与联合办公型民宿建设与运营规范
• T/YNMS 115—2026 数字创业型民宿共享办公空间配置要求

---

3 术语和定义

GB/T 25069—2022、GB/T 35273—2020 界定的以及下列术语和定义适用于本文件。

3.1 数字创业型民宿与旅创空间 digital entrepreneurship homestay and travel-creator space

将高品质住宿空间与联合办公、孵化加速、创客社群深度融合，主要面向软件开发工程师、独立设计师、自由撰稿人、电商主理人等数字创客群体，提供“住宿＋办公＋生活＋生态协同”一体化软硬件支撑的创新型住宿产业实体。

3.2 自带设备 bring your own device (BYOD)

创客个人或外来访客自行携带并接入民宿局域网或企业内部系统的个人计算终端，包括笔记本电脑、平板电脑、智能手机、智能穿戴设备及便携式单片机开发板等。

3.3 虚拟局域网 virtual local area network (VLAN)

在物理网络交换机基础上，通过逻辑划分将网络节点划分为若干广播域的技术。同一VLAN内的节点可直接通信，不同VLAN之间的报文在二层相互隔离，须经三层路由与防火墙策略控制方可互通。

3.4 无线客户端隔离 wireless client isolation

无线接入点（AP）开启的一种安全机制。开启后，连接至同一AP或同一SSID下的各无线终端之间无法直接进行二层报文交互与端口探测，彻底阻断局域网内的ARP欺骗与横向广播嗅探。

3.5 多租户数据隔离 multi-tenant data isolation

在共享存储、云桌面或公共服务器环境中，通过逻辑划分、物理隔离、动态访问控制列表（ACL）及强密码加密算法，确保不同创客团队或个人用户的数据在存储、传输和计算过程中完全互不可见、互不干扰的技术与管理机制。

3.6 准入控制 network access control (NAC)

基于用户身份认证、设备健康基线（如防病毒更新、操作系统补丁、合规证书）以及物理端口或无线信号源，对试图接入民宿局域网的终端设备实施安全准入判定与动态权限分配的安全机制。

3.7 商业秘密 trade secret

不为公众所知悉、具有商业价值并经权利人采取相应保密措施的技术信息、经营信息以及算法源代码、客户画像数据、未公开商业合作协议等。

---

4 基本导向

4.1 建设目标

数字创业型民宿与旅创空间数据安全管理应立足于国家统筹发展与安全的总体方略，达成如下核心目标：

a) 筑牢合规底线：全面对标国家网络安全等级保护制度与数据安全法律法规要求，确保民宿网络信息系统合规合法运行，严防发生网络安全重大违法事件；

b) 保护创客机密：构建全方位、多层次的纵深防御体系，确保入驻数字创客的源代码、商业计划书、知识产权及交易数据在空间网络与共享设施内绝对安全；

c) 兼顾效率体验：在保障数据与网络安全的前提下，提供高速、低时延、无缝漫游、即插即用的人性化网络连接体验，避免繁琐僵化的管控过度扼杀数字创客的创新活力；

d) 统筹协同发展：破除地方保护壁垒与信息孤岛，建立全国统一互认的安全基准，推动大住宿业与数字经济在技术底座上的高度融合。

4.2 基本原则

数据安全管理应坚持以下基本原则：

a) 最小必要与权限分离原则：严格控制民宿系统及运维人员对创客数据的访问权限，坚持“非必要不收集、非授权不访问”，实行系统管理员、安全审计员与网络配置员权限分离；

b) 纵深防御与动态分区原则：实施物理隔离与逻辑隔离相结合的多重防护，从边界网关、核心交换、接入Wi-Fi到终端设备构建逐层递进的安全防线；

c) 责任明确与全程留痕原则：明确民宿经营主体、空间安全员、创客团队与个人访客的安全权责边界，实现关键网络操作与安全事件日志全周期审计与不可篡改留存；

d) 预防为主与快速处置原则：建立常态化脆弱性排查与威胁情报感知机制，完善勒索病毒、数据泄漏等突发事件应急处置规程，确保突发事件可在最短时间内闭环阻断。

4.3 基本条件与资源配置

提供数字创业与联合办公服务的民宿主体，应具备如下安全基础设施与人员配置：

a) 网络硬件设施：应配备企业级多千兆网关路由器、带网管功能的三层核心交换机、支持802.1X与WPA3的企业级无线AP控制器（AC），以及具备深度报文检测（DPI）功能的下一代防火墙（NGFW）；

b) 供电与物理机房：核心网络设备应部署于独立的封闭式弱电间或网络机柜中，配备智能PDU与在线式不间断电源（UPS），断电续航时间应不低于 30分钟；

c) 专业岗位配备：空间应明确至少一名经过专业网络安全培训的“数据安全合规责任人”（可由技术主管或空间主理人兼任），负责日常策略配置、漏洞扫描、密钥轮换及应急响应。

---

5 网络安全架构与通信防护

5.1 网络逻辑拓扑与安全分区

数字创业型民宿网络必须实施严格的“微隔离”与业务逻辑分区，严禁将所有设备部署于单一扁平化广播域。网络拓扑应至少划分为以下五个互不干扰的安全网段（VLAN），如表1所示：

表1 民宿局域网VLAN划分与安全互访矩阵

5.2 企业级下一代防火墙（NGFW）部署与策略管控

5.2.1 边界访问控制与黑白名单机制

边界防火墙应部署于光纤宽带调制解调器（光猫）与三层核心交换机之间，执行严格的状态检测与访问控制策略：

a) 默认拒绝规则：安全策略基线应遵循“默认拒绝全部入站请求（Default Deny All Inbound）”，仅放行经显式审批并配置了严格源IP地址限制的必要管理端口；

b) 常用高危端口封堵：在网关处无条件封堵包括 TCP 445（SMB）、135、137～139（NetBIOS）、3389（RDP公网直连）、23（Telnet）等高危勒索病毒传播与远程漏洞利用端口；

c) Web应用防护（WAF）：对民宿自建的对外展示门户、预订系统及API网关开启轻量级WAF防护，阻断SQL注入、XSS跨站脚本攻击、Webshell上传及路径遍历攻击。

5.2.2 入侵防御与恶意流量监测（IPS/IDS）

防火墙应集成特征库自动更新的入侵防御系统（IPS），对进出民宿网络的所有数据报文进行深层次特征匹配与威胁阻断：

a) 特征库自动同步：IPS规则库与反病毒特征库更新频率应保持至少 每周一次（推荐开启每日云端自动热更新）；

b) 恶意挖矿与僵尸网络阻断：实时检测局域网终端发起的对外矿池连接（如 Stratum 协议特征）、非法C2远控信标（Beaconing）及恶意DNS解析，一经检出立即切断该终端网络外联并生成警报；

c) 异常流量限速与DDoS防护：针对UDP反射放大攻击、SYN Flood洪水攻击等，网关应配置畸形报文丢弃机制与单IP连接并发数限制，保障整网带宽链路可用性。

5.3 无线局域网（Wi-Fi）安全与认证接入

5.3.1 802.11ax/Wi-Fi 6 与 WPA3 加密规范

无线网络建设应全面淘汰已存在已知安全缺陷的WEP、WPA及WPA2-TKIP老旧协议：

a) 加密协议基线：无线信号应全面采用 WPA3-Personal（SAE同时对等认证）或 WPA2/WPA3-Enterprise（企业级 802.1X/EAP-TLS/PEAP）加密协议，彻底免疫离线字典嗅探与四次握手包重放破解；

b) SSID命名与隐匿规范：管理网与监控网所对应的无线SSID应设置隐藏广播（SSID Stealth）；创客专网与访客网SSID命名应清晰区分，禁止出现歧义或混用；

c) 射频功率与信号防外溢调优：空间应委托专业网络工程师对无线AP的发射功率进行精准工程调校，办公区域室内边缘信号强度（RSSI）应维持在 $-65 ext{dBm}$ 至 $-55 ext{dBm}$，空间建筑外墙边界5米外信号衰减至 $-80 ext{dBm}$ 以下，防止外部黑客在停车场或室外道路实施“蹭网”或无线中间人渗透。

