Otelde siber güvenlik: işletme sahibi ve genel müdür için kontrol listesi
Otel siber güvenlik, rezervasyonları ve misafir verilerini korumak için alınacak önlemlerin bütünüdür. Bu yazı, bilişim departmanı olmayan oteller için yedi alanda uygulanabilir bir kontrol listesi sunar.
İçindekiler
Kısaca
- Bir otelin gerçekçi riski para ve iş kesintisidir; tedarikçi faturasında değiştirilmiş bir banka hesabı, kilitlenen bir resepsiyon, çalınan bir misafir listesi.
- Tüm vardiyanın paylaştığı bir kullanıcı hesabı denetlenemez; rezervasyonu kimin iptal ettiğini, fiyatı kimin değiştirdiğini kimse söyleyemez.
- Hiç geri yüklemediğiniz bir yedek, bir umuttur; yedek değildir. Kopya otelin dışında durmalı ve sistemler kilitlendiğinde ayakta kalmalıdır.
- Banka bilgisi değişikliği, elinizde hazır bulunan bir numarayı arayarak doğrulanır; asla mesajın içindeki numara aranmaz.
- Kötü gün planı tek bir basılı sayfaya sığar: kim kimi arar, otel kağıt üzerinde nasıl yürür, misafire ne denir.
Otel siber güvenlik, otelin rezervasyonlarını, misafir verilerini ve parasını yanlış ellere düşürmemek için alınan önlemlerin bütünüdür: her kişiye kendi kullanıcı hesabı ve iki adımlı giriş, güncel ve desteklenen cihazlar, misafir Wi-Fi'nin personel ve ödeme sistemlerinden ayrılması, test edilmiş ve başka yerde tutulan yedekler, denetimli uzaktan erişim, eğitilmiş personel ve sistemlerin kilitlendiği gün için tek sayfalık bir plan.
Resepsiyon bilgisayarı altı yaşında, resepsiyon girişini tüm vardiya paylaşıyor ve rezervasyon extranetinin parolası monitöre yapıştırılmış bir kâğıtta. Bunların hiçbiri bir misafir yorumunda görünmez. Hepsi, sistemlerin durduğu sabah ortaya çıkar. Bu yazı, bir bilişim departmanı olmadan uygulayabileceğiniz bir kontrol listesi veriyor: yedi alan, her alanda sorulacak soru ve düzeltme sırası.
Otel siber güvenlik aslında neyi kapsar?
Yedi şeyi kapsar ve yalnızca biri teknik konudur: kim giriş yapabilir, cihazlar hâlâ destekleniyor mu, ağ nasıl bölünmüş, yedekler geri yüklenebiliyor mu, uzaktan erişimi kimde, personel şüpheli bir mesajla ne yapıyor ve kötü günde ne oluyor.
Bir otel için gerçekçi tehdit para ve iş kesintisidir: banka bilgisi değiştirilmiş bir tedarikçi faturası, yüksek sezonda kilitlenen resepsiyon, kopyalanmış bir misafir listesi, kimsenin açıklayamadığı iptal edilmiş bir rezervasyon. Riskin büyük kısmı dört veri grubunda toplanır: misafir kimlik ve iletişim verileri, ödeme ve faturalama kayıtları, rezervasyonlar ve fiyatlar, ve bu üçüne erişebilen personel hesapları.
Bilişim departmanı olmayan otelin de bir bilişim hizmet sağlayıcısı vardır. İşletme sahibinin işi herhangi bir şeyi yapılandırmak değildir; yedi soru sormak ve yanıtları okumaktır. Karar kuralı basittir: aşağıdaki sorulardan biri tek cümleyle yanıtlanamıyorsa, listede başka ne olursa olsun önce düzeltilmesi gereken madde odur.
Türkiye'de her konaklama; ödeme, mali belge (fatura ya da e-belge), misafir kimlik bildirimi (KBS) ve kişisel verilerin korunması kanunu (KVKK) kapsamındaki kişisel veri adımlarını içerir. Bu yüzden kilitlenen bir sistem yalnızca operasyonel değil, aynı zamanda uyum sorunudur. Kendi yükümlülüklerinizi mali müşaviriniz ve hukuk danışmanınızla doğrulayın.
