En resumen
- Cada persona del personal —fijo o temporal— debe tener su propia cuenta. Las cuentas compartidas en la recepción borran el rastro de quién hizo qué.
- La salida de un colaborador debe bloquear todos los accesos el mismo día: PMS, correo electrónico, Wi-Fi del personal, puertas y alarmas.
- Los huéspedes, el personal, los pagos y las cámaras deben estar alojados en redes separadas (VLANs) sobre la misma infraestructura física.
- Al final del artículo hay una lista de verificación para la entrada y salida de personal que está lista para utilizarse en la próxima temporada alta.
En este artículo
- El problema: mucha gente, poco tiempo, demasiados accesos
- Una cuenta por persona, con acceso a medida para la función
- Redes separadas: huéspedes, personal, pagos y cámaras
- Pagos con tarjeta: el PCI DSS en lenguaje simple
- Un caso real: seis hoteles en el Rossio y en los Restauradores
- Lista de verificación de entrada y salida del personal de temporada
- Preguntas frecuentes
- Revisión de los accesos de su hotel en 10 días laborables
Los accesos del personal de temporada En muchos hoteles, esta es la puerta más grande de la operación. Durante la temporada alta, ingresan recepcionistas, empleados de los pisos, equipos de restauración y estivadores. Reciben las contraseñas con prisa, comparten cuentas en la recepción y, cuando termina la temporada, ni siempre alguien se acuerda de retirarle el acceso. La respuesta es sencilla de enunciar: una cuenta por persona, acceso limitado a la función, redes separadas y un procedimiento de salida cumplido el mismo día.
El problema: mucha gente, poco tiempo, demasiados accesos
La hostelería tiene tres características que la hacen especialmente vulnerable:
- Rotación elevada. Las entradas y salidas ocurren durante todo el año, con picos en la primavera y el verano.
- Operación continua. La recepción no está cerrada. Hay turnos nocturnos, de fin de semana y festivos, a menudo sin nadie de IT presente.
- Datos sensibles en varios sistemas. El PMS (el sistema de gestión hotelera, donde viven las reservas y los datos de los huéspedes), los terminales de pago, el correo electrónico de reservas, las cámaras y el Wi-Fi.
Cuando uno de estos sistemas se accede con una cuenta genérica como “rececao1”, nadie puede responder a preguntas básicas. ¿Quién modificó esa reserva? ¿Quién emitió ese reembolso? ¿Quién consultó los datos de ese huésped? Y si un antiguo colaborador conoce la contraseña, sigue teniendo acceso — dondequiera que esté.
Una cuenta por persona, con acceso a medida para la función
La regla de oro es esta: cada persona tiene su propia cuenta en cada sistema, con acceso solo a lo que su función requiere.
| Función | PMS | Correo electrónico | Pagos | Wi-Fi |
|---|---|---|---|---|
| Recepcionista de temporada | Check-in, check-out y reservas | Recibidor compartido con acceso individual | Operar el terminal sin anular ni reembolsar | Red de personal |
| Jefe de recepción | Todo lo anterior, más tarifas y correcciones | Cuenta propia | Anulaciones y reembolsos | Red de personal |
| Planta alta y restaurante | Estado de los cuartos o consumos, cuando corresponda | Solo si es necesario | Sin acceso, o solo el POS del restaurante | Red de personal |
| Dirección y administración | Informes y configuración | Cuenta propia con MFA | Consulta y reconciliación | Red de administración |
Cada hotel ajusta la tabla a su organización. El principio no cambia: nadie tiene más acceso del que necesita.
¿Y la caja de correo de la recepción?
La casilla “reservas@” o “recepción@” puede y debe seguir existiendo. Lo que cambia es la forma de acceso: en lugar de una contraseña que todos conozcan, cada persona ingresa con su propia cuenta y recibe permiso sobre la casilla compartida. Al salir, se retira el permiso. La casilla permanece intacta y la contraseña no circula.
Para las contraseñas que aún tienen que ser compartidas —el portal de un operador turístico, por ejemplo— un gestor de contraseñas empresarial permite compartir sin revelar, y eliminarlo con un solo clic. En las cuentas de dirección y correo electrónico, autenticación multifactor Es obligatoria.
Redes separadas: huéspedes, personal, pagos y cámaras
En un hotel bien diseñado, existen al menos estas redes:
- Hospedados: Solo internet, aislada del resto.
- Personal: Para teléfonos móviles y tabletas de la plantilla, con una contraseña propia que cambia cuando hay salidas.
- Operación: PMS, computadoras de recepción y administración.
- Pagos: Terminales y POS, con el mínimo de comunicación necesario.
- Cámaras: CCTV en una red propia, con acceso a las imágenes controlado.
Es la firewall quien separa las redes y impone las reglas entre ellas. Explicaremos el papel de una cortafuegos administrado y las buenas prácticas del Wi-Fi para invitados en el artículo sobre Seguridad Wi-Fi en la empresa.
Pagos con tarjeta: el PCI DSS en lenguaje simple
El PCI DSS es el conjunto de requisitos de seguridad definido por el PCI Security Standards Council, el organismo creado por las marcas de tarjetas de pago. Según el propio Consejo, se aplica a todas las entidades que guardan, procesan o transmiten datos de tarjetas —y la dimensión no exime a nadie—. Si el hotel acepta tarjetas, está incluido. Si tiene que comprobar formalmente dicha conformidad, y cómo hacerlo, quien lo dice es el banco que le proporciona los terminales.
