Aleksander Ludynia es el Director de Seguridad de Shiji y cuenta con más de 15 años de experiencia en ciberseguridad. Hemos plasmado los vastos conocimientos de Alex sobre ciberseguridad hotelera en una lista de comprobación fácil de seguir para que los hoteleros se aseguren de que sus datos y sistemas están protegidos. La Lista de Ciberseguridad para Hoteles puede descargarse gratuitamente aquí:
Descarga la lista de verificación y sigue esta guía para implantar las mejores prácticas de ciberseguridad para hoteles en 2023.
La importancia de la ciberseguridad
La ciberseguridad es de vital importancia para todas las empresas, sin embargo, en el caso del sector de la hostelería, se trata de una situación bastante singular. Los hoteles suelen manejar y poseer una gran cantidad de datos, a veces cientos de millones de registros en el caso de algunas de las marcas más grandes, lo que los convierte en un objetivo prioritario para la ciberdelincuencia. Y esto abarca no sólo los delitos contra la información de los huéspedes, sino también contra la propia empresa, como puede ocurrir con la información sobre tarifas que puede ser robada y vendida para beneficiar a un competidor.
Existen diferentes riesgos, pero los mayores incidentes que han ocurrido en el sector estaban relacionados con los datos de los titulares de tarjetas y las filtraciones de datos personales, y cuando hablamos de una base de datos tan enorme, las repercusiones en los medios de comunicación y fuera de ellos pueden ser devastadoras para la empresa. Ahora es más importante que nunca proteger esta valiosa reserva de información, y los hoteles deben prestar atención a los riesgos que la incorporación de la tecnología conlleva para sus operaciones, aunque la ciberseguridad no sea intrínsecamente su principal responsabilidad.
La joya de la corona de los datos hoteleros
La gran cantidad de datos de clientes que procesan los hoteles es su joya de la corona. Ya se trate de datos que pueden utilizarse para robar dinero, como los datos de pago o de tarjetas de crédito, o de datos personales y de localización que pueden utilizarse para otros fines nefastos, los hoteles tratan a diario con estos dos tipos de información crítica sobre los clientes, valiosa para los ciberdelincuentes. Por si fuera poco, también manejan información sensible sobre tarifas, que puede interesar a competidores del mismo sector.
Actores de la amenaza
Hay varios agentes que son los “malos” que amenazan la seguridad de un hotel. El primero de ellos son las bandas cibernéticas, y entre otras tácticas, pueden intentar robar los datos de los titulares de las tarjetas o utilizar ataques de ransomware, un software que “secuestra” los sistemas de una empresa y exige el pago de un rescate para detener la interrupción o a cambio de no filtrar los datos.
En segundo lugar, hay ataques patrocinados por el Estado . Los hoteles disponen de información sobre determinadas personas de interés y su ubicación, así como la de sus socios u otras personas importantes con las que se reúnen, lo que puede ser un conocimiento útil para los gobiernos.
Por último, no podemos olvidarnos de los competidores, que pueden estar interesados en información sobre las tarifas de otras cadenas para beneficiar sus propias operaciones, y también hay que tener el debido cuidado para proteger ese tipo de datos.
Teniendo esto en cuenta, he elaborado esta lista de pasos a tener en cuenta a la hora de desarrollar el plan de acción de ciberseguridad de su hotel, para asegurarse de que está gestionando adecuadamente los riesgos para sus clientes, su propiedad y su reputación.
Lista de verificación de la ciberseguridad en los hoteles
- Asignar funciones de especialista en ciberseguridad y privacidad
Los hoteles tienen que contratar personal para estas funciones aunque la tecnología no sea su actividad principal. Éstas serán las personas que guíen los esfuerzos del resto del personal, ya que la seguridad es tarea de todos.
- Identificar y evaluar los riesgos de todos los datos sensibles
Realice auditorías de todos los datos manejados por su hotel que puedan considerarse sensibles para conocer su perfil de riesgo, incluidos los sistemas utilizados para procesar y almacenar datos, y luego trace el flujo de datos para identificar todos los lugares donde puede estar la información.