5.3.2 无线客户端隔离（Client Isolation）硬性要求

在开放式共享工位无线SSID（VLAN 40）及访客无线SSID（VLAN 50）下，AP控制器必须强制开启“无线客户端隔离”功能：

a) 二层报文阻断：严格禁止连接在同一AP或不同AP上同一无线SSID的终端之间相互发送单播数据包，使各终端处于逻辑隔离状态；

b) 组播与广播优化：在核心交换机及AP上开启 ARP Inspection（动态ARP检测）与 DHCP Snooping，抑制局域网内的广播风暴与恶意虚假网关欺骗；

c) 点对点投屏与本地协同豁免机制：对于入驻创客团队租用的独立专属包间（VLAN 30），经团队主理人书面申请，可在该特定SSID内关闭隔离，以满足无线投屏、局域网Git服务器代码拉取及局域网设备互联研发调试需求。

5.4 远程安全访问与虚拟专用网络（VPN）

5.4.1 运维管理专用安全通道

禁止任何运维人员或民宿管理者直接通过公网IP地址以未加密方式远程登录路由器、交换机、防火墙或NAS设备：

a) 加密隧道连接：远程运维必须通过基于 IPsec、WireGuard 或 OpenVPN 协议构建的加密隧道进行，加密算法强度应不低于 AES-256-GCM 或 ChaCha20-Poly1305；

b) 双因子身份认证（2FA/MFA）：运维管理员账户登录VPN网关时，除用户名和高强度密码外，必须强制启用基于时间同步的动态令牌（TOTP，如Google Authenticator、Microsoft Authenticator）或短信/企业微信动态验证码进行二次身份校验。

5.4.2 创客出海与跨区域合规网络对接

针对从事合规跨境电子商务、海外软件外包研发或跨国远程协作的入驻创客团队：

a) 合规通道引导：空间应协助团队依法向具备基础电信业务经营资质的电信运营商申请合规跨境国际数据互联专线（如SD-WAN合规接入服务），禁止在空间网络内擅自搭建或违规散布非法信道工具；

b) 专线带宽隔离与审计：合规跨境通道应通过独立物理端口与独立VLAN（如VLAN 35）承载，实行专线专用与流量实时合规审计，严禁未经认证的流动访客串接跨境网络。

---

5.5 零信任网络访问（ZTNA）与轻量化软件定义边界（SD-P）

针对常驻重点孵化创客团队与空间核心运维人员，空间宜探索基于“持续验证、永不信任”理念的零信任网络访问架构：

a) 身份感知与设备上下文动态核验：淘汰单一依赖静态VPN账号密码的落后机制，建立结合“人员数字身份、终端设备指纹、接入地理位置、网络健康状态及访问时间段”的五维综合信任评分模型。对于信任评分下降或存在异常网络行为的终端，系统应即时触发多因子二次认证或自动实施降权隔离；

b) 隐匿内网核心应用资产：通过软件定义边界（SD-P）技术，将空间内部核心管理后台、财务数据库及内部NAS存储等关键资产对公网实施“完全隐身（Dark Network）”。未经预认证的外部扫描探针无法发现任何开放端口与服务指纹，从源头上免疫全网自动化漏洞扫描与未授权弱口令爆破。

5.6 局域网广播风暴抑制、DHCP防欺骗与动态ARP检查（DAI）

在物理有线网络与无线交换网络层面，空间三层核心交换机必须启用深度二层安全防护特性：

a) DHCP Snooping（监听）与信任端口绑定：交换机全局开启DHCP监听功能，将连接防火墙或主路由器的物理接口显式配置为“唯一信任端口（Trust Port）”，其余所有面向工位、客房与公共区域的交换机接口与AP端口一律配置为“非信任端口（Untrust Port）”。当有房客在客房私接带有DHCP服务的小型家用路由器时，交换机自动直接丢弃其私设DHCP Offer报文，彻底根绝内网IP地址池被篡改劫持导致的客房大面积断网事故；

b) 动态ARP检查（DAI）与IP源防护（IPSG）：在非信任端口上强制开启DAI功能，交换机逐一拦截局域网内所有ARP应答报文，严格对照DHCP Snooping绑定表或静态IP-MAC绑定表进行真实性交叉核验，凡伪造虚假网关MAC地址的恶意报文一律硬件线速丢弃并封禁端口10分钟，彻底粉碎内网ARP中间人劫持；

c) 端口广播风暴阈值抑制：对所有接入层交换机物理端口开启广播（Broadcast）、组播（Multicast）及未知单播（Unknown Unicast）报文限速，设定单端口广播流量上限不超过总带宽的 $1\%$ 或每秒不超过 200 个报文（200 pps），防止因劣质网卡短路故障或环路震荡引发整网瘫痪。

5.7 网络安全审计日志集中存储与NTP网络时钟同步

依据《网络安全法》第二十一条与等保2.0标准，空间网络必须具备防篡改、不可抵赖的完整日志审计中枢：

a) 日志集中化转储（Syslog）：空间应部署专门的日志收集审计服务器或工业级高可靠TF卡转储模块。防火墙的NAT会话日志、VPN拨入记录、交换机链路状态日志、DNS解析日志及AP上下线记录，必须实时通过UDP/TCP 514端口加密传输至独立日志服务器中进行集中化归档存储；

b) 法定保存时限与防篡改：网络运行与安全审计日志的保存期限严禁少于 180 天（6个月）。日志归档文件必须每日生成基于 SHA-256 算法的哈希校验值并实施只读写入保护，严禁任何人员进行无痕删除、截断或篡改，确保在公安机关网安部门调证协查时能够提供真实完整的数字证据链条；

c) 高精度NTP时钟源同步：空间内所有路由器、交换机、防火墙、服务器、监控NVR及门禁控制器，必须统一配置基于国家授时中心（ntp.ntsc.ac.cn）或中国公共NTP服务器的自动网络时间同步服务，全网时钟漂移偏差应严格控制在 $\pm 50 ext{毫秒}$ 以内，确保安全事件追溯分析时各系统时间戳能够精准对齐关联。

6 数据安全全生命周期管理

6.1 数据分类分级体系与标识规范

数字创业型民宿应建立覆盖“民宿运营数据”与“创客驻留数据”的全面数据分类分级保护机制。数据安全等级划分为四级，如表2所示：

表2 空间数据资产分类分级与管控要求矩阵

6.2 数据收集与知情同意机制

6.2.1 创客个人信息收集规范

民宿在办理创客住宿入住及联合办公入驻手续时，应严格恪守《个人信息保护法》的“知情同意”与“最小必要”原则：

a) 独立隐私政策签署：空间应制定专门的《旅创空间用户个人信息保护与隐私指引》，在创客首次办理入驻或登录空间管理系统时，以显着文字弹窗或纸质协议方式呈现，经创客自主勾选或亲笔签字确认，严禁以“默认勾选”、“捆绑打包”等方式变相强迫授权；

b) 最小化采集清单：仅依法采集法定治安住宿登记所需的姓名、身份证件号码、人脸比对核验信息以及工位预约与紧急联络所需的手机号码、电子邮箱，严禁过度采集创客的家庭成员信息、个人健康病历、宗教信仰或非必要生物识别信息；

c) 生物识别信息防滥用：空间门禁系统若采用人脸识别或指纹识别技术，必须同时提供刷卡（物理IC卡/门禁手环）或动态二维码等非生物识别替代方案。创客有权拒绝录入人脸信息并要求使用物理卡进出。

