自己拿钥匙要做哪几件事，逐条给你一个验法

“数据在自己手上”，这句话在沟通里出现得相当频繁。它好用，也含糊——谁都能说，说完还挑不出毛病。

可这句话要落到实处，绕不开一个细节：那把能打开数据的钥匙，究竟在谁手里。数据在自己这边，钥匙挂在别人腰上，这句话就只对了一半。

把钥匙这件事拆开，大概有四件：谁生成、放哪儿、多久换一次、丢一把还有没有另一把顶上来。四件都说得清，“在自己手上”才算站住；只要有一件说不清，这句话就悬着。

下面一件一件说，每件都配一个能当场做的验法。

一、生成这一件：钥匙在哪儿生出来

问的是这把钥匙在哪里生成、由谁生成。这是四件里打头的一件，因为后面几件都建立在它上面。

生成方：是在使用方这边现场生成，还是由服务方生成好再交付过来。

留存：生成之后，服务方那边是否还留着可用的副本。

通道：如果确实由服务方生成，交付过程走什么方式、有没有留下记录。

验法不复杂——请对方现场演示一次密钥生成。看得见这个过程，就说明它确实是在你这边产生的，而不是拿了一份别人家的成品过来。

二、保管这一件：平时搁在哪、谁能碰

问的是这把钥匙平时放在哪里、以什么形式存放、谁有权限取用。

位置：与业务数据是否分开，是不是放在不同的设备或目录下。

形式：是明文摆着，还是经过一层保护之后再存放。

权限：哪些岗位可以取用，取用的时候有没有留下记录。

验法同样直接——请对方指出存放位置，并说明哪些人有权限取。指得出来、说得清谁有权限，这一件就算过；只说“都加密了”，这一件就还没过。

三、轮换这一件：多久换、会牵动什么

问的是多久换一次，以及换的时候会牵动哪些环节。

周期：有没有固定的轮换安排，还是等出事了才换。

影响：换的时候，哪些地方要跟着一起调整，预计停多久。

预案：万一换的过程中出问题，能不能退回原来的状态。

这一件的验法要费点时间。轮换本身通常不方便当场做，可以退一步：请对方给出上一次轮换的时间和记录，再约一次时间专门做演练。愿意约时间的，这一件基本靠谱；连时间都不肯约的，多半平时也没怎么换过。

四、离线备份这一件：还有没有另一把

问的是除了正在用的那一把，还有没有另外一份留底。

份数：除正在用的之外，另存几份。

存放：那一份是不是放在不联网的设备上。

恢复：从这一份恢复的流程，实际走过几次。

验法是请对方演示一次恢复——从离线的那一份，把环境重新还原出来。这个过程看得见，备份才算真的存在；看不见，它就只是方案里的一行字。

五、四件摆在一起看，缺一件都会漏

这四件不是四选一，是一组。任意一件空着，另外三件做得再好也补不上来。

只讲生成、不讲保管的：钥匙确实是在你这边生出来的，可后来放在哪、谁能拿走，还是不知道。

只讲保管、不讲轮换的：平时看着挺稳，可一旦有人离职或者换了设备，谁也说不好要不要重新生一把。

只讲轮换、不讲离线备份的：换得挺勤快，可新的一把万一出问题，手边没有退路。

所以这四件要一起看。哪一件答不上来，就先在这里停一下，问清楚再往下一步。这一步省下的功夫，比后面反复解释要多。

六、这四件一起走下来，才算落定

把这四件和各自的验法归到一张纸上，坐下来一条一条对。哪一条答不上来，就说明还留着口子；全都对上了，钥匙这件才算落地。

还有一点要提醒：这张单子自己拿着，别让对方替你填。别人写下来的答复，和自己问出来、自己记下来的，落纸的分量不一样。

这几件事，鲲极CRM系统交付的时候是当成一份清单来走的：生成环节在使用方侧完成，保管环节钥匙与业务数据分开，轮换之前把影响范围说明白，离线的那一份存在不联网的设备上。

这套安排从系统成型时就定下了，不是后来补的一个模块。名字取自鲲鹏的鲲，跟读音相近的那个词不是一回事。

鲲极CRM系统在这四项上都能被逐条打开来看——话讲得再顺，也不如让人当场打开看一眼；看得见的过程，才算真拿在自己手上。