Aşağıdaki tabloyu bilişim hizmet sağlayıcınızla yapacağınız tek bir toplantının gündemi olarak kullanın ve saklayabileceğiniz yazılı yanıtlar isteyin.
| Alan | İyi görünüm | Bilişim hizmet sağlayıcınıza soracağınız soru |
|---|---|---|
| Hesaplar | Kişiye özel kullanıcı hesabı; e-posta, PMS ve extranetlerde iki adımlı giriş | "Aktif hesapların listesini ve her birinin en son ne zaman kullanıldığını gösterin." |
| Cihazlar | Desteklenen işletim sistemleri, otomatik güncelleme | "Buradaki hangi bilgisayarlar artık güvenlik güncellemesi almıyor?" |
| Ağ | Misafir Wi-Fi'nin personel, PMS ve ödeme terminallerinden ayrı olması | "Misafir ağı, resepsiyonla aynı ağ kesiminde mi?" |
| Yedekler | Tesiste tutulmayan bir kopya, denenmiş geri yükleme | "En son ne zaman yedek geri yükledik ve ne kadar sürdü?" |
| Uzaktan erişim | Adı belli kişiler, kayda geçen oturumlar, çıkışta kapatma | "Şu anda bu binanın dışında kimler sistemlerimize girebiliyor?" |
| İnsanlar | Personelin sahte rezervasyon mesajlarını ve fatura değişikliklerini tanıması | "Şüpheli mesajlar üzerine en son kısa bir eğitim ne zaman yaptık?" |
| Kötü gün | Tek sayfa, adı belli kişiler, kâğıt çözüm | "Tek sayfalık plan nerede ve basılı kopyayı kim saklıyor?" |
Kim giriş yapabiliyor ve bunun kim olduğunu nasıl biliyorsunuz?
Her kişiye kendi kullanıcı hesabı verilir ve paraya, misafir verisine ya da fiyatlara erişebilen her hesabın ikinci bir adımı vardır: telefondan gelen bir kod, yalnızca paroladan ibaret değil.
Paylaşılan bir resepsiyon hesabı kaydı yok eder. Fiyat değiştirildiğinde ya da rezervasyon iptal edildiğinde sistem bir hesap gösterir, kişi değil. İki adımlı giriş (iki faktörlü doğrulama, 2FA olarak da bilinir) e-posta kutusunda, PMS'te, her rezervasyon extranetinde, bankada ve e-fatura portalında olmalıdır.
E-posta ana anahtardır: diğer her şeyin parola sıfırlamaları oraya gelir; önce ve en sıkı onu koruyun. Rezervasyon extranetleri de PMS kadar özen ister. Orada ele geçirilen bir hesap rezervasyon açabilir ya da iptal edebilir, misafir bilgilerini açığa çıkarabilir; zarar, size görünmeden gezginlere görünür. Ayrılan personel en az katılan kadar önemlidir: hesap kapatmayı çıkış sürecine yazın ve aynı gün yapın; extranet, bankanın kullanıcı listesi ve operasyon talimatlarının geçtiği grup sohbeti dahil. Parolalarda her site için tek ve özgün bir parola, bir parola yöneticisinde; asla resepsiyondaki bir defterde ya da mesajla bir iş arkadaşına gönderilmiş halde değil. Kurulum için ayrıntılı bir rehber olarak PMS kullanıcı yetkileri: rol bazında kurulum kontrol listesi yazısına bakabilirsiniz.
DikkatPaylaşılan vardiya hesabı
Altı kişinin kullandığı bir hesap, kimsenin sahiplenmediği bir hesaptır. Bir rezervasyonu silebilir, fiyat değiştirebilir ya da misafir listesini dışa aktarabilir ve hiçbir kayıt bunu kimin yaptığını söylemez. Kişiye özel hesap birkaç dakikalık kurulum maliyeti getirir, karşılığında "kim" sorusunun yanıtını verir.
Resepsiyondaki bilgisayarlar hâlâ destekleniyor mu?
Bir cihaz üreticisinden güvenlik güncellemesi almıyorsa, bilinen bir açık kapıdır ve antivirüs onu kapatmaz. Çözüm, bütçeye planlanmış yenilemedir.
Tesisi gezin ve misafir ya da ödeme verisine dokunan her makineyi listeye alın: resepsiyon, arka ofis, restoran kasa bilgisayarı, kat hizmetleri tableti, müdürün dizüstü bilgisayarı, kapı kilidi yazılımını çalıştıran bilgisayar. Desteklenmeyen bir işletim sistemi, yayımlanmış bir zafiyet listesidir. Saldırgan onu kullanmak için zeki olmak zorunda değildir ve hiçbir antivirüs, üreticisinin yamalamayı bıraktığı bir sistemin yerini tutmaz.
