Red gestionada para hoteles: accesos de temporada, VLAN y PCI DSS

En tres características que ningún otro sector reúne con la misma intensidad.

• Equipos que cambian todo el año Recepción, housekeeping, F&B y becarios entran y salen continuamente, con los mayores picos entre la primavera y el verano.
• Una casa que nunca cierra Hay turnos de noche, fines de semana y festivos en los que no hay nadie de IT en el edificio.
• Información crítica dispersa El PMS (la plataforma de gestión hotelera, con reservas y fichas de huéspedes), los terminales de tarjeta, el correo de reservas, el CCTV y el Wi-Fi.

El síntoma típico es un usuario genérico, del tipo «recepcion1», compartido por todo el equipo. Con él, ya no es posible saber quién tocó una reserva, quién hizo un reembolso o quién abrió la ficha de un cliente. Peor aún: quien se fue y conoce esa contraseña mantiene la puerta abierta desde cualquier lugar.

El punto de partida es sencillo: un usuario nominal por persona en cada sistema, y solo los permisos que exige el puesto. Una matriz de referencia:

La matriz se ajusta al organigrama de cada establecimiento. El criterio se mantiene: el mínimo permiso necesario.

Con segmentación por VLAN. Sobre el mismo cableado y los mismos puntos de acceso funcionan varias redes lógicas que no se ven entre sí, como alas de un edificio con puertas de seguridad entre ellas. El portátil de un huésped queda confinado en su ala y no tiene camino hacia el PMS, los terminales o las cámaras.

La configuración mínima que recomendamos en un hotel tiene cinco segmentos:

• Red de huéspedes Acceso a internet y a nada más.
• Red del personal Smartphones y tabletas del personal, con contraseña propia renovada cada vez que alguien se va.
• Red operativa PMS y puestos de trabajo de recepción y back-office.
• Red de pagos Terminales y TPV, con las comunicaciones reducidas a lo estrictamente necesario.
• Red de vídeo CCTV aislado, con visualización de imágenes restringida y registrada.

Las reglas entre segmentos las impone el firewall. Explicamos cómo funciona un firewall gestionado por DataRoad y qué debe tener la red de visitantes en cómo proteger el Wi-Fi empresarial y la red de invitados.

El PCI DSS reúne los requisitos de seguridad para datos de tarjetas definidos por el PCI Security Standards Council, entidad fundada por las redes de tarjetas. El propio Council aclara que abarca a cualquier entidad que almacene, procese o transmita esos datos, sea cual sea su tamaño. Aceptar tarjetas basta para estar dentro; la forma de demostrar el cumplimiento, cuando se exige, la determina el banco que proporciona los terminales.

Traducidas a la rutina de un hotel, las orientaciones del Council a los comercios se resumen en cuatro prácticas:

1. Credenciales fuertes y personales en todos los sistemas vinculados a cobros.
2. Acceso remoto excepcional: solo cuando sea necesario y siempre con MFA.
3. Software siempre actualizado: parches aplicados en cuanto estén disponibles.
4. Inspección periódica de los terminales: para detectar manipulaciones físicas.

Aislar los pagos en una red dedicada reduce la superficie expuesta. Las otras tres prácticas siguen siendo obligatorias.

En la Baixa de Lisboa, entre Rossio y Restauradores, DataRoad - IT Services and Consulting gestiona la red de seis establecimientos: Ouro Rossio Hotel, LX Arch Rossio Hotel, Nicola Rossio Hotel, Rossio Plaza Hotel, BeHotel y BePoet Hotel. La red de huéspedes de cada uno está separada de la operación, por lo que un dispositivo de un cliente no alcanza el PMS, el TPV, el CCTV ni los puestos del back-office. El vídeo funciona en un segmento lógico dedicado, compartiendo el cableado físico, y queda registrado quién consulta las grabaciones. Conozca el proyecto en los seis establecimientos de la Baixa.

El caso de Ouro Rossio Hotel da la escala: 6 plantas, 30 puntos de acceso, 55 cámaras y 10 switches, con un firewall empresarial responsable de la segmentación y del control de tráfico según el perfil de cada usuario. Terminada la instalación, el hotel firmó un contrato IT Unlimited.

Alta

• Autorización por escrito Emitida por la dirección, con el puesto y la fecha prevista de finalización.
• Usuario en el PMS Nominal, con el perfil del puesto.
• Cuenta de correo Microsoft 365 o equivalente, con MFA, solo si el puesto lo requiere.
• Delegación en el buzón común Sin compartir contraseñas.
• Wi-Fi del personal Y nunca el segmento operativo.
• Sesión de concienciación de 15 minutos Phishing, contraseñas y cómo actuar ante una petición fuera de lo normal.

Baja, siempre el mismo día

• Bloquear usuarios PMS y correo desactivados, sesiones activas cerradas.
• Retirar delegaciones Buzones comunes y carpetas compartidas.
• Cerrar el gestor de contraseñas Accesos retirados y contraseñas que la persona conocía renovadas.
• Renovar la contraseña del Wi-Fi del personal Cuando es común a todos.
• Recoger el material Tarjetas, llaves, códigos de alarma y equipos.
• Documentar Cuándo se hizo y quién lo hizo.

La condición que más falla es la del mismo día. En un hotel, una salida puede producirse un sábado a las 23:00, y el protocolo solo funciona si está escrito y si el socio de IT está disponible en ese momento. Para esa realidad existe el plan Premium 365, con cobertura por la noche, los fines de semana y los festivos.

Antes de la próxima temporada, analizamos los usuarios del PMS, el correo y el Wi-Fi, la segmentación y el protocolo de salida, y entregamos las correcciones ordenadas por prioridad. Propuesta sin compromiso. Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico. Vea cómo trabajamos el IT y las redes gestionadas para hostelería.

Llame al +351 211 459 950 * o escriba a sales@dataroad.pt.

*Llamada a la red fija nacional portuguesa.

• Recursos para comercios del PCI Security Standards Council: pcisecuritystandards.org