Los puntos comunes son sistemas heredados, que son difíciles de proteger contra las nuevas amenazas y de conectar a las nuevas soluciones de forma segura; personal inexperto o temporal que puede no seguir los protocolos de seguridad convirtiéndose así en un puente al introducir virus en la red a sabiendas o sin saberlo; malos hábitos, como que el personal escriba los números de las tarjetas de crédito en trozos de papel cuando tiene prisa o guarde las contraseñas en lugares desprotegidos; y sistemas de terceros con con el que los hoteles intercambian información como pagos, reservas, facturación, cerraduras de puertas, acceso a TV y muchos otros tipos de proveedores necesarios para el funcionamiento diario.
Una vez hecho esto, haga una lista de las amenazas y riesgos que pueden afectar a los datos, teniendo en cuenta los posibles actores de amenazas y métodos de ataque a los que su sistema puede ser vulnerable.
- Proteger los datos y los sistemas clave
Una vez identificados todos los datos, sistemas y posibles amenazas, es hora de protegerlos, especialmente las joyas de la corona. Saber qué hay que proteger le garantiza que podrá elegir una solución de seguridad para aplicar, así como una configuración segura ideal para reforzar todos sus sistemas clave.
- Gestión de accesos y vulnerabilidades
Asegúrese de conceder los niveles de acceso adecuados a cada departamento o función de la forma correcta, gestionando los privilegios de acceso y supervisándolos. Controla quién tiene acceso a qué tipo de información y por qué motivos, de modo que cada persona sólo pueda ver lo necesario para cumplir sus funciones.
A menudo, los ciberdelincuentes no tienen como objetivo empresas concretas, sino que son oportunistas, por lo que hacen uso de bots para encontrar vulnerabilidades que puedan explotar. La gestión de vulnerabilidades y una higiene básica de ciberseguridad son clave para evitar ser la fruta al alcance de estos delincuentes.
- Supervisión
Supervisar el acceso con regularidad ayuda a detectar brechas o filtraciones con antelación, y le da tiempo a reaccionar ante ellas. Realice un seguimiento del tráfico de usuarios, aplicaciones y redes.
- Implantar protección antimalware
Muchas empresas piensan que el simple hecho de disponer de una solución antivirus significa que están a salvo, pero el malware es muy peligroso. Es necesario elegir la mejor solución, configurarla correctamente y asegurarse de que se implanta en todas partes y de que es realmente eficaz.
- Implantar la protección de puntos finales
Los puntos finales (como dispositivos móviles, navegadores y ordenadores de oficina) suelen ser el primer paso en los mayores ciberataques, ya que los delincuentes rara vez comienzan los ataques con algo grande, como ir directamente a por los servidores. Prefieren atacar a una persona para acceder a su puesto de trabajo y luego utilizarlo como punto de acceso para adentrarse más en la empresa. Supervisar el tráfico de red en cada punto final es crucial, y si detecta los ataques en una fase muy temprana, cuando aún están en el punto final, podrá detener la mayoría de los ataques.
- Gestión de sistemas heredados y de terceros
Sus sistemas pueden interactuar con los de terceros vendedores o proveedores, por lo que es necesario gestionar esa interacción y garantizar su seguridad. En los últimos años se han producido a menudo incidentes, por lo general de gran envergadura, en los que los culpables eran sistemas de proveedores pirateados que luego permitían acceder a los datos de otras empresas. En cuanto a los sistemas heredados, tienden a ser más vulnerables a medida que dejan de publicarse parches de seguridad, lo que los hace susceptibles a las formas modernas de ataque.
- Concienciarse y prepararse para lo peor
Proporcione una buena formación a los empleados sobre cómo detectar el phishing y otros tipos de ataques realizados por ciberdelincuentes para disminuir la probabilidad de que uno de ellos se convierta en el punto de acceso. Sin embargo, es importante introducir y mejorar periódicamente los procesos de gestión de incidentes: disponer de procedimientos en caso de emergencia o desastre provocado por un ataque con éxito, lo que significa mantener copias de seguridad constantes y establecer procesos de recuperación.
- Pruebe su seguridad
Por último, pero no por ello menos importante, compruebe a menudo su seguridad. Realice pruebas de penetración para verificar su nivel de seguridad y asegurarse de que está a la altura. Esto puede hacerse mediante auditorías, pruebas técnicas o pruebas de penetración externas o internas para verificar la seguridad real de sus sistemas.
Descargue la lista de verificación completa haciendo clic a continuación:
RELACIONADO:
