Následující doporučení vycházejí z materiálu našeho platebního partnera Planet a shrnují postupy, kterými hotel chrání data svých hostů. Doporučujeme je projít s Vaším IT správcem a postupně zavést.

Proč to řešit právě teď

Podle přehledu Planet ukázaly bezpečnostní incidenty posledních měsíců slabá místa v systémech, které hotely denně používají. Phishingové kampaně se vydávaly za rezervační platformy a lákaly přihlašovací údaje. Útočníci cílili přímo na hotelové administrátory, aby se dostali k záznamům o hostech. U jednoho z větších úniků se ven dostala jména hostů a kontaktní údaje, ale ne platební údaje, protože ty se v daném systému vůbec neukládaly. Přesně v tom je síla minimalizace dat.

Základní princip: neukládejte to, co nepotřebujete

Než do PMS uložíte další údaj o hostovi, položte si otázku, zda ho systém opravdu potřebuje. Pro spárování záznamů většinou stačí číslo rezervace nebo číslo věrnostní karty. Tyto identifikátory patří do databází a exportů místo citlivých údajů, jako jsou čísla platebních karet.

Síť a firewall

• Blokujte příchozí provoz ve výchozím nastavení. Povolte jen spojení, která provoz skutečně potřebuje.

• Pravidelně se svým IT dodavatelem procházejte služby vystavené do internetu.

• Administrátorský přístup veďte přes VPN, ne přímo z internetu.
• Omezte přístup podle zdrojové IP adresy na důvěryhodné adresy.
• Kontrolujte i odchozí provoz z kritických serverů.
• Sledujte logy firewallu a všímejte si neobvyklých pokusů o spojení.

Segmentace sítě

• Oddělte hostovskou Wi-Fi od firemních systémů.

• Izolujte od sebe PMS, platební systémy, administrátorské stanice a zařízení IoT.

• Držte se principu nejmenší možné konektivity. Systémy spolu mají komunikovat jen tam, kde to provoz vyžaduje.

Správa přístupů

• Přidělujte oprávnění podle rolí.

• Zapněte vícefaktorové ověření (MFA) pro všechna přihlášení do PMS, ne jen pro administrátorské účty.

• Vyžadujte silná hesla a jasně nastavená pravidla složitosti.
• Pravidelně revidujte přístupy a rušte nepoužívané účty.
• Účet zaměstnance, který odchází, deaktivujte okamžitě.
• Veďte logy přístupů a pravidelně kontrolujte, kdo a jaká data exportoval.

Software a aktualizace

• Udržujte PMS aktualizovaný, včetně bezpečnostních záplat.

• Pravidelně aktualizujte i operační systémy, servery, pracovní stanice a firewally.

• Nepoužívejte systémy po konci podpory, které už bezpečnostní opravy nedostávají.

Data platebních karet: co PMS nesmí nikdy ukládat

Podle standardu PCI DSS platí:

• Data držitelů karet ukládejte výhradně ve schválených platebních systémech.
• Používejte tokenizované platební metody všude, kde je to možné.
• Nikdy neuchovávejte ověřovací kódy karet (CVV, CVC) po autorizaci platby.
• Nikdy neukládejte obsah magnetického proužku ani čipu.
• Nikdy neuchovávejte PIN, za žádných okolností.

Pokud číslo karty zobrazujete na účtence nebo v souhrnu rezervace, podle PCI DSS uveďte nejvýše prvních šest a poslední čtyři číslice a zbytek zamaskujte.

Údaje o platební kartě nikdy neposílejte e-mailem.

Volná textová pole jsou místo, kudy data karet unikají

Pravidlo je jednoduché: do poznámky ani do komentáře nepište nic, co byste nechtěli vidět zveřejněné.

Podle analýzy Planet většina úniků dat platebních karet nepochází z platebních modulů. Pochází z toho, že někdo z týmu zapsal číslo karty do poznámky. Volná textová pole nemají šifrování ani řízení přístupu.

Jak tomu předejít:

• Proškolte tým, že do poznámek a komentářů citlivé údaje nepatří.

• Na transakce odkazujte maskovanými identifikátory, typicky ID transakce, ne číslem karty.

• Zapněte automatickou kontrolu, která v komentářích označí nebo rovnou zablokuje údaje vypadající jako číslo karty.
• Procházejte i starší poznámky a citlivé údaje z nich odstraňte.

Phishing a informovanost týmu

• Učte tým rozpoznat phishing, který se tváří jako známá platforma.

• Nečekané výzvy k platbě, resetu hesla nebo urgentnímu zásahu si vždy ověřte nezávisle.

• Změnu bankovních nebo platebních údajů potvrzujte jiným komunikačním kanálem, než kterým přišla.
• Podezřelou aktivitu hlaste okamžitě.
• Školení pravidelně opakujte. V hotelnictví se tým obměňuje rychle.

Zálohy a obnova

• Zálohujte denně kritická provozní data i data z PMS.

• Zálohy ukládejte odděleně, ideálně mimo hlavní lokalitu nebo v neměnné (immutable) podobě.

• Pravidelně zkoušejte, že obnova ze zálohy skutečně funguje.

Bezpečnostní monitoring

• Prověřujte neznámé uživatelské účty a neobvyklá přihlášení.

• Spouštějte pravidelné skeny zranitelností a udržujte aktuální antivirovou ochranu.

• Sledujte platební stránky kvůli neautorizovaným změnám skriptů, které signalizují e-skimming.
• Mějte připravený postup pro řešení incidentu včetně jasných kontaktů pro eskalaci.

Co pro bezpečnost dělá Protel

Část opatření je na straně systému, část na straně hotelu. Rozdělení je přímočaré:

• Na straně Protelu. Karty jsou tokenizované podle norem PCI a celé číslo karty není nikdy uložené v hotelovém softwaru. Cloudová verze běží na Amazon Web Services. Systém umožňuje přidělovat oprávnění podle rolí a vede logy přístupů.

• Na straně hotelu. Za nastavení přístupů a hesel, zabezpečení sítě, obsah volných textových polí a proškolení týmu odpovídá hotel jako správce osobních údajů hostů.

Bezpečnost jako způsob uvažování

Účinná ochrana stojí na několika vrstvách, ne na jednom opatření. Cílem je minimalizovat expozici, snižovat počet privilegovaných účtů a nastavená opatření pravidelně revidovat, jak se mění technologie i hrozby.

Shrnutí

Ochrana dat hostů začíná tím, že s informacemi zacházíte jako s něčím, co je potřeba minimalizovat a chránit, ne jen sbírat. Hotely, které mají segmentovanou síť, přísně řízené přístupy, pravidelné aktualizace, minimalizovaná a maskovaná data a proškolený tým, odcházejí z pokusů o útok s výrazně menšími škodami.