Hôtels : comptes et accès du personnel saisonnier sans ouvrir les portes

8 min de lecture · DataRoad

Les accès du personnel saisonnier Dans de nombreux hôtels, c'est la porte la plus grande qui reste ouverte. Au moment de la haute saison, des réceptionnistes, des employés des étages supérieurs, des équipes de restauration et des stagiaires s'y introduisent. Ils acceptent les clés en hâte, partagent les comptes à la réception et, lorsque la saison se termine, personne n'arrive toujours à leur retirer l'accès. La réponse est simple à énoncer : une carte par personne, des accès limités à la fonction, des réseaux séparés et une procédure de sortie effectuée le jour même.

Le problème : trop de monde, peu de temps, trop d’accès

L'hôtellerie présente trois caractéristiques qui la rendent particulièrement exposée :

• Rotation élevée. Les entrées et les sorties se produisent tout au long de l'année, avec des pics en été et au printemps.
• Opération continue. Le service de réception n'est pas fermé. Il y a des équipes de nuit, des équipes de fin de semaine et des équipes de jours fériés, souvent sans personne de l'IT présent.
• Données sensibles dans plusieurs systèmes. Le PMS (le système de gestion hôtelière, où vivent les réservations et les données des clients), les terminaux de paiement, le mail de réservation, les caméras et le Wi-Fi.

Lorsque l’un de ces systèmes est accédé avec un compte générique comme “ rececao1 ”, personne ne peut répondre aux questions de base. Qui a modifié cette réservation ? Qui a effectué ce remboursement ? Qui a consulté les données de ce client ? Et si un ancien collaborateur connaît le mot de passe, il continue d’avoir accès — où qu’il se trouve.

Une seule facture par personne, avec des accès adaptés à la fonction

La règle d'or est la suivante : chaque personne a sa propre compte dans chaque système, avec accès uniquement à ce qui est requis par sa fonction.

Chaque hôtel adapte le tableau aux besoins de son organisation. Le principe reste le même : personne n’a plus accès au nombre de personnes dont il a besoin.

Et la boîte de réception de l'accueil ?

La boîte “ reservations@ ” ou “ rececao@ ” peut et doit continuer d’exister. Ce qui change, c’est la manière d’accéder : au lieu d’une mot de passe que tout le monde connaît, chaque personne entre avec son propre compte et reçoit une autorisation sur la boîte partagée. Lorsqu’elle s’en va, l’autorisation est retirée. La boîte reste intacte et le mot de passe ne circule pas.

Pour les mots de passe qui doivent encore être partagés — le portail d'un opérateur touristique, par exemple — un Gestionnaire de mots de passe d'entreprise Permet de partager sans révéler vos informations, et de les supprimer en un seul clic. Sur les comptes de messagerie et de navigation, authentification multifacteur C’est obligatoire.

Réseaux séparés : clients, personnel, paiements et caméras

Dans un hôtel bien aménagé, il existe au moins ces réseaux :

• Invités : Seul internet, isolé de tout le reste.
• Personnel : Pour les téléphones et tablettes de l'équipe, avec un mot de passe propre qui change à chaque sortie.
• Opération : PMS, terminaux de réception et d'administration.
• Paiements : terminaux et POS, avec le minimum de communication nécessaire.
• Caméras : CCTV sur un réseau propre, avec un accès aux images contrôlé.

C’est le pare-feu qui sépare les réseaux et impose les règles entre eux. Nous expliquons le rôle d’un pare-feu. pare-feu géré et les bonnes pratiques du Wi-Fi pour les invités dans l’article sur Sécurité Wi-Fi dans l'entreprise.

Paiements par carte de crédit : le PCI DSS en termes simples

Le PCI DSS est le ensemble de règles de sécurité défini par le PCI Security Standards Council, l’organisme créé par les marques de cartes de paiement. Selon le Conseil lui-même, il s’applique à toutes les entités qui stockent, traitent ou transmettent des données de cartes — et cette dimension ne dispense personne. Si l’hôtel accepte les cartes, il est concerné. Si il doit formaliser cette conformité, et comment, c’est le banquier qui fournit les terminaux.

Pour un hôtel, les recommandations pratiques du Council pour les commerçants se résument en quatre gestes :

1. Des mots de passe forts et uniques dans tout ce qui touche aux paiements.
2. Accès à distance aux systèmes uniquement lorsque nécessaire et toujours avec authentification multifactorielle.
3. Les mises à jour logicielles sont appliquées sans délai.
4. Vérification régulière des terminaux de paiement pour détecter les manipulations.

