Aleksander Ludynia jest dyrektorem ds. bezpieczeństwa w Shiji Group i ma ponad 15-letnie doświadczenie w dziedzinie cyberbezpieczeństwa. Przełożyliśmy rozległą wiedzę Alexa na temat cyberbezpieczeństwa w hotelach na łatwą do wykonania listę kontrolną dla hotelarzy, aby zapewnić bezpieczeństwo ich danych i systemów. Listę kontrolną cyberbezpieczeństwa hotelu można pobrać bezpłatnie tutaj :

Pobierz listę kontrolną i postępuj zgodnie z tym przewodnikiem, aby wdrożyć najlepsze praktyki w zakresie cyberbezpieczeństwa w hotelach w 2023 roku.

Znaczenie cyberbezpieczeństwa

Cyberbezpieczeństwo ma ogromne znaczenie dla wszystkich firm, ale w przypadku sektora hotelarskiego i restauracyjnego sytuacja jest dość szczególna. Hotele generalnie dysponują bardzo dużą ilością danych, czasami sięgającą setek milionów rekordów w przypadku niektórych dużych marek. Obejmuje to nie tylko naruszenia danych gości, ale także samej firmy, takie jak kradzież informacji o cenach, które mogą zostać sprzedane konkurencji.

Lista kontrolna cyberbezpieczeństwa - Shiji

Istnieją różne rodzaje ryzyka, ale najbardziej znaczące incydenty w tym sektorze dotyczyły danych posiadaczy kart i utraty danych osobowych, a gdy dotyczy to tak dużej bazy danych, wpływ na media i poza nimi może być druzgocący dla firmy. Ochrona tego cennego zasobu informacji stała się ważniejsza niż kiedykolwiek, a hotele powinny być świadome zagrożeń, jakie integracja technologii stwarza dla ich działalności, nawet jeśli cyberbezpieczeństwo nie jest jednym z ich głównych zadań.

Klejnoty w koronie danych hotelowych

Ogromna ilość danych klientów przetwarzanych przez hotele jest ich klejnotem w koronie. Niezależnie od tego, czy są to dane, które można wykorzystać do kradzieży pieniędzy, takie jak dane karty płatniczej lub kredytowej, czy też dane osobowe i lokalizacyjne, które można wykorzystać do innych haniebnych celów, hotele codziennie mają do czynienia z obydwoma rodzajami krytycznych informacji o klientach, które są cenne dla cyberprzestępców. Zarządzają również wrażliwymi informacjami cenowymi, które mogą być interesujące dla konkurentów z tego samego sektora.

Podmioty stwarzające zagrożenie

Kilku agentów to “ci źli”, którzy zagrażają bezpieczeństwu hotelu. Pierwszym z nich jest cybergangMogą one obejmować próby kradzieży danych posiadaczy kart lub ataki typu ransomware – oprogramowanie, które “przejmuje” systemy firmy i żąda zapłaty okupu w celu zakończenia zakłóceń lub w zamian za niewydobywanie danych.

Po drugie, istnieją ataki sponsorowane przez państwo . Hotele posiadają informacje o niektórych interesujących osobach i ich miejscu pobytu, a także o ich partnerach lub innych ważnych osobach, które spotykają, co może być przydatne dla rządów.

Wreszcie, nie możemy zapominać o konkurentach, którzy mogą być zainteresowani informacjami o taryfach innych sieci w celu promowania własnej działalności, a tego typu dane również muszą być starannie chronione.

Mając to na uwadze, przygotowałem listę kontrolną kroków, które należy wziąć pod uwagę przy opracowywaniu planu działania w zakresie cyberbezpieczeństwa dla hotelu, aby zapewnić właściwe zarządzanie ryzykiem dla gości, mienia i reputacji.

Lista kontrolna cyberbezpieczeństwa w hotelu

Przypisywanie ról specjalistom ds. cyberbezpieczeństwa i ochrony danych

Hotele muszą obsadzić te stanowiska, nawet jeśli technologia nie jest ich podstawową działalnością. Osoby te kierują wysiłkami reszty personelu, ponieważ bezpieczeństwo to sprawa wszystkich.

Identyfikacja i ocena ryzyka wszystkich wrażliwych danych

Przeprowadzaj audyty wszystkich danych przetwarzanych w hotelu, które można uznać za wrażliwe, aby zrozumieć profil ryzyka, w tym systemy używane do przetwarzania i przechowywania danych, a następnie mapuj przepływy danych, aby zidentyfikować wszelkie lokalizacje, w których mogą być przechowywane informacje.