Otomatik güncellemeleri açın, sonra ön büro müdürüyle giriş ve çıkış yoğunluklarına denk gelmeyen bir yeniden başlatma penceresi üzerinde anlaşın. Yazılım envanteri çıkarın: ne kurulu, kim kurmuş, hâlâ gerekiyor mu. Artık kimsenin kullanmadığı uzaktan kontrol araçlarını kaldırın. Gün sonu (night audit) raporunu makineler arasında taşıyan USB bellek de bir cihazdır. Nereye takılabileceğine ve asla nereye takılamayacağına karar verin.
Kontrol listesi
- Her masayı ve arka ofisi gezin, her makinenin işletim sistemini ve yaşını yazın.
- Üreticisi artık güvenlik güncellemesi yayımlamayan makineleri işaretleyin.
- Otomatik güncellemeleri açın ve yoğun saatler dışında bir yeniden başlatma penceresi belirleyin.
- Masada kullanılan her USB belleği ve harici diski listeleyip hangisinin nereye takılabileceğine karar verin.
- Kimsenin kullanmadığı yazılımları, özellikle uzaktan kontrol araçlarını kaldırın.
- Bütçede her makinenin yanına bir yenileme yılı yazın.
Misafir Wi-Fi'si, ödeme alan sistemlerden ayrı mı?
Bir misafir dizüstü bilgisayarı PMS'e, ödeme terminaline ya da kapı kilidi sunucusuna ulaşamıyorsa ayrıdır. Misafirlerle tek bir ağı paylaşmak, misafir cihazını PMS, ödeme terminali ve kapı kilidi sunucusuyla aynı ağ kesimine taşır.
Düz bir tanımla, ağ kesimi (çoğunlukla VLAN adıyla anılır) aynı kablolama içinde bir duvardır. Misafir Wi-Fi bir kesimde, personel cihazları başka bir kesimde, PMS ve ödeme terminalleri üçüncü bir kesimde durur. Misafir ağı PMS'e, ofis yazıcısına, ağ deposuna ya da kapı kilidi sistemine ulaşmamalıdır. Sağlayıcıdan bunu anlatarak değil, test ederek göstermesini isteyin.
Misafir Wi-Fi parolasını belirli aralıklarla ve her personel ayrılışında değiştirin; her misafirle paylaşılan tek parola, paylaşılmış bir kimlik bilgisidir. Yönlendirici ve güvenlik duvarında: varsayılan yönetici parolasını değiştirin, internetten yönetimi kapatın, ürün yazılımını güncel tutun.
Uzaktan erişim de bu bölümün konusudur. Dışarıdan bağlanabilen her tarafı listeleyin (PMS firması, kapı kilidi firması, kasa sağlayıcısı, internet sağlayıcısı), nasıl bağlandıklarını, oturumların kayda geçip geçmediğini ve ziyaretler arasında erişimin kapatılıp kapatılmadığını.
İpucuTek sayfa isteyin
Hangi cihazın hangi ağda olduğunu ve her ağın neye erişebildiğini gösteren bir şema. Okuyabildiğiniz bir diyagram, okuyamadığınız bir politikadan daha değerlidir ve firmayla bir sonraki görüşmeyi epey kısaltır.
Yedekleriniz, sistemlerin kilitlendiği güne dayanabiliyor mu?
Ancak tesiste olmayan bir kopya varsa, sistemleri kilitleyen kişinin silemeyeceği bir yerde duruyorsa ve en az bir kez, süresi yazılarak geri yüklenmişse.
Pratik test yedekleme takvimi değil, kurtarmadır: binanın sistemleri kullanılamazken rezervasyonları, misafir hesaplarını ve varış listesini yeniden kurabiliyor musunuz ve bu ne kadar sürüyor? Fidye yazılımı bağlı sürücülere ulaşır; kopya çevrimdışı, yalnızca eklenebilir ya da çalınan bir parolayla silinemeyen kendi saklama süresi olan bir sağlayıcıda tutulmalıdır.
Yedeği değil, geri yüklemeyi test edin. Bir tarih seçin, yedek bir makineye geri yükleyin, süreyi ölçün ve sonucu tarihiyle tek bir sayfaya yazın. PMS bulut tabanlıysa firmadan yazılı olarak sorun: yedekleme sıklığı, saklama süresi, kopyaların nerede tutulduğu ve bir otelin verisinin diğer otellerin verisine dokunmadan nasıl geri yüklendiği. Aynı soru, başka tesislerle paylaştığınız her sistem için geçerlidir; bulut tabanlı PMS'te her otelin verisi nasıl ayrı tutulur? yazısı bu konuyu ayrıntılandırıyor.
