En los últimos años, las cadenas hoteleras han pedido a sus clientes que compartan más información personal que nunca a cambio de un mejor servicio. Esto conlleva la necesidad de garantizar que esta información esté lo más segura posible frente a las filtraciones de datos. SkiftX habló recientemente con Aleksander Ludynia, director de seguridad de Shiji Group, sobre lo que las empresas hoteleras deben tener en cuenta en materia de seguridad y privacidad de datos para el próximo año.
Nota: Este artículo fue creado originalmente en colaboración por Shiji y el estudio de contenidos de marca de Skift, SkiftX.
SkiftX: Why is hotel customer data so attractive to hackers?
Aleksander Ludynia: Empecemos con una buena noticia: la hostelería no se encuentra entre los sectores más atacados por los ciberdelincuentes, especialmente en comparación con las finanzas y la sanidad. Según algunos informes, el coste de las filtraciones de datos en el sector de la hostelería ha disminuido en los últimos cinco años, probablemente como resultado de las medidas de seguridad aplicadas tras las filtraciones graves y de la creciente atención prestada a la privacidad en todo el mundo.
Pero la abundancia de datos personales y de tarjetas de crédito procesados, así como el valor de estos datos, hacen que estas empresas resulten atractivas para los ciberdelincuentes. Los datos de las tarjetas de crédito pueden ser fácilmente monetizados por los piratas informáticos, y los datos personales pueden venderse en la web oscura para llevar a cabo estafas o robos de identidad. Los datos de hostelería también tienen valor de inteligencia, lo que puede atraer a un grupo especializado de ciberdelincuentes que buscan la ubicación, preferencias, compañeros de viaje u otros detalles relacionados con huéspedes de alto perfil.
Dado que estas filtraciones pueden ser masivas y afectar a millones de clientes, a menudo reciben mucha publicidad en los medios de comunicación. Esto tiende a dar la impresión de que el sector es menos seguro que otros. Desgraciadamente, la exposición al riesgo, sumada al creciente número de ciberdelincuentes activos, significa que es inevitable que se produzcan más filtraciones de datos en el sector. Todo ello hace más compleja la ingeniería de software de los procesos de despliegue de seguridad.
SkiftX: How are consumers thinking about sharing their personal data with larger hotel companies?
Ludynia: Los clientes se dan cuenta de que compartir algunos de sus datos personales con los hoteles forma parte del trato, y los que son miembros de programas de fidelización suelen reconocer que sus datos se utilizan para mejorar los servicios que reciben: cuanta más información compartan, más afinado será el servicio. Pero los Clientes no quieren que sus datos se vendan o compartan con terceros sin una razón válida. Los hoteles también deben equilibrar la recogida de demasiadas preferencias personales y asegurarse de que la información se utiliza para satisfacer al cliente, en lugar de maximizar estrictamente los beneficios.
Gracias al GDPR y a otras normativas, es de esperar que los clientes confíen más en que los hoteles no harán nada indeseado con sus datos personales. Nuestro trabajo es garantizar que esa confianza se mantenga intacta.
SkiftX: The role of security used to primarily be about protecting systems or the company. Now, it’s about protecting the company’s customers, especially in hospitality. Why is this?
Ludynia: La seguridad siempre ha consistido en proteger la información. Sin embargo, cada vez se presta más atención a la seguridad de los datos personales debido a la expansión de la tecnología digital, las nuevas normativas, las multas más cuantiosas y el marketing cada vez más intrusivo. Los clientes son ahora conscientes de la importancia de controlar quién tiene acceso a sus datos personales. Esperan que sus datos sean protegidos y utilizados únicamente para los fines acordados. Sabiendo cuánto puede costar a una empresa una filtración de datos, las empresas están asumiendo la responsabilidad de garantizar el máximo nivel de seguridad para proteger los datos de los clientes. Como proveedores de servicios en la nube, sabemos que desempeñamos un papel muy importante en esta cadena de responsabilidad.
SkiftX: What are some of the pros and cons that GDPR has brought to enterprise hotel companies? How well do you think the industry has responded so far?
Ludynia: El GDPR definió lo que los hoteles pueden y no pueden hacer con los datos personales de sus huéspedes, eliminando cualquier incertidumbre sobre las normas y principios de protección de datos. Ha ayudado a los hoteles a unificar sus procesos y normas internas en torno a los datos personales. Esto ha crecido más allá de Europa a medida que el GDPR se convierte en la norma y sus principios son aplicados también por hoteles y reguladores de países no pertenecientes a la UE.
Uno de los retos que planteaba el RGPD era la adaptación de los sistemas IT heredados a sus requisitos. En algunos casos, los hoteles tuvieron que decidir si actualizaban su sistema general o se centraban en la implantación de nuevas soluciones. Creo que las soluciones en la nube construidas con privacidad a nivel de arquitectura son una forma perfecta de resolver estos problemas. También trasladan a los proveedores la responsabilidad de futuros ajustes, lo que facilitará la vida al personal de IT de los hoteles.
Nunca es fácil adaptar nuevas normativas a sistemas antiguos, pero en general creo que el sector ha respondido positivamente.
SkiftX: How should enterprise hotel companies be thinking about data sovereignty? Can you give an example of how the issue of data sovereignty might come into play for an enterprise hotel company?
Ludynia: Las leyes de protección de datos como el GDPR no establecen los requisitos de localización de datos, sino que regulan las transferencias transfronterizas de datos. Estas normas son relativamente transparentes y sencillas. Sin embargo, algunas jurisdicciones han desarrollado leyes sectoriales relevantes >- paralelamente a las leyes de protección de datos >- que definen dónde deben almacenarse los datos.