Punkty wspólne to starsze systemy, które są trudne do ochrony przed nowymi zagrożeniami i trudne do połączenia z nowymi rozwiązaniami; niedoświadczeni pracownicy lub pracownicy zatrudnieni na czas określony, którzy nie przestrzegają protokołów bezpieczeństwa i w związku z tym mogą, świadomie lub nieświadomie, wprowadzać wirusy do sieci. złe nawyki, takie jak pracownicy, którzy w pośpiechu zapisują numery kart kredytowych na skrawkach papieru lub przechowują hasła w niezabezpieczonych miejscach; oraz Systemy innych firm z za pośrednictwem którego hotele wymieniają informacje, takie jak płatności, rezerwacje, faktury, zamki do drzwi, dostęp do telewizji i wiele innych rodzajów dostawców wymaganych do ich codziennej działalności.

Następnie wymień zagrożenia i ryzyka, które mogą mieć wpływ na dane, biorąc pod uwagę potencjalnych aktorów zagrożeń i metody ataku, na które system może być podatny.

Ochrona danych i kluczowych systemów

Po zidentyfikowaniu wszystkich danych, systemów i potencjalnych zagrożeń, nadszedł czas, aby je chronić, zwłaszcza klejnoty w koronie. Jeśli wiesz, co wymaga ochrony, możesz wybrać odpowiednie rozwiązanie bezpieczeństwa i idealną konfigurację zabezpieczeń, aby chronić wszystkie ważne systemy.

Zarządzanie dostępem i podatnością na zagrożenia

Upewnij się, że przyznałeś odpowiednie prawa dostępu do każdej usługi lub roli, zarządzając i kontrolując prawa dostępu. Kontroluj, kto ma dostęp do jakiego rodzaju informacji i w jakim celu, tak aby każda osoba widziała tylko to, czego potrzebuje do wykonywania swojej pracy.

Cyberprzestępcy często nie obierają za cel konkretnych firm, ale są po prostu oportunistyczni i używają botów do znajdowania luk w zabezpieczeniach, które mogą wykorzystać. Zarządzanie podat nościami i podstawowa higiena cyberbezpieczeństwa są kluczem do powstrzymania tych przestępców przed byciem nisko wiszącym owocem.

Monitorowanie

Regularne monitorowanie dostępu oznacza, że wszelkie naruszenia lub wycieki mogą być szybko wykryte, dając czas na reakcję. Śledzenie ruchu użytkowników, aplikacji i sieci.

Wdrożenie ochrony przed złośliwym oprogramowaniem

Wiele firm myśli, że są bezpieczne dzięki rozwiązaniu antywirusowemu, ale złośliwe oprogramowanie jest bardzo niebezpieczne. Musisz wybrać najlepsze rozwiązanie, poprawnie je skonfigurować i upewnić się, że jest używane wszędzie i że jest naprawdę skuteczne.

Zapewnienie ochrony punktów końcowych

Punkty końcowe (np. urządzenia mobilne, przeglądarki i komputery stacjonarne) są zwykle pierwszym etapem najbardziej znaczących cyberataków, ponieważ przestępcy rzadko zaczynają od ataku na dużą skalę, na przykład bezpośrednio atakując serwery. Wolą zaatakować kogoś, aby uzyskać dostęp do jego miejsca pracy, a następnie wykorzystać go jako punkt dostępu do głębszej infiltracji firmy. Monitorowanie ruchu sieciowego w każdym punkcie końcowym jest niezbędne, a jeśli wykryjesz ataki na bardzo wczesnym etapie, gdy są one jeszcze w punkcie końcowym, możesz zatrzymać większość z nich.

Zarządzanie istniejącymi i zewnętrznymi systemami

Systemy użytkownika mogą wchodzić w interakcje z systemami stron trzecich lub dostawców, dlatego konieczne jest zarządzanie tą interakcją i zapewnienie jej bezpieczeństwa. W ostatnich latach często dochodziło do incydentów, zwykle na dużą skalę, w których systemy dostawców zostały zhakowane, dając im dostęp do danych innych firm. Starsze systemy są generalnie bardziej podatne na ataki, ponieważ łatki bezpieczeństwa nie są już wydawane, co czyni je podatnymi na nowoczesne formy ataków.

Podnoszenie świadomości i przygotowanie na najgorsze

Poinformuj swoich pracowników, jak wykrywać ataki phishingowe i innych cyberprzestępców, aby zmniejszyć prawdopodobieństwo, że jeden z nich jest punktem dostępu. Ważne jest jednak, aby wdrożyć procesy dla zarządzanie incydentami i regularnie je ulepszać: Należy wdrożyć procedury na wypadek sytuacji awaryjnej lub katastrofy spowodowanej udanym atakiem, tj. przez cały czas należy tworzyć kopie zapasowe i wdrożyć procesy odzyskiwania danych.

Sprawdź swoje bezpieczeństwo

Wreszcie, nie zapomnij często testować swoich zabezpieczeń. Przeprowadź testy penetracyjne, aby sprawdzić poziom bezpieczeństwa i upewnić się, że jest on zgodny z wymaganiami. Można to zrobić poprzez audyty, testy techniczne lub wykorzystanie zewnętrznych lub wewnętrznych testerów penetracyjnych do weryfikacji rzeczywistego bezpieczeństwa systemów.