Her gün kâğıt ya da dışa aktarılmış bir yedek akış tutun: bugünkü varışlar, otelde konaklayan misafirler, ayrılışlar ve açık misafir hesaplarındaki bakiyeler; nöbetçi müdürün girişe ihtiyaç duymadan bulabileceği bir yerde. Gece saat ikide geri yüklemeye onay verebilecek iki kişiyi belirleyin ve isimlerini önceden sağlayıcıya verin.
Önemli noktaHiç geri yüklemediğiniz bir yedek, bir umuttur; yedek değildir
Tek geçerli kanıt, neyin, hangi makineye, kim tarafından geri yüklendiğini ve ne kadar sürdüğünü yazan tarihli bir nottur.
Sistemler çalışmadığında resepsiyonu yürütmenin geniş çerçevesi için internet kesildiğinde otel nasıl çalışır? Bulut sistemli resepsiyon için kontrol listesi yazısına bakabilirsiniz.
Ekibiniz sahte bir rezervasyon mesajını tanır mı?
Olayların çoğu, bir kişinin inandığı bir mesajla başlar: bağlantı içeren bir rezervasyon sorusu, banka bilgisi değişmiş bir fatura ya da extranet olmayan bir extranet giriş sayfası.
Üç biçim olayların çoğunu kapsar: bağlantı ya da ek taşıyan sahte rezervasyon sorusu, banka bilgisi değişmiş tedarikçi faturası ve ödeme ya da parola isteyen, işletme sahibinden ya da genel müdürden gelmiş görünen bir mesaj. Son kategori sahte rezervasyon mesajları ve ele geçirilen extranet hesapları yazısında ayrıntıyla işleniyor.
Telefonla doğrulama kuralı: her banka bilgisi değişikliği, kayıtlarınızda zaten bulunan bir numara aranarak doğrulanır; asla mesajın içindeki numara değil. Bunu yazılı bir kural yapın ve muhasebe ekibine tekrarlayın. Extranet girişlerinde adresi kendiniz yazın ya da kayıtlı bir yer imi kullanın; asla mesajdaki bağlantıdan gitmeyin. Kopyalanmış bir giriş sayfası gerçeğiyle birebir aynı görünür.
Kısa ve tekrarlı, uzun ve yıllık olandan iyidir: vardiya devrinde on dakika, gerçekten yaşanmış tek bir örnek ve üç eylem (tıklamayın, nöbetçi müdüre haber verin, mesajı saklayın). Personelin yapay zekâ sohbet araçlarına neyi yapıştırabileceğini de netleştirin; misafir adları, pasaport bilgileri ve fiyat listeleri herkese açık bir sohbet penceresine ait değildir ve kısa bir yazılı kural başlangıç için yeterlidir. Bu konuda otelde yapay zekâ kullanım politikası: personel neyi paylaşabilir? yazısı yol gösterir.
Bildiriyi güvenli hale getirin. Yanlışlıkla tıklamayı hemen bildiren kimse cezalandırılmamalı; maliyet, sessiz kaldığı her saatle büyür.
Sistemlerin kilitlendiği gün için tek sayfalık plan nedir?
Tek sayfa, basılı, resepsiyonda: kim kimi arar, otel kağıt üzerinde nasıl yürür ve misafire ne denir.
Birinci blok, dur ve koru: makineleri silmeyin, hiçbir ödeme yapmayın, sistemleri tekrar tekrar başlatmayın. Hareket etmeden önce bilişim hizmet sağlayıcınızdan ve sigortacınızdan görüş alın. İkinci blok, arama listesi: bilişim hizmet sağlayıcısı, genel müdür, işletme sahibi, sigortacı, banka ve hukuk danışmanı; isimleri ve numaralarıyla, bu sırayla ya da kendi sıranızla.
Üçüncü blok, kâğıt işlemi: varışlar, ayrılışlar, oda ataması, gün sonunun sonra yeniden kurulabilmesi için numaralı bir kâğıda işlenen harcamalar ve bunları sonradan eşitleyecek adı belli bir kişi. Dördüncü blok, tek ses: misafirle kimin, basınla kimin konuşacağına ve misafire söylenecek ilk cümleye önceden karar verin. Beşinci blok, kişisel veri: şüpheli bir veri ihlali bildirim yükümlülükleri getirir; zamanlama, muhatap ve biçim avukatınızın sorusudur. Soruyu şimdi yazın ve yanıtlayacak kişinin adını yanına yazın.