Le réseau séparé pour les paiements contribue à réduire la partie de l’infrastructure qui reste exposée. Cela ne dispense pas des règles supplémentaires.

Un cas réel : six hôtels au Rossio et dans les Restaurants

DataRoad supervise six hôtels dans la zone de Rossio et des Restauradores à Lisbonne : BePoet Hotel, BeHotel, Rossio Plaza Hotel, Nicola Rossio Hotel, LX Arch Rossio Hotel et Ouro Rossio Hotel. Dans tous ces établissements, le réseau d’hôtels est séparé du réseau d’exploitation : un hôte ne voit pas le PMS, les POS, les caméras ni les ordinateurs de l’administration. Les caméras fonctionnent sur un réseau logique propre, sur la même infrastructure physique, avec un enregistrement de la personne qui visualise les images. Lisez l'histoire des six hôtels.

Non Hôtel Ouro Rossio, Le projet comprenait 30 points d’accès Wi-Fi, 55 caméras et 10 commutateurs répartis sur 6 étages, avec un pare-feu d’entreprise qui assure la segmentation du réseau et le contrôle du trafic par profil d’utilisateur. Après la mise en place, l’hôtel a passé à un contrat IT Unlimited.

Liste de contrôle d’entrée et de sortie du personnel saisonnier

Quand quelqu'un entre

• Demande formelle de la direction, avec la fonction et la date prévue de fin.
• Compte individuel créé dans le PMS avec le profil de la fonction.
• Microsoft 365 (ou équivalent) dispose de MFA si vous avez besoin d'un email.
• Permis dans la boîte partagée de la réception, sans révéler de mots de passe.
• Accès au réseau Wi-Fi du personnel — jamais au réseau d’exploitation.
• Formation de 15 minutes : le phishing, les mots de passe et ce qu’il faut faire face à une demande étrange.

Lorsque quelqu'un quitte (le même jour)

• Désactiver le compte dans le PMS et par e-mail ; terminer les sessions ouvertes.
• Retirer les autorisations sur les boîtes partagées et les dossiers.
• Supprimer les accès dans le gestionnaire de mots de passe et changer ceux que la personne connaissait.
• Modifiez le mot de passe du Wi-Fi de l’équipe, si celui-ci est partagé.
• Recueillir des cartes, clés, codes d’alarme et équipements.
• Régler la date et la personne qui a effectué la sortie.

Le point critique est “ le jour même ”. Dans un hôtel en fonctionnement continu, la sortie peut avoir lieu un dimanche soir. C’est pourquoi la procédure doit être écrite et le partenaire informatique doit être en mesure de la mettre en œuvre en dehors de l’horaire de bureau. Le plan IT Unlimited Premium 365 offre des nuits, des week-ends et des jours fériés — l’horaire réel d’un hôtel.

Foire aux questions

Le PMS permet-il des comptes individuels pour chaque réceptionniste ?

Les systèmes de gestion hôtelière professionnels permettent généralement à des utilisateurs individuels possédant des profils d’accès. Si votre système ne le permet pas, ou si les licences sont limitées, c’est un point à examiner avec le fournisseur avant la prochaine saison touristique.

Est-il nécessaire de changer le mot de passe du Wi-Fi des clients tous les mois ?

Cela ne résout pas l’essentiel. Ce qui protège l’opération est la séparation des réseaux : même avec le mot de passe correct, un hôte ne doit pas pouvoir accéder au PMS, aux paiements ou aux caméras.

Le PCI DSS s'applique-t-il à un petit hôtel ?

Selon le PCI Security Standards Council, cette norme s’applique à toutes les entités qui stockent, traitent ou transmettent des données relatives aux cartes, et n’est pas applicable dans la mesure où la dimension n’est pas exclue. La manière de vérifier la conformité est définie par la banque qui fournit les terminaux.

Combien de temps faut-il pour mettre cela en pratique ?

Cela dépend du réseau existant. La création d’identités individuelles et la procédure de déconnexion se déroulent en quelques jours. Le découplage des réseaux peut nécessiter la configuration de pare-feux et de points d’accès, lesquels nous prévoyons pour des heures de pointe.

Régularisation des accès de votre hôtel en 10 jours ouvrables

Avant la prochaine saison haute, nous révisons les factures du PMS, du courrier électronique et du Wi-Fi, la séparation des réseaux et la procédure de départ du personnel — et nous présentons une liste de corrections par priorité. Pour les entreprises avec plus de 10 postes · contrat d’assistance · support distant, local et téléphonique. En savoir plus sur nous Informatique pour l'hôtellerie.

Sources

• Conseil des normes de sécurité PCI — Ressources pour les commerçants : pcisecuritystandards.org