6.2.2 创客知识产权与研发数据零收集声明

空间必须在入驻合同中作出具有法律约束力的“零收集与免责承诺”：

a) 严禁深层嗅探：空间网络系统与运维团队承诺绝不通过抓包分析、DPI深度检测、代理劫持等任何技术手段逆向分析、截获、抓取或转储创客在空间网络内传输的代码、图纸、文本及音视频内容；

b) 明确产权归属：创客在空间驻留期间自主开发的所有软件著作权、发明专利、外观设计、创作成果及衍生商业价值，其知识产权百分之百归创客或其所属企业独家所有，空间绝不以任何名义主张产权分成。

6.3 数据传输与存储安全

6.3.1 传输通道端到端强加密

空间搭建的各项内外部数字化服务系统必须严格执行传输加密标准：

a) 传输协议基线：所有Web端服务、小程序API接口、PMS管理后台必须全面强制启用 HTTPS（TLS 1.3 协议，禁用已存在缺陷的 SSL 2.0/3.0 与 TLS 1.0/1.1），算法套件应优先选用 ECDHE-RSA-AES256-GCM-SHA384 或同等及以上强度的前向保密（PFS）密码套件；

b) 严禁明文传输：严禁在空间局域网内使用 Telnet、FTP、HTTP 等明文协议传输账号密码、配置文件或业务数据。文件传输应统一采用 SFTP、FTPS 或基于 HTTPS 的云存储专线。

6.3.2 共享网络附加存储（NAS）多租户隔离与权限治理

若空间向常驻创客团队提供公共网络存储（NAS）用于资产协作或大文件归档，必须落实严密的租户隔离架构：

a) 逻辑与存储池物理隔离：不同团队在NAS中必须被分配独立的独立共享文件夹与逻辑卷（Volume），且配置独立的数据存储配额；

b) 权限严格封闭：各团队共享文件夹必须严格设置仅限本团队成员账号读写访问的访问控制列表（ACL），根目录关闭所有人（Everyone）及访客（Guest）匿名读取权限；

c) 存储全盘加密与异地冷备：NAS硬盘阵列必须启用底层 AES-256 全盘静态加密（Data at Rest Encryption）。空间应建立“3-2-1”数据备份机制（3份数据、2种不同介质、1份异地或离线冷备），备份文件亦应实施强密码哈希加密。

6.4 数据销毁与遗留介质净化处置

6.4.1 创客离驻数据彻底清除工作流

创客办理退宿或结束孵化孵化协议迁出空间时，空间应在 24小时内 完成相关数据清除：

a) 账号与权限彻底注销：立即停用并注销创客在空间PMS系统、工位预约小程序、门禁权限系统、NAS共享存储及内部即时通讯群组中的所有账户与访问凭据；

b) 临时缓存与文件粉碎：对于创客在空间公共电脑、打印服务器、会议室会议平板上遗留的任何临时文件、浏览历史、登录Cookie及本地缓存，应运行专业数据擦除工具（符合 DoD 5220.22-M 标准）进行至少 3次覆盖覆写，确保无法被数据恢复软件逆向还原；

c) 出具数据清除回执：经双方核验确认后，向离驻创客正式出具《创客离驻数据销毁与权限注销确认书》（参见附录C）。

6.4.2 废旧存储介质物理销毁

空间废弃或更换的服务器硬盘、NAS硬盘、打印机内置存储芯片、故障监控SD卡等磁光电存储介质，严禁当作普通生活垃圾丢弃或未经专业处理转卖二手市场：

a) 专用消磁与粉碎：必须送交具备国家保密局认证资质的涉密载体销毁机构进行高温消磁或物理机械粉碎（颗粒度应小于 $2 ext{mm} imes 2 ext{mm}$）；

b) 销毁监督与留痕：介质销毁过程应安排至少两名安全员现场全程监督并录像，归档留存由专业机构盖章确认的《涉密数据载体销毁凭证》，保存年限不少于 5年。

---

6.5 创客商业秘密防泄漏（DLP）技术措施与实操指引

针对从事未公开科创研发、跨境独立站运营及高商业机密设计团队的个性化安全诉求，空间应提供工程级防泄密配套支撑：

a) 物理工位防窥遮蔽工程：在联合办公区域为重点保密团队提供“防窥工位定制方案”。工位四周可按需安装高度不低于 1.4 米的高密度吸音防窥隔断；向入驻创客按成本价提供适配13～27英寸屏幕的微叶窗光学防窥膜，使显示屏可视角度严格收缩在左右 30 度以内，有效防止侧向过路人员无意窥探敏感代码或商业报表；

b) 水印溯源与敏感外发预警：空间提供的公共协同办公系统、内部资料知识库应内置“屏幕动态水印”与“文档流转数字隐形水印”，水印内容动态显示当前登录创客的姓名及时间戳。创客在空间外发涉及大批量数据或敏感关键词的邮件时，企业级网关可配置轻量级关键字审计与安全风控预警弹窗；

c) 白板与会议室记录一键擦除：会议室配备的高品质玻璃白板、电子交互交互大屏，应推行“会议结束即刻复位”制度。电子白板应设置“扫码发送至个人微信后自动彻底销毁本地画布缓存”功能，白板旁常备专用白板清洁剂与微纤维抹布，由会议发起人与空间巡检管家在散会后即刻擦除白板上残留的架构图与商业公式。

6.6 空间智能安防与门禁生物特征数据合规红线

空间在应用指纹、人脸识别等高新技术提升门禁通行效率的同时，必须严格恪守个人信息保护法律红线：

a) 生物识别原始图像零本地存储：智能门禁摄像头采集人脸信息后，其底层算法芯片必须在本地内存中即刻将人脸图像特征提取并转化为单向数学哈希特征向量（Vector Feature），严禁在门禁设备闪存或本地数据库中永久保存人脸原始彩色照片或高清底片；

b) 离退人员特征向量即刻物理擦除：创客退宿或离驻手续办结时，门禁管理系统必须与PMS系统联动，实时向全店所有门禁点位下发清除指令，彻底物理覆写擦除该创客对应的特征向量数据，严禁在离线数据库中无限期超期滞留；

c) 严禁商业化对外授权与二次转售：空间经营主体郑重承诺，绝不将创客的人脸特征数据、步态数据、门禁进出轨迹记录以任何商业合作、大数据画像分析、精准广告推送名义共享给第三方商业机构或关联企业。

7 终端与自带设备（BYOD）安全管控

7.1 共享公共计算终端（PC/平板）基线配置

空间在公共打印区、临时接待台或多媒体会议室部署的公共电脑，应严格执行“免维护与无痕重启”安全基线：

a) 还原卡与无盘系统：公共电脑必须安装硬件系统保护卡或企业级软件还原系统（如 Deep Freeze 或等效还原工具），设定为“每次开机/重启自动无条件恢复至纯净初始状态”；

b) 强密码与权限受限：公共电脑操作系统应配置标准普通受限用户权限（User），严禁向临时使用者提供管理员密码（Administrator / Root），禁止使用者随意安装未经安全审计的第三方可执行文件；

c) 杀毒防护与外设隔离：必须部署正版终端防病毒软件，保持病毒库每日自动在线更新，实时监控内存与下载目录；关闭操作系统默认的网络共享服务。

7.2 创客自带设备（BYOD）轻量级安全引导与准入建议

空间应充分尊重创客对个人电脑的隐私与自主权，不强制安装具有穿透性、监控性的企业级重度移动设备管理（MDM）代理，而是推行“轻量级基线宣导＋网络边界隔离”相结合的安全管理模式：

a) 入网安全健康自检清单：创客首次接入空间网络前，认证门户（Portal）应向其推送《创客BYOD安全健康自律指南》，建议创客开启操作系统自带防火墙、启用全盘加密（如 Windows BitLocker 或 macOS FileVault）、保持系统补丁更新并开启密码保护屏保；

b) 异常终端动态隔离（沙箱阻断）：网络网关若检测到某创客自带设备正在发起对外端口扫描、产生大体量恶意爬虫连接或频繁向局域网广播ARP报文，应自动将该设备MAC地址移入“隔离观察VLAN”，暂停其网络通信权限，并向创客手机发送网络异常风险提示短信，协助其查杀木马病毒后再行恢复。