Bir kez prova edin: ön büro müdürüyle otuz dakikalık bir masa tatbikatı, sistemler olmadan, tek bir senaryo. Sonrasında kısa bir yazılı değerlendirme ve güncellenmiş bir sayfa.
Kontrol listesi
- Üç satırlık dur-ve-kor talimatı.
- Sigortacı ve hukuk danışmanı dahil, isim ve numaralarıyla arama listesi.
- Varış, ayrılış ve harcamalar için kâğıt işlemi.
- Misafirler için onaylanmış ilk cümle ve konuşacak tek kişinin adı.
- Kişisel veri sorusu ve yanıtlayacak kişi.
- Son provanın ve bir sonrakinin tarihi.
Şimdi ne yapmalı
İlk bölümdeki yedi satırlık tabloyu alın, bilişim hizmet sağlayıcınızla tek bir toplantıya götürün ve yazılı yanıtlar isteyin. Sonra şu sırayla düzeltin: e-posta ve her extranette iki adımlı giriş, bir kez geri yüklenmiş ve tarihi yazılmış bir yedek, resepsiyondaki en eski desteklenmeyen makine. Listenin geri kalanı ancak bu üçü tuttuğunda bir bütün olur; çünkü hesaplar, cihazlar ve yedekler, kötü bir günü telafi edilebilir bir güne çeviren şeylerdir.
Sıkça sorulan sorular
Küçük oteller gerçekten siber saldırıların hedefi oluyor mu?
Saldırıların çoğu fırsatçı ve otomatiktir, kişisel değildir: açıkta duran hesaplar, desteklenmeyen makineler ve sahte faturalar ölçekli biçimde denenir. Küçük bir tesise e-postası, rezervasyon extranetleri ve tedarikçi ödemeleri üzerinden ulaşılabilir. Bu yüzden soru birinin sizi seçip seçmediği değil, kapılarınızın açık olup olmadığıdır. Bu kontrol listesi konuyu bir casus hikâyesi değil, bir bakım sorunu olarak ele alır.
Antivirüs programı bir otel için yeterli mi?
Hayır. Antivirüs bilinen dosyalarda işe yarar; ama desteklenmeyen bir işletim sistemi, paylaşılan resepsiyon hesabı, PMS'e ulaşan misafir ağı ya da takılı ve şifrelenebilir bir yedek disk sorununu çözmez. Onu bu yazıdaki yedi katmandan biri olarak görün; asla güncellemelerin ve test edilmiş yedeklerin yerine geçen bir şey olarak değil.
Bulut tabanlı PMS'e geçersek güvenlik firmanın işi mi olur?
Kısmen. Firma platformdan, çalışabilirliğinden ve kendi yedeklerinden sorumludur; otel ise hesapların kimde olduğu, personelin hangi cihazları kullandığı, neye tıkladığı ve sözleşmede yedekleme sıklığı, saklama süresi ve geri yükleme süresinin ne yazdığından sorumlu kalır. Bu soruları imzalamadan önce yazılı olarak sorun ve bir otelin verisinin diğerlerine dokunmadan nasıl geri yüklendiğini sorun.
Küçük bütçeli bir otel önce neyi düzeltmeli?
Üç şey, sırasıyla: e-posta ve her rezervasyon extranetinde iki adımlı giriş, tesiste tutulmayan ve bir kez geri yüklenmiş, tarihi yazılmış bir yedek, resepsiyondaki en eski desteklenmeyen makinenin yenilenmesi. Üçü de, yüksek sezonda kapalı bir resepsiyonun yanında ucuzdur ve her biri, yoksa tüm yıl açık kalan bir kapıyı kapatır.
ISO 27001 ya da PCI DSS gibi bir belge almamız gerekir mi?
Bunları yazılım ve ödeme sağlayıcılarınıza sormaya değer; bir belgeye sahip olduğunu söyleyen sağlayıcı belgeyi ve kapsadığı alanı göstermelidir. Tesisinizin kendisinin bir yükümlülük taşıyıp taşımadığı sözleşmelerinize, bankanıza ve ödeme kurulumunuza bağlıdır; bu yüzden bir rozeti hedef edinmek yerine hukuk danışmanınızla ve anlaşmalı bankanızla (üye işyeri bankanızla) doğrulayın. Bu listedeki pratik önlemler, duvardaki bir belgeden daha çok günlük işinizi korur.