Réseau géré pour hôtels : accès saisonniers, VLAN et PCI DSS

Dans trois caractéristiques qu'aucun autre secteur ne réunit avec la même intensité.

• Des équipes qui changent toute l'année Réception, housekeeping, F&B et stagiaires arrivent et repartent en continu, avec des pics entre le printemps et l'été.
• Une maison qui ne ferme jamais Il y a des services de nuit, des week-ends et des jours fériés sans personne de l'IT dans le bâtiment.
• Des informations critiques dispersées Le PMS (la plateforme de gestion hôtelière, avec réservations et fiches clients), les terminaux de paiement, la messagerie des réservations, la CCTV et le Wi-Fi.

Le symptôme typique est un utilisateur générique, du genre « reception1 », partagé par toute l'équipe. Avec lui, impossible de savoir qui a modifié une réservation, qui a fait un remboursement ou qui a ouvert la fiche d'un client. Pire : celui qui est parti et connaît ce mot de passe garde la porte ouverte depuis n'importe où.

Le point de départ est simple : un utilisateur nominatif par personne dans chaque système, et uniquement les autorisations qu'exige le poste. Une matrice de référence :

La matrice s'adapte à l'organigramme de chaque établissement. Le critère reste le même : le moindre privilège nécessaire.

Par la segmentation en VLAN. Sur le même câblage et les mêmes points d'accès circulent plusieurs réseaux logiques qui ne se voient pas, comme des ailes d'un bâtiment séparées par des portes de sécurité. Le portable d'un client reste confiné à son aile et n'a aucun chemin vers le PMS, les terminaux ou les caméras.

La configuration minimale que nous recommandons dans un hôtel comporte cinq segments :

• Réseau clients Accès à internet et à rien d'autre.
• Réseau du personnel Smartphones et tablettes de l'équipe, avec un mot de passe propre renouvelé à chaque départ.
• Réseau d'exploitation PMS et postes de travail de la réception et du back-office.
• Réseau de paiement Terminaux et POS, avec des communications réduites au strict nécessaire.
• Réseau vidéo CCTV isolée, avec un visionnage des images restreint et journalisé.

Les règles entre segments sont imposées par le pare-feu. Nous expliquons le fonctionnement d'un pare-feu géré par DataRoad et ce que doit avoir le réseau visiteurs dans comment protéger le Wi-Fi professionnel et le réseau invités.

Le PCI DSS réunit les exigences de sécurité pour les données de carte définies par le PCI Security Standards Council, organisme fondé par les réseaux de cartes. Le Council lui-même précise qu'il couvre toute entité qui stocke, traite ou transmet ces données, quelle que soit sa taille. Accepter les cartes suffit pour être concerné ; la façon de démontrer la conformité, lorsqu'elle est exigée, est déterminée par la banque qui fournit les terminaux.

Traduites dans le quotidien d'un hôtel, les orientations du Council aux commerçants se résument à quatre pratiques :

1. Des identifiants forts et personnels sur tous les systèmes liés aux encaissements.
2. Un accès distant exceptionnel : uniquement si nécessaire et toujours avec MFA.
3. Des logiciels toujours à jour : correctifs appliqués dès leur disponibilité.
4. Une inspection périodique des terminaux : pour détecter toute manipulation physique.

Isoler les paiements dans un réseau dédié réduit la surface exposée. Les trois autres pratiques restent obligatoires.

Dans la Baixa de Lisbonne, entre le Rossio et les Restauradores, DataRoad - IT Services and Consulting gère le réseau de six établissements : l'Ouro Rossio Hotel, le LX Arch Rossio Hotel, le Nicola Rossio Hotel, le Rossio Plaza Hotel, le BeHotel et le BePoet Hotel. Dans chacun, le réseau clients est séparé de l'exploitation : l'appareil d'un client n'atteint ni le PMS, ni le POS, ni la CCTV, ni les postes du back-office. La vidéo circule sur un segment logique dédié, en partageant le câblage physique, et l'identité de ceux qui consultent les enregistrements est journalisée. Découvrez le projet dans les six établissements de la Baixa.

Le cas de l'Ouro Rossio Hotel en donne l'échelle : 6 étages, 30 points d'accès, 55 caméras et 10 switches, avec un pare-feu d'entreprise chargé de la segmentation et du contrôle du trafic selon le profil de chaque utilisateur. Une fois l'installation terminée, l'hôtel est passé sous contrat IT Unlimited.

Arrivée

• Autorisation écrite Émise par la direction, avec le poste et la date de fin prévue.
• Utilisateur PMS Nominatif, avec le profil du poste.
• Compte de messagerie Microsoft 365 ou équivalent, avec MFA, seulement si le poste l'exige.
• Délégation sur la boîte commune Sans partage de mots de passe.
• Wi-Fi du personnel Et jamais le segment d'exploitation.
• Session de sensibilisation de 15 minutes Phishing, mots de passe et conduite à tenir face à une demande inhabituelle.

Départ, toujours le jour même

• Bloquer les utilisateurs PMS et messagerie désactivés, sessions actives fermées.
• Retirer les délégations Boîtes communes et dossiers partagés.
• Fermer le coffre-fort Accès au gestionnaire de mots de passe retirés et mots de passe connus de la personne renouvelés.
• Renouveler le mot de passe du Wi-Fi du personnel Lorsqu'il est commun à tous.
• Récupérer le matériel Badges, clés, codes d'alarme et équipements.
• Documenter Quand cela a été fait et par qui.

La condition la plus souvent manquée est celle du jour même. Un départ dans un hôtel peut survenir un samedi à 23 h, et le protocole ne fonctionne que s'il est écrit et si le partenaire IT est disponible à ce moment-là. C'est pour cette réalité qu'existe la formule Premium 365, avec une couverture les nuits, les week-ends et les jours fériés.

Avant la prochaine saison, nous analysons les utilisateurs du PMS, de la messagerie et du Wi-Fi, la segmentation et le protocole de départ, et livrons les corrections classées par priorité. Proposition sans engagement. Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone. Découvrez notre approche de l'IT et des réseaux gérés pour l'hôtellerie.

Appelez le +351 211 459 950 * ou écrivez à sales@dataroad.pt.

*Appel vers un fixe portugais.

• Ressources pour les commerçants du PCI Security Standards Council : pcisecuritystandards.org