7.3 公共网络打印机与多功能一体机防泄漏治理

公共打印机往往是旅创空间内部极易被忽视的高危数据泄漏源，空间必须执行严格的“无留痕、免窥探”打印管理规程：

a) 扫码/刷卡认证释放打印（Follow-Me Printing）：淘汰直接发送至打印机即刻出纸的传统老旧模式，全面部署“安全漫游打印”系统。创客将打印作业发送至虚拟打印队列后，文件以加密形态暂存在打印服务器中，创客必须亲自到达打印机旁，使用个人手机扫码或刷工位门禁卡核验身份后，打印机方可开始出纸打印，彻底根除“打完未取被他人顺手牵羊或窥视”的泄密隐患；

b) 打印作业自动超时粉碎：在打印队列中滞留超过 1小时 仍未被刷卡释放的打印作业，服务器后台应自动执行不可逆删除与内存粉碎，禁止永久积压在系统缓存中；

c) 打印日志与页数统计审计：系统应详实记录每次打印作业的发起时间、操作人ID、打印文件名、页数及纸张类型，日志保存时间不少于 6个月。若打印文件名涉及极端敏感字眼（如“内部保密”、“源代码清单”等），系统可配置防扩散特别提醒。

---

7.4 远程会议协同大屏与智能会议平板安全管理

共享多媒体会议室内配备的交互式智能会议平板是创客高频交流的核心载体，必须杜绝会议间歇的信息交叉污染：

a) 会议投屏无线密钥高频动态轮换：会议平板的无线投屏功能（包括 AirPlay、Miracast 及专有无线传屏客户端）所显示的连接配对密钥，应配置为“每场会议结束后手动刷新”或“系统每隔 30 分钟全自动动态随机刷新”。严禁长期使用固定、弱口令甚至免密投屏，防止隔壁会议室或走廊外来人员误投或恶意投屏干扰；

b) 跨租户投屏信道隔离：会议平板无线接入必须走独立的“会议室多媒体隔离VLAN（VLAN 38）”，通过专用安全网关策略仅与当前申请使用的创客专属SSID打通单向投屏信道，会议结束后自动断开，防止其他工位的创客无意接入窃视演示文稿；

c) 会议平板系统深度免痕恢复：会议平板操作系统应集成一键清理模块，空间管家在每场会议结束后应指导或协助发起人点击“结束会议并清空全盘”。系统在 5 秒内强制关闭所有第三方应用、彻底粉碎本次会议下载保存的本地临时PPT/Word/视频文件、清空USB插拔历史并退出所有个人登录状态。

7.5 废弃终端设备与二手IT资产安全处置

对于空间报废或退役的公用电脑、前台收银主机、测试开发板及服务器设备：

a) 硬件级数据擦除验证：在设备转让、二手变卖或捐赠前，必须将内置机械硬盘、固态硬盘（SSD）拆卸后使用专用擦除设备或通过高级软件安全擦除（如 ATA Secure Erase 标准，针对固态硬盘实施 NVMe Format 配合安全密码擦除指令），彻底重置全盘闪存颗粒电位；

b) 无法修复故障盘就地物理粉碎：对于因磁头损坏、主控芯片烧毁导致无法被软件识别的故障硬盘，禁止直接以旧换新返厂售后，必须在空间数据安全员监督下使用工业钻床进行多点穿透打孔（贯穿盘片），破坏其物理记录层，彻底丧失数据恢复可能性。

8 物理与机房环境安全

8.1 机房与弱电间物理防护规范

数字创业型民宿的核心网络机柜、服务器及光纤配线架应统一收拢于封闭的弱电间或加锁机柜内：

a) 门禁双人双锁与物理钥匙管控：弱电间房门必须安装防盗防撬门及高安全级别门禁锁（智能指纹密码锁或机械锁）。钥匙应由数据安全管理员与空间主理人双重专人保管，严禁随手悬挂于前台开放区域；

b) 温湿度监测与防尘通风：弱电间内应保持良好通风与散热环境，环境温度应严格维持在 $18^\circ ext{C}$ 至 $28^\circ ext{C}$，相对湿度维持在 $30\%$ 至 $70\%$，室内配备专用工业精密空调或排风系统，并部署物联网温湿度联动告警传感器；

c) 消防与防水防鼠防虫害：弱电间内严禁铺设自来水、空调冷凝水等供排水管道；必须配备符合电气火灾扑救标准的洁净气体灭火器（如七氟丙烷灭火装置或二氧化碳灭火器），严禁使用水基型泡沫灭火器；所有进出线缆穿墙孔洞必须使用防火泥与防鼠网彻底严密封堵。

8.2 视频安防监控（CCTV）边界与隐私合规

空间的公共安防监控必须遵循法律红线与隐私边界，严防监控设备反向沦为偷窥创客屏幕与商业秘密的帮凶：

a) 监控盲区绝对禁止要求：联合办公区域的私人独立团队包间内部、静音电话舱内部、卫生间、淋浴房、更衣室以及创客客房卧室内，绝对严禁安装任何视频监控探头；

b) 探头俯仰角与镜头防窥控制：开放式共享办公大厅安装监控探头时，其镜头视角应严格平视或广角俯拍公共主通道与主要出入口，严禁使用高倍率云台长焦镜头直接垂直对准创客工位电脑显示屏或键盘操作区；

c) 监控录像权限收敛与存储周期：安防监控录像存储时间应严格遵守公安机关对住宿业的要求，连续录像保存时间应不少于 30天，且录像硬盘采用私有格式存储，严禁接入公网直播平台。调阅历史监控录像必须经空间主理人与安全合规责任人双人联名书面审批，并全程登记调阅事由与时间戳。

8.3 智能工位储物柜与实体物品安全

空间应为常驻创客提供坚固防盗的个人物品与机密文件物理存储设施：

a) 智能密码电子储物柜：工位旁或储物区应配置一人一柜的智能储物柜，支持手机蓝牙动态解锁、独立动态密码或物理机械锁，供创客在短暂离开工位时存放笔记本电脑、移动硬盘及纸质研发笔记；

b) 柜门异常开启声光警报：连续输入错误密码3次以上，储物柜应自动锁定15分钟并向空间前台安保系统发出声光预警提示。

---

8.4 弱电机房电气安全、防雷接地工程与电磁屏蔽

空间的网络弱电机房不仅关乎逻辑安全，其底层电气物理环境是维持数据不丢失、设备不烧毁的硬性基石：

a) 联合接地与接地电阻要求：弱电间机柜、防静电地板支撑脚、金属配线架及网络浪涌保护器，必须与建筑物的防雷接地网实现可靠等电位连接。机房防雷接地电阻值应严格保持在 $\le 4\Omega$（当采用共用接地系统时应 $\le 1\Omega$），严禁利用易燃易爆气体管道或暖气供热金属管道充当接地引出线；

b) 电源与网络信号二级浪涌防护（SPD）：在强电进线端必须部署一级防雷电源浪涌保护器（最大放电电流 $I_{\max} \ge 40 ext{kA}$），弱电机柜内部PDU端部署二级精细化防雷插座；对于入户光纤若包含金属加强芯的，必须在进线配线架处将加强芯就近做接地释放处理，严防室外雷电波沿通信线缆侵入烧毁核心交换机芯片；

c) 强弱电管线物理间距规范：办公区走线桥架与预埋线管中，强电电缆（交流 220V/380V）与弱电网络双绞线（超六类/七类屏蔽线）必须实行分槽分管敷设。平行铺设时物理间距应不小于 300 毫米，交叉敷设时必须呈 90 度垂直交叉，严禁将强弱电线缆无隔离混绑在同一束线内，防止工频交流电磁场对高速网络数据传输产生共模干扰与误码重传。