Para un hotel, las recomendaciones prácticas del Council para los comerciantes se traducen en cuatro gestos:
- Contraseña fuertes e individuales en todo lo que toca los pagos.
- Acceso remoto a los sistemas solo cuando sea necesario y siempre con autenticación multifactor.
- Actualizaciones de software aplicadas sin demora.
- Verificación regular de los terminales de pago para detectar falsificaciones.
La red separada para pagos ayuda a reducir la parte de la infraestructura que queda expuesta. No elimina las demás reglas.
Un caso real: seis hoteles en el Rossio y en los Restauradores
DataRoad gestiona seis hoteles en la zona de Rossio y Restauradores, en Lisboa: BePoet Hotel, BeHotel, Rossio Plaza Hotel, Nicola Rossio Hotel, LX Arch Rossio Hotel y Ouro Rossio Hotel. En todos ellos, la red de huéspedes está separada de la red operativa: un huésped portátil no ve el PMS, los POS, las cámaras ni los ordenadores de administración. Las cámaras funcionan en una red lógica propia, sobre la misma infraestructura física, con registro de quién visualiza las imágenes. Lea el caso de los seis hoteles.
No Hotel Ouro Rossio, El proyecto incluía 30 puntos de acceso Wi-Fi, 55 cámaras y 10 switches distribuidos en 6 plantas, con un firewall empresarial que realiza la segmentación de la red y el control del tráfico por perfil de usuario. Tras la implementación, el hotel pasó a un contrato IT Unlimited.
Lista de verificación de entrada y salida del personal de temporada
Cuando alguien entra
- Solicitud formal de la dirección, con función y fecha prevista de finalización.
- Cuenta individual creada en el PMS con el perfil de la función.
- Microsoft 365 (o equivalente) cuenta con MFA si necesita correo electrónico.
- Permiso en la caja compartida de la recepción, sin revelar contraseñas.
- Acceso a la red Wi-Fi del personal — nunca a la red operativa.
- Formación de 15 minutos: phishing, contraseñas y qué hacer ante una solicitud extraña.
Cuando alguien sale (el mismo día)
- Desactivar la cuenta en PMS y en el correo electrónico; terminar las sesiones abiertas.
- Retirar permisos sobre carpetas compartidas y carpetas.
- Eliminar los accesos en el gestor de contraseñas y cambiar los que la persona conocía.
- Cambiar la contraseña de Wi-Fi del personal si esta está compartida.
- Recoger tarjetas, llaves, códigos de alarma y equipos.
- Registrar la fecha y quién realizó la salida.
El punto crítico es el “el mismo día”. En un hotel con operación continua, la salida puede ocurrir el domingo por la noche. Por lo tanto, el procedimiento debe estar escrito y el colaborador de TI debe poder implementarlo fuera del horario de oficina. El plan IT Unlimited Premium 365 Ofrece noches, fines de semana y días festivos — el horario real de un hotel.
Preguntas frecuentes
¿El PMS permite cuentas individuales para cada recepcionista?
Los sistemas de gestión hotelera profesionales suelen permitir el acceso a usuarios individuales con perfiles de acceso. Si su sistema no lo permite o las licencias son limitadas, es un punto a considerar con el proveedor antes de la próxima temporada alta.
¿Es suficiente cambiar la contraseña de la red Wi-Fi de los huéspedes cada mes?
No resuelve lo esencial. Lo que protege la operación es la separación de redes: incluso con la contraseña correcta, un huésped no debe poder acceder al PMS, a los pagos ni a las cámaras.
¿El PCI DSS se aplica a un hotel pequeño?
Según el PCI Security Standards Council, se aplica a todas las entidades que guardan, procesan o transmiten datos de tarjetas de crédito, y la medida no es exenta de excepciones. La forma de comprobar la conformidad está definida por el banco que proporciona los terminales.
¿Cuánto tiempo lleva poner esto en práctica?
Depende de la red existente. Crear cuentas individuales y un procedimiento de salida se puede hacer en pocos días. Separar redes puede requerir la configuración de la firewall y de los puntos de acceso, que planificamos para fuera de los horarios de mayor actividad.
Revisión de los accesos de su hotel en 10 días laborables
Antes de la próxima temporada alta, revisemos las cuentas del PMS, el correo electrónico y el Wi-Fi, la separación de redes y el proceso de despido de personal —y entregamos una lista de correcciones por prioridad—. Para empresas con más de 10 puestos · contrato de asistencia · soporte remoto, local y telefónico. ¡Saber más sobre nosotros Informática para la hostelería.
Revisión de los accesos desde su hotel
Contas, redes y salidas de personal, en 10 días hábiles
Fuentes
- Consejo de Normas de Seguridad PCI — Recursos para comerciantes: pcisecuritystandards.org
![Logotipo de mun[it], agencia de marketing digital — cliente de DataRoad](https://www.dataroad.pt/wp-content/uploads/2026/09/logo-cliente-munit.png){kind=logo}