Cumplir los requisitos de soberanía de datos que imponen las normativas de todo el mundo es un gran reto para los hoteles de empresa. Como operan a escala mundial, pueden tener que cumplir múltiples normativas que, en algunos ámbitos, pueden entrar en conflicto entre sí.
Por ejemplo, la normativa de una jurisdicción podría obligar a una propiedad a almacenar los datos de sus clientes en el país donde opera. La normativa de otra jurisdicción puede exigir que los datos se almacenen en el país del que es ciudadano el Cliente del hotel. El hotel necesita determinar qué ubicación de almacenamiento de datos debe utilizar: la ubicación de la propiedad o el país de nacionalidad del Cliente del hotel.
La soberanía de los datos también complica el proceso de unificación de los perfiles de los clientes en un único perfil. Puede requerir que la empresa implante múltiples ubicaciones de almacenamiento de datos y un control estricto sobre cómo se transfieren los datos. Conscientes de ello, hemos diseñado específicamente nuestro sistema de gestión de perfiles para que pueda adaptarse a las cadenas globales y a la normativa internacional.
SkiftX: What can enterprise hotel companies do to protect themselves from data breaches?
Ludynia: Pueden protegerse a sí mismos y a los datos personales y de titulares de tarjetas de sus clientes comprendiendo sus exposiciones al riesgo y desplegando las medidas de seguridad adecuadas. Deben abordar los riesgos más significativos examinando sus recursos más valiosos, quién podría atacar a la empresa y por qué, qué tipo de ataques podrían tener lugar y cuál podría ser el impacto de dichos ataques. También deben garantizar la disponibilidad y precisión de sus sistemas empresariales, así como la integridad de los datos que contienen, por ejemplo, los datos y la información necesarios para procesar las reservas.
Aunque las soluciones de seguridad complejas son importantes, la higiene básica de la seguridad es clave. Esto incluye el mantenimiento de inventarios de sistemas y datos, la aplicación periódica de parches a los sistemas, su configuración segura, la gestión del acceso y la limitación de las superficies de ataque externas. Los sistemas heredados deben supervisarse de cerca y, en algún momento, puede ser necesario sustituirlos por nuevas soluciones que respondan a los requisitos empresariales y de seguridad actuales.
SkiftX: What can enterprise hotel companies improve upon when it comes to data security?
Ludynia: Uno de los eslabones más débiles en la seguridad de los datos de los hoteles de empresa es que los sistemas heredados que se suelen utilizar dificultan la introducción de nuevos controles de seguridad. Los hoteles deben cambiar a las nuevas tecnologías y soluciones IT con seguridad y privacidad diseñadas dentro de la arquitectura central, en lugar de ser una capa añadida cuando surge la necesidad. Para nuestras soluciones, optamos por construir nuestras plataformas en la nube con la plataforma de Amazon Web Services (AWS), ya que garantiza velocidad y seguridad, además de rentabilidad.
Otro aspecto a mejorar es la formación de los empleados. Los empleados deben ser conscientes de la sensibilidad de los datos que tratan, de las amenazas y ataques a los que pueden enfrentarse y de los procedimientos que deben seguir para evitar las violaciones. Sin una formación adecuada y regular, pueden convertirse en los eslabones más débiles. Es importante darse cuenta de que el tema de la seguridad nunca está acabado. Siempre habrá aspectos que mejorar, ya que la tecnología cambia y las amenazas evolucionan.
SkiftX: What are some advancements you expect to see in data security and privacy for hotel companies in 2021 and beyond?
Ludynia: Espero que veamos avances en la forma en que las empresas hoteleras almacenan y gestionan los datos regionales, y creo que la soberanía de los datos va a cobrar más importancia en términos de seguridad y confianza de los clientes. También predigo que se ampliará el alcance de lo que consideramos “información privada”. Actualmente, consideramos datos personales directamente identificables información como el nombre, la dirección y el número de teléfono. Sin embargo, a medida que avanza la tecnología, puede utilizarse un mayor número de datos para vincular la información a una persona. Por lo tanto, datos como el análisis del comportamiento, las preferencias alimentarias o los gastos podrían llegar a estar explícitamente cubiertos por la normativa sobre privacidad. Por último, todas las nuevas tecnologías implantadas por los hoteles crearán también nuevos riesgos que deberán ser abordados por los equipos de seguridad.
SkiftX: Cloud platform technology vendors frequently claim that cloud is more secure than on premise technology. What are your thoughts on this?
Ludynia: Estoy de acuerdo en que las soluciones en la nube suelen ser más seguras que los sistemas heredados on-peremise. Debido a limitaciones técnicas, estos sistemas antiguos pueden no ofrecer un nivel de seguridad suficiente, especialmente en los entornos interconectados. Se espera que esto se convierta en un reto cada vez mayor a medida que aumente el uso de las API.
Sin embargo, hay que tener en cuenta que no todas las soluciones en la nube son igual de seguras. Un sistema no está necesariamente más protegido por el hecho de ser una solución en la nube. Los proveedores de servicios en la nube comparten el riesgo y la responsabilidad con sus socios. La clave está en elegir un socio tecnológico en la nube de confianza que se tome en serio estos riesgos y asuma la responsabilidad exclusiva de implantar medidas de seguridad eficaces. En Shiji damos prioridad a la seguridad del cliente, pero no todos los proveedores de seguridad en la nube hacen lo mismo.