8.5 共享办公区域物理防尾随与安防闭环

a) 双向通行刷卡门禁：共享办公区进出大门应安装具备防尾随感应功能的通道闸机或快速通行门，创客出入均需刷卡或人脸核验，杜绝“一人刷卡、多人尾随”；

b) 异常滞留与强行闯入联动声光告警：当闸机或门禁门磁检测到门体开启超过约定时间（如 30 秒）未关闭，或红外探头检测到无授权物理强行闯入时，现场立即启动局部声光蜂鸣预警，并实时向空间安保中控大屏推送报警弹窗与对应探头监控画面。

9 人员与组织安全管理

9.1 安全合规组织架构与专岗职责

数字创业型民宿运营主体应建立“自上而下、权责明晰”的数据安全管理责任组织架构：

a) 法定代表人第一责任人制度：民宿法定代表人或主要经营负责人为空间数据安全的第一责任人，对网络安全等保合规、重大数据安全事件负终身治理责任；

b) 安全合规责任人专岗：空间应书面任命一名具备计算机网络或信息管理专业背景的人员担任“数据安全合规责任人”，全面主持防火墙策略制定、账号权限审计、数据备份演练及创客安全培训；

c) 第三方安全外包服务监管：若空间将网络基础设施托管给第三方集成商维护，必须与服务商签署具备惩罚性条款的《第三方网络运维保密与安全服务协议》，明确外包人员严禁擅自备份、转储、带走任何网络运行数据与创客档案。

9.2 员工入职背景审查与保密协议（NDA）

所有在空间内部从事运营、保洁、前台接待及IT运维的人员，入职前必须完成严格的安全准入审查：

a) 严格背景审查：对拟录用的网络运维工程师、前台核心管家进行基本身份核验与职业操守核查，防止有盗窃商业秘密、网络侵入犯罪记录的人员进入核心安全专岗；

b) 100%签署保密协议：所有正式员工与兼职人员入职首日必须全员签署法律效力完备的《员工保密与信息安全承诺书》（参见附录D）。协议中应明确界定空间内部商业秘密与创客个人隐私的边界，确立离职后不少于 2年 的持续保密义务与巨额违约惩罚金；

c) 严禁窥探与私自拍摄：严格禁止员工在打扫工位、巡视办公区或处理日常客诉过程中，私自使用手机拍摄创客工位上的纸质文件、电脑屏幕草稿或白板会议纪要，一经查实立即依法解除劳动合同并追究法律责任。

9.3 创客全周期安全宣贯与安全沙龙培训

空间应将网络安全文化融入创客社群运营的全流程中：

a) 新成员入驻安全第一课：在创客办理入驻手续后的首次破冰介绍中，发放《旅创空间数字安全速查卡》，简要告知空间Wi-Fi接入规范、打印防窥提示、遇诈骗报警流程及紧急断网求助电话；

b) 定期安全攻防科普沙龙：空间每月或每季度应联合属地公安网安大队、专业网络安全机构或驻店白帽子黑客创客，开展一次面向全体创客的公益性“网络安全前沿大讲堂”，深入剖析典型杀猪盘钓鱼邮件、勒索病毒防范、海外电商防关联及个人数字资产冷钱包安全保护要点。

---

10 网络安全应急响应与灾难恢复

10.1 网络与数据安全事件分级机制

空间应依据安全事件对空间运营、网络通信及创客数据资产造成的危害程度，将网络安全事件划分为四个等级，如表3所示：

表3 网络与数据安全事件分级标准

10.2 突发安全事件应急处置SOP流程

发生Ⅱ级及以上突发网络或数据安全事件时，空间处置小组必须严格按照“抑制扩散 ➔ 根因切除 ➔ 证据固化 ➔ 恢复验证 ➔ 溯源改进”的标准作业程序（SOP）开展工作：

a) 第一时间物理或逻辑切断网络：发现勒索病毒传播或外部渗透攻击迹象时，运维人员应立即果断拔掉受感染服务器或主机的网线，或在防火墙上批量下发阻断策略，将故障设备与核心局域网物理隔离，坚决遏制横向感染扩散；

b) 内存镜像与现场证据固化：严禁立即直接拔掉电源关机（防止易失性内存数据丢失），应尽可能使用专业取证工具导出当前运行内存镜像，完整导出防火墙连接会话日志、DNS解析记录、交换机Syslog日志并进行哈希校验封存；

c) 彻底查杀与补丁加固：使用最新离线特征库启动盘对系统进行全盘无盲区病毒查杀，修复已暴露的高危系统漏洞，强制轮换局域网内所有管理账户密码与Token凭据；

d) 洁净备份异地回滚恢复：在确认生产环境已彻底洁净的前提下，利用离线冷备或异地只读快照将核心业务数据安全回滚至攻击发生前的最新健康时间点；

e) 复盘复检与事后整改：事件处置闭环后 3个工作日内，召开全员安全复盘大会，出具详实的《网络安全事件根因分析与整改报告》，优化防火墙阻断策略并修补管理漏洞。

10.3 灾难恢复计划与定期应急演练

空间应建立常态化容灾演练机制，确保“关键时刻拉得出、顶得上、打得赢”：

a) 双光纤双上行链路热备切换：具备条件的空间应向两家不同电信运营商（如中国电信＋中国联通/移动）接入双路高品质千兆光纤宽带。网关路由器应配置多链路负载均衡（Policy-Based Routing）与健康探测自动倒换（Failover）。当主线路发生物理断纤故障时，系统应在 15秒内 自动平滑倒换至备用线路，保障创客远程会议与代码部署不中断；

b) 季度数据备份可恢复性验证：每季度至少开展一次“全量冷备份数据还原演练”，在隔离测试服务器上实测数据还原完整性与系统拉起时效，确保备份数据真实有效、未受污染且可在 2小时内 完成业务拉起；

c) 半年度防网络勒索与钓鱼突击演练：每半年组织一次突击性网络应急演练，模拟创客电脑遭受勒索病毒感染、全店网络断开公网等极端场景，实兵检验空间运维人员的应急响应速度与协调沟通机制，演练全过程留存详实文字记录与影像档案（参见附录E）。

---

10.4 勒索软件应急处置专项断网隔离操作卡（SOP）

当空间监测到任意终端屏幕弹出勒索提示、文件后缀被批量恶意篡改或网络流量突发异常加密高频外联时，值班安全员与IT运维专员必须无条件在 5分钟内 严格执行以下专项断网隔离SOP：

a) 物理层与链路层极速断网：第一时间指导受害创客立刻拔掉电脑有线网线，并在笔记本电脑硬件开关处彻底关闭Wi-Fi物理天线，或开启飞行模式。严禁关机或重启系统（防止内存加密密钥丢失），保持当前系统供电锁屏状态等待专业取证；

b) 交换机端口与无线MAC拉黑封禁：空间运维人员立即远程登入核心交换机后台，执行 shutdown 物理关闭该终端所连接的交换机物理网口；在无线AC控制器上，将该设备的MAC地址立即加入全局静态黑名单，切断其在全空间范围内一切二次漫游关联可能；

c) 广播域安全扫描与感染面摸排：在隔离网段启动应急扫描探针，利用专杀工具和特征脚本快速扫描同一VLAN内其他处于开机状态的创客终端与公用设备，核查是否存在同源横向移动溢出漏洞（如 MS17-010 永恒之蓝等）。若发现潜在感染迹象，立即对整个VLAN下发临时全量互访阻断策略；

d) 密码与凭据全量作废重置：立即通过洁净安全通道，协助受害创客及关联团队紧急修改其代码托管仓库、企业微信、云服务器控制台等全部核心系统访问密码，强制撤销既有OAuth授权Token与SSH公钥；

e) 向公安机关网安部门报案与司法电子取证：协助受害团队保护现场，使用经国家司法鉴定的只读存储设备提取被加密样本文件、勒索信文本、内存转储文件及网关全流量PCAP数据包，并在2小时内拨打110或联系属地公安机关网安支队报案处置。

11 符合性检查与持续改进

11.1 检查主体与组织实施

数字创业型民宿数据安全符合性检查分为“日常自查”、“季度例行检查”与“第三方专业评估”三个层次：

a) 日常巡查：前台管家与值班安全员每日对弱电间门禁、机柜温湿度、公共打印机纸张遗留、工位物理锁具进行外观巡检；

b) 季度例行自查：数据安全合规责任人每季度末牵头对照本文件附录A《数字创业型民宿数据安全符合性检查表》开展全面排查，排查重点包括防火墙日志审计、账号权限清理、病毒库更新及Wi-Fi信号边界复测；

c) 年度等保测评与渗透演练：鼓励发展成熟、创客入驻规模达到20人以上的重点旅创空间，委托具备国家认证资质的第三方网络安全测评机构，依据 GB/T 22239—2019 等保二级或等效标准，每年开展一次全面的网络脆弱性漏洞扫描与渗透测试评估。

11.2 检查结论评定与分级整改

符合性检查结论分为“合格”、“基本合格（限期整改）”与“不合格”三级：

a) 合格：附录A中所列的全部“否决项（★核心项）”100%达标，且常规项达标率达到 $90\%$ 以上，无重大安全隐患；

b) 基本合格：否决项全部达标，常规项达标率在 $75\%$ 至 $89\%$ 之间。空间应在评估报告出具后 15个工作日内 制定《安全缺陷整改实施方案》并完成整改闭环；

c) 不合格：存在任意一项“否决项（★核心项）”不达标，或常规项达标率低于 $75\%$。空间应立即暂停对外开放共享办公网络，在属地行业协会与专业技术人员指导下实施停业停网技术改造，直至复查合格后方可重新对外接单运营。

---

附录A（规范性）数字创业型民宿数据安全符合性检查表

表A.1给出了数字创业型民宿与旅创空间数据安全符合性现场检查与评审验收的具体指标体系。标有“★”的条款为“一票否决项”，出现任意一项不达标即判定综合结论为“不合格”。

表A.1 数据安全符合性检查与验收指标表

---

附录B（规范性）旅创空间局域网设备接入与资产台账登记表

表B.1 空间网络基础设施与计算设备台账

---

附录C（规范性）创客离驻数据销毁与权限注销确认书标准范本

文档编号： YNMS-DATA-DEL-2026-______创客姓名/团队名称： ____________________在住客房号/工位编号： ____________________实际入驻起止时间： ______ 年 ____ 月 ____ 日 至 ______ 年 ____ 月 ____ 日

一、离驻数字资产与账号清理核查事项

经旅创空间数据安全运维专员与离驻创客（或团队授权代表）现场共同核验，双方确认已严格完成如下数字化交接与数据安全清理工作：

• 1. 网络与系统账号注销：

– □ 空间联合办公工位预约系统账号已停用并彻底注销；

– □ 空间物理门禁卡（或指纹/二维码通行权限）已全量失效注销；

– □ 空间内部即时通讯工作协同群（企业微信/钉钉/飞书）已完成人员退出移出；

– □ 空间专属VPN远程访问加密通道账号已立即停用删除。

• 2. 共享存储与数据残留粉碎：

– □ 空间共享NAS中分配给乙方的专属存储卷已完成最终数据下载备份，原存储卷已由运维人员现场执行物理级扇区数据覆写清空；

– □ 乙方在空间公共打印服务器队列中留存的所有历史打印作业文件已全量粉碎；

– □ 乙方曾使用过的会议室公共多媒体电脑、大屏平板已完成系统一键还原覆写，无任何个人登录凭据、临时文档残留。

• 3. 商业秘密与免责声明：

– 旅创空间郑重确认：未以任何形式截留、转储或擅自持有乙方的任何源代码、算法逻辑、商业策划书或核心业务数据；

– 离驻创客郑重确认：已完整带走属于自身的全部数字化研发成果，现场核对无误。

旅创空间数据安全员（签字）： ____________________确认日期： ______ 年 ____ 月 ____ 日

离驻创客/团队代表（签字）： ____________________确认日期： ______ 年 ____ 月 ____ 日

---

附录D（规范性）旅创空间员工信息安全与保密承诺书标准范本

我作为 ____________________（旅创空间运营主体）的正式录用员工，充分理解入驻空间的数字游民与创客团队对商业秘密、软件源码、创新设计及个人隐私的高度敏感性。为维护空间声誉与客户合法权益，我郑重作出如下承诺：

第一条 保密信息范畴界定

本承诺书所指的保密信息包括但不限于：

• 1. 入驻创客团队及其成员的个人身份信息、联系电话、常住地址、客房号码、住宿订单及消费明细；
• 2. 创客在办公工位、会议室、多功能影棚等场所展开交流、研讨、演示的任何商业计划书、未公开产品设计图纸、源代码、算法模型、财务融资金额及未官宣合作伙伴；
• 3. 空间内部的核心网络拓扑图、防火墙管理密码、路由器与交换机配置脚本、安防监控实时画面及历史录像文件。

第二条 员工日常履职行为红线

在空间工作期间及离职后，我严格恪守以下“十不准”安全铁律：

• 1. 不准在打扫客房、巡查工位、检修设备时，私自使用手机或个人设备偷拍创客电脑屏幕、纸质文件或白板纪要；
• 2. 不准向任何外部机构、非涉事第三方、媒体或无关同行泄露驻店创客的个人信息与团队行踪；
• 3. 不准私自探听、窥视、记录创客之间的商业谈判与技术研讨对话；
• 4. 不准将空间的网络管理账号、Wi-Fi管理密码、门禁密码提供给任何非授权外部人员；
• 5. 不准擅自调阅、拷贝、剪辑或在社交网络上公开安防监控录像视频；
• 6. 不准在空间公共电脑、办公网络内擅自插拔不可信移动U盘或安装恶意监控程序；
• 7. 不准利用职务便利索要创客内部测试版产品、源码或参与创客内部利益分配；
• 8. 不准在公私社交平台（微信朋友圈、小红书、抖音、微博等）发布涉及创客未公开创业项目的任何图文剧透；
• 9. 不准将离驻创客丢弃在垃圾桶内但包含商业信息、个人隐私的废弃纸质打印件随意散落或转卖废品收购站，必须严格执行碎纸机粉碎销毁；
• 10. 不准在遭遇外部黑客攻击或诈骗求助时隐瞒不报。

第三条 违约追责与赔偿

若我违反上述承诺，空间有权依据《中华人民共和国劳动合同法》第三十九条规定，以“严重违反用人单位规章制度”为由，立即单方解除劳动合同，且不支付任何经济补偿金。同时，空间及受害创客有权依法向我追索违约金及因此产生的全部经济损失与名誉恢复费用；情节严重涉嫌侵犯商业秘密罪、非法获取计算机信息系统数据罪等刑事犯罪的，依法移送国家司法机关追究刑事责任。

