En este artículo
Para la dirección de un hotel, la temporada alta trae un riesgo que rara vez aparece en el presupuesto: decenas de personas nuevas entrando en los sistemas en pocas semanas, y muchas de ellas marchándose sin que nadie les retire el acceso. El control se consigue con cuatro decisiones: identidad propia para cada empleado, permisos diseñados por función, red segmentada y un protocolo de salida ejecutado el mismo día, aunque ese día sea un domingo por la noche.
¿Dónde está el riesgo en un hotel en plena temporada?
En tres características que ningún otro sector reúne con la misma intensidad.
- Equipos que cambian todo el año Recepción, housekeeping, F&B y becarios entran y salen continuamente, con los mayores picos entre la primavera y el verano.
- Una casa que nunca cierra Hay turnos de noche, fines de semana y festivos en los que no hay nadie de IT en el edificio.
- Información crítica dispersa El PMS (la plataforma de gestión hotelera, con reservas y fichas de huéspedes), los terminales de tarjeta, el correo de reservas, el CCTV y el Wi-Fi.
El síntoma típico es un usuario genérico, del tipo «recepcion1», compartido por todo el equipo. Con él, ya no es posible saber quién tocó una reserva, quién hizo un reembolso o quién abrió la ficha de un cliente. Peor aún: quien se fue y conoce esa contraseña mantiene la puerta abierta desde cualquier lugar.
¿Qué accesos debe tener cada función?
El punto de partida es sencillo: un usuario nominal por persona en cada sistema, y solo los permisos que exige el puesto. Una matriz de referencia:
| Puesto | En el PMS | En el correo | En los pagos | Red Wi-Fi |
|---|---|---|---|---|
| Recepción (contrato de temporada) | Entradas, salidas y gestión de reservas | Accede al buzón común de recepción con su propio usuario | Cobra en el terminal; no anula ni devuelve | Staff |
| Jefe de recepción | Además de lo anterior, tarifas y rectificaciones | Dirección personal | Puede anular y devolver | Staff |
| Housekeeping y F&B | Estado de las habitaciones o cargo de consumos, si hace falta | Solo cuando esté