Cyberbezpieczeństwo – systemy dla hoteli

CYBERBEZPIECZEŃSTWO

Merizon wdraża kompleksowe rozwiązania z zakresu cyberbezpieczeństwa w oparciu o rzetelny audyt, bieżące kryteria i nowelizacje ustaw.

O czym warto pamiętać w hotelu?

• Obowiązek samoidentyfikacji
  Nowelizacja Ustawy o Krajowym Systemie Cyberbezpieczeństwa (UKSC) wdrożyła NIS2 (Network and Information Security Directive 2). Oznacza to, że duże podmioty gospodarcze muszą samodzielnie ocenić, czy spełniają kryteria NIS2 i zgłosić się do właściwego rejestru
• Spełnienie wymogu PCI DSS 4.0
  Compliance (Payment Card Industry Data Security Standard)
• Zabezpieczenie środowiska danych posiadaczy kart
  CDE Network Segmentation: (CDE-cardholder data environment- np. terminale POS, serwer PMS) powinny być całkowicie odizolowane od sieci dla gości i ogólnej sieci biurowej.
• Network Isolation
  Sieć dla gości powinna być odizolowana od sieci administracyjnej
• Vulnerability scanning
  Hotel powinien przejść co 3 m-ce skany podatności sieci wewnętrznej oraz dbać o skany zewnętrzne (wykonywane przez certyfikowanego skanera ASV-Approved Scanning Vendor).
• Dane osobowe
  RODO (rozporządzenie ochrony danych osobowych) nakazuje hotelowi stosowanie "adekwatnych środków technicznych", aby dane nie wyciekły.
  Zgodnie z orzecznictwem Trybunału Sprawiedliwości UE, adresy IP mogą stanowić dane osobowe, jeśli Administrator dysponuje środkami prawnymi i technicznymi (np. bazą systemu rezerwacyjnego PMS), które pozwalają na jednoznaczną identyfikację osoby fizycznej korzystającej z danego adresu IP w określonym czasie.
• Security breach alerting/reporting
  Wyciek danych musi być zgłoszony (przez hotel) do UODO do 72h; CSIRT NASK do 24h
• Logs Retention
  Przechowywanie logów (szyfrowanych) do 12 m-cy.
  Prawo telekomunikacyjne nakłada obowiązek na operatorów do zbierania i przechowywania danych dotyczących korzystania z usług telekomunikacyjnych.
• Firewalls (Change Logs)
  Przechowywanie logów z informacjami kto i kiedy zmieniał reguły na firewallu.
• Patch Management
  Regularne aktualizowanie oprogramowania routerów, switchy i systemów operacyjnych. Do 30 dni od ich wydania.
• Active monitoring & Alerting NOC (Network Operations Center)
  24/7: Wykrywanie nietypowych zachowań w sieci (firewalls, switche), które mogą świadczyć o infekcji ransomware lub próbie wykradzenia bazy danych
• Reporting
  Raportowanie miesięczne (zablokowane ataki, próby włamań, próby połączeń z podejrzanymi adresami IP).
• Documentation
  Przechowywanie dokumentacji w zabezpieczonej chmurze (MFA-Multi-Factor Authentication).
• Access Authentication
  MFA (Multi-Factor Authentication)
  Uwierzytelnianie wieloskładnikowe – obowiązkowe dla każdego dostępu administracyjnego do sieci hotelowej (nie wystarczy samo hasło). Firma IT logująca się do firewalla z zewnątrz, musi używać MFA
• Unique Identification
  Zabronione jest używanie kont grupowych (np. "serwis", "admin"). Każdy pracownik musi logować się na własne imienne konto, aby było wiadomo, kto wprowadził zmiany.
• Back-ups
  Tworzenie regularnych kopii zapasowych (konfiguracji switchy, firewalls).
• Password management
  Zmiana haseł dostępowych do sprzętu aktywnego.
• Maintenance
  Serwis urządzeń
• Updating
  Aktualizacja reguł na firewallu (min co 6 m-cy pod kątem ich zasadności i bezpieczeństwa)
• Troubleshooting
  Reagowanie na incydenty zgodnie z SLA
• Minimum necessary
  Maksymalne ograniczenie dostępu np. do firewalli; nadawanie uprawnień „read only”
• Time synchronization
  Wszystkie urządzenia (serwery, firewalle) muszą mieć zsynchronizowany czas (NTP), aby w razie włamania można było ustalić dokładną chronologię zdarzeń.
• Hardening
  Urządzenia sieciowe nie mogą posiadać domyślnych haseł producenta (np. "admin/admin"). Każde urządzenie musi być skonfigurowane według bezpiecznych wzorców.
• Cybersecurity trainings
• Firewalls Redundancy
  Redundancja firewalli zapewniająca ciągłość ochrony w razie awarii urządzenia
• IDS (ang. Intrusion Detection System) 
  Uruchomienie  systemu wykrywania włamań, który monitoruje sieć lub system i ostrzega administratora o zagrożeniach
• IPS (ang. Intrusion Prevention System)
  Uruchomienie systemu zapobiegania włamaniom, który potrafi automatycznie blokować ataki w czasie rzeczywistym