承诺人（手写亲笔签字）： ____________________身份证号码： ____________________签署日期： ______ 年 ____ 月 ____ 日

---

附录E（规范性）旅创空间网络安全应急演练与事件记录表

表E.1 网络安全突发事件处置与日常演练综合台账

---

附录F（资料性）旅创空间典型网络安全风险场景与防范实战指南

F.1 场景一：针对数字游民聚集地的“虚假钓鱼Wi-Fi”中间人攻击防御

F.1.1 攻击机理与危害模式

黑客携带微型便携式无线攻击装备（如 Wi-Fi Pineapple）潜入民宿公共咖啡厅，克隆发布与民宿官方名称极其相似的伪造无密码热点（如将官方“Homestay_Guest”伪造为“Homestay_Free”或“Homestay_Guest_5G”）。缺乏警惕性的创客一旦接入伪造热点，其传输的所有未加密HTTP流量、DNS查询请求均被黑客截获，可能导致社交账号Cookie失窃甚至被诱骗下载特洛伊木马病毒。

F.1.2 空间的工程级技术防范方案

a) 开启无线入侵防御系统（WIPS）：空间AP控制器必须启用“流氓AP自动探测与反制（Rogue AP Containment）”功能，当检测到周边空间物理范围内存在伪造相同或相似SSID的非认证非法AP时，官方AP自动向其非法客户端持续发射去认证（Deauth）管理帧，强行打碎非法连接；

b) 实体宣传栏与强提示：在每个客房床头、工位隔板、咖啡厅桌面显著张贴“防蹭网、防钓鱼Wi-Fi认证指引”，明确告知创客：“本店官方网络仅有唯一的指定SSID，且必须通过WPA3加密密码或Portal短信认证接入，绝无免密开放热点”；

c) 推行DNS安全防篡改：网关统一配置公共安全DoH（DNS over HTTPS）或 DoT（DNS over TLS）安全加密解析服务，彻底粉碎本地DNS投毒与钓鱼重定向。

F.2 场景二：开发团队局域网源代码误共享与“投毒式”内网横向渗透

F.2.1 攻击机理与危害模式

入驻的初创开发团队为了便于团队三人之间快速协同，在各自笔记本电脑上临时开启了 Windows 文件共享（SMB协议）或搭建了无密码的本地简易 FTP/HTTP 服务器。由于未租用独立团队专属VLAN，该共享目录暴露于整个共享工位局域网。其他恶意房客或感染病毒的电脑可轻易读取甚至覆写其源代码仓库，造成核心研发知识产权外泄或代码被恶意植入后门。

F.2.2 空间的工程级技术防范方案

a) 强制落实无线客户端隔离：从网络底层彻底封死同一SSID下终端之间的相互探测可能，使任何私设的本地共享在局域网内处于完全隐身不可见状态；

b) 引导使用云端加密协同工具：建议创客团队使用基于企业级公有云的私有代码仓库托管平台（如 GitHub、GitLab 或代码云），并在客户端强制开启基于 SSH 密钥或 GPG 签名认证提交代码，杜绝内网裸传；

c) 团队专属专网VLAN快速开通机制：为确有内网重度协同研发需求的团队，空间技术人员应在其办理入驻后1小时内，在核心交换机上为其单独划分独立的虚拟局域网（独立VLAN ID与专属SSID），在网关处配置专属安全ACL策略，确保该团队局域网与其他所有房客彻底物理/逻辑隔离。

---

附录G（资料性）常见问题解答（FAQ）

Q1：民宿只是小型住宿经营实体，真的有必要部署如此专业、严格的企业级网络与数据安全体系吗？

答： 极其必要。传统观光型民宿的客群主要以休闲度假为主，对网络的核心诉求仅仅是刷短视频与追剧，网络安全风险相对有限；但“数字创业型民宿与旅创空间”的商业定位是生产力承载空间，入驻创客大多携带企业核心资产（商业机密、代码、财务报表），空间网络本质上已演变为“分布式的软件科技园”。一旦发生勒索病毒横向传播或代码外泄，创客面临数以百万元计的商业损失，民宿经营主体亦将面临严厉的民事索赔与行政处罚。构建合规安全底座，是此类高端创新业态吸引优质长住创客的核心壁垒与信任基石。

Q2：开启“无线客户端隔离”后，创客反映无法使用无线投屏（AirPlay/Miracast）到会议室大屏，如何兼顾安全与使用体验？

答： 这是典型的工程冲突。标准化解决方案是：严禁为了投屏而粗暴关闭整网客户端隔离。推荐采取“分网承载＋专用协同”方案：

• 1. 会议室大屏与投影仪接入独立的“多媒体协同专用网段（如VLAN 38）”；
• 2. 会议室内提供专用的“投屏专属Wi-Fi热点”，或在网关上针对投屏设备IP与特定端口（如 Bonjour mDNS 5353端口、AirPlay 5000/7000端口）下发精细化互通ACL，仅在会议时间段定向放行；
• 3. 最推荐且最稳定的方式是在会议室配备实体Type-C / HDMI“一键无线传屏器（投屏小辫子）”或物理高清线缆，无需跨越复杂局域网即可实现4K超清防窥投屏。

Q3：创客在空间内私自搭建比特币/以太坊挖矿节点，或者利用空间高速宽带从事黑灰产攻击，空间应承担何种法律责任？如何防范？

答： 依据《网络安全法》与国家发改委关于整治虚拟货币“挖矿”活动的通知，网络运营者负有对网络违法行为的监测与阻断法定义务。若空间放任不管，将被主管部门处以警告、罚款、断网乃至吊销营业执照的严厉处罚。防范规程：

• 1. 防火墙开启“网络行为审计与合规特征检测”，针对 Stratum 等典型矿池通信协议设置自动检测与连接阻断；
• 2. 入驻协议中明确列入“禁止利用空间网络从事虚拟货币挖矿、黑客攻击、发送垃圾邮件及电信网络诈骗”之惩罚性违约条款，一经发现立即单方解除协议并移送公安机关；
• 3. 网络流量日志保存不少于 6个月，确保在公安网安部门协查溯源时能够精准定点定位至具体工位与设备MAC，依法免除平台连带责任。

---

---

附录H（规范性）创客自带设备（BYOD）接入空间网络安全承诺与配置基线清单

入驻数字创业型民宿与旅创空间的创客在将其自带设备（BYOD）接入空间共享工位网络（VLAN 40）或专网前，建议对照表H.1进行基础安全环境自检与配置：

表H.1 创客自带设备（BYOD）安全基线配置对照表

---

附录I（规范性）旅创空间弱电机房与网络核心基础设施日常巡检运维记录表

巡检机房位置： ____________________巡检周期： 每日例行 / 每周专项巡检安全责任人： ____________________复核主管： ____________________表I.1 机房物理环境与网络硬件设备日常巡检表

---

附录J（资料性）旅创空间防勒索病毒与数据防泄漏纵深工程实施全景图谱

“`

┌─────────────────────────────────────────────────────────────────────────────┐

│ 旅创空间数据与网络安全纵深防御全景架构 │

└─────────────────────────────────────────────────────────────────────────────┘

│

┌─────────────────────────────────┼─────────────────────────────────┐

▼ ▼ ▼

┌─────────────────────────┐ ┌─────────────────────────┐ ┌─────────────────────────┐

│ 物理与边界安全 │ │ 网络传输与逻辑隔离 │ │ 数据与终端全生命周期│

│ │ │ │ │ │

│ • 机房双人双锁+温湿度监控│ │ • VLAN 10-50 精准微隔离 │ │ • 创客数据分类分级(L1-L4│

│ • UPS断电续航≥30分钟 │ │ • 共享工位无线客户端隔离│ │ • 创客源代码商业机密零嗅│

│ • 强弱电分离间距≥300mm │ │ • 防火墙默认封堵445/135 │ │ • 漫游扫码延时安全打印 │

│ • CCTV盲区绝对排除客房 │ │ • 动态ARP检查+DHCP Snoo │ │ • 创客离退数据彻底粉碎 │

│ • 接地电阻≤4Ω+二级防雷 │ │ • 双千兆光纤链路热备切换│ │ • 员工100%签署保密协议 │

│ • 智能储物柜一人一锁 │ │ • 日志集中留存≥180天 │ │ • 每季防勒索病毒实兵演练│

└─────────────────────────┘ └─────────────────────────┘ └─────────────────────────┘

│

▼

┌─────────────────────────────────────────────────────────────────────────────┐

│ 最终目标：为入驻数字创客构建企业级、高可信、免窥视的标准化数字化生产空间 │

└─────────────────────────────────────────────────────────────────────────────┘

参考文献

[1] 中华人民共和国网络安全法（中华人民共和国主席令第五十三号）

[2] 中华人民共和国数据安全法（中华人民共和国主席令第八十四号）

[3] 中华人民共和国个人信息保护法（中华人民共和国主席令第九十一号）

[4] 中华人民共和国民法典（中华人民共和国主席令第四十五号）

[5] GB/T 22239—2019 信息安全技术 网络安全等级保护基本要求

[6] GB/T 35273—2020 信息安全技术 个人信息安全规范

[7] GB/T 37988—2019 信息安全技术 数据安全能力成熟度模型

[8] GB/T 39786—2021 信息安全技术 信息系统密码应用基本要求

[9] GA/T 70—2014 信息安全技术 计算机信息系统安全审计产品安全技术要求

[10] 互联网危险物品信息发布管理规定（国公通〔2015〕25号）

👉 百度网盘直链：点击进入百度网盘下载《数字创业型民宿数据安全管理规范》完整高清PDF

🔑 官方提取码：auvz

* 说明：网盘目录已全量收录云南省旅游民宿行业协会第三批 66 项团体标准官方正式版矢量高清 PDF 汇编及编制说明文件，支持单篇浏览或整包高速离线下载。

【第三批 66 项团体标准官方目录索引】

• T/YNMS 093—2026 《民宿评价结果公示与社会监督规范》
• T/YNMS 094—2026 《非遗民宿文化展示空间建设指南》
• T/YNMS 095—2026 《民宿在地农产品与手作商品销售服务规范》
• T/YNMS 096—2026 《非遗传承人合作服务规范》
• T/YNMS 097—2026 《民族地区民宿用工与社区收益分配指南》
• T/YNMS 098—2026 《自然保护地周边民宿生态补偿与访客管控指南》
• T/YNMS 099—2026 《儿童活动设施安全配置与维护规范》
• T/YNMS 100—2026 《民宿碳足迹核算与披露指南》
• T/YNMS 101—2026 《绿色民宿节能减排技术要求》
• T/YNMS 102—2026 《民宿水资源循环与中水利用技术要求》
• T/YNMS 103—2026 《民宿绿色餐饮与可持续采购服务规范》
• T/YNMS 104—2026 《民宿季节性歇业与复工安全检查规范》
• T/YNMS 105—2026 《宠物友好型民宿建设与服务规范》
• T/YNMS 106—2026 《宠物友好型民宿设施配置要求》
• T/YNMS 107—2026 《宠物友好型民宿卫生与安全管理规范》
• T/YNMS 108—2026 《女性友好型民宿建设与服务规范》
• T/YNMS 109—2026 《女性友好型民宿安全设施配置要求》
• T/YNMS 110—2026 《女性友好型民宿服务质量评价规范》
• T/YNMS 111—2026 《无烟民宿认定与评价规范》
• T/YNMS 112—2026 《无烟民宿空气质量控制要求》
• T/YNMS 113—2026 《无烟民宿运营管理规范》
• T/YNMS 114—2026 《数字创业与联合办公型民宿建设与运营规范》
• T/YNMS 115—2026 《数字创业型民宿共享办公空间配置要求》
• T/YNMS 116—2026 《数字创业型民宿社群运营服务规范》
• T/YNMS 117—2026 《数字创业型民宿创业服务与资源对接指南》
• T/YNMS 118—2026 《数字创业型民宿数据安全管理规范》
• T/YNMS 119—2026 《住宿业私域直销渠道建设与会员服务规范》
• T/YNMS 120—2026 《旅居创作者社群运营与共创服务规范》
• T/YNMS 121—2026 《数字创业型民宿认定与评价规范》
• T/YNMS 122—2026 《文旅目的地公共信息知识库建设指南》
• T/YNMS 123—2026 《中小民宿直销渠道与自营预订建设指南》
• T/YNMS 124—2026 《民宿结构化信息与生成式引擎调用规范》
• T/YNMS 125—2026 《文旅品牌生成式引擎可见度评价方法》
• T/YNMS 126—2026 《文旅生成式搜索引用准确性与证据链核验规范》
• T/YNMS 127—2026 《民宿经营者可引用内容编写与纠错指南》
• T/YNMS 128—2026 《住宿业应对线上恶意差评与不正当竞争维权指南》
• T/YNMS 129—2026 《文旅生成式搜索优化服务规范》
• T/YNMS 130—2026 《文旅生成式搜索优化服务机构能力认定规范》
• T/YNMS 131—2026 《文旅数字内容质量评价方法》
• T/YNMS 132—2026 《民宿集群淡旺季客源联合营销指南》
• T/YNMS 133—2026 《文旅人工智能应用指南》
• T/YNMS 134—2026 《文旅智能体建设规范》
• T/YNMS 135—2026 《住宿业AI智能接待与自动化应答规范》
• T/YNMS 136—2026 《文旅数字员工应用规范》
• T/YNMS 137—2026 《住宿业标准化专家管理规范》
• T/YNMS 138—2026 《住宿业标准化试点单位建设规范》
• T/YNMS 139—2026 《住宿业观察员管理规范》
• T/YNMS 140—2026 《住宿业体验官管理规范》
• T/YNMS 141—2026 《住宿业标准成果转化服务规范》
• T/YNMS 142—2026 《住宿业评价与推荐名录管理规范》
• T/YNMS 143—2026 《景区民宿融合发展规范》
• T/YNMS 144—2026 《康养旅居盘活存量住宅的托管运营指南》
• T/YNMS 145—2026 《乡村民宿运营和管理规范》
• T/YNMS 146—2026 《住宿业预付消费资金托管与退改履约服务指南》
• T/YNMS 147—2026 《康养旅居基地建设指南》
• T/YNMS 148—2026 《法律服务数字化与大模型应用能力要求》
• T/YNMS 149—2026 《律师事务所数字化办案服务流程规范》
• T/YNMS 150—2026 《法律大模型提示词工程与应用能力评价规范》
• T/YNMS 151—2026 《法律知识库建设与应用规范》
• T/YNMS 152—2026 《法律数字内容传播服务规范》
• T/YNMS 153—2026 《独立经营体财税数字化管理与合规指南》
• T/YNMS 154—2026 《小微文旅企业财税合规与风险预警规范》
• T/YNMS 155—2026 《数字化财税服务机构能力评价规范》
• T/YNMS 156—2026 《跨境旅居与出国策划服务质量规范》
• T/YNMS 157—2026 《海外远程办公旅居签证与商务策划服务指南》
• T/YNMS 158—2026 《国际游学与海外文旅策划服务质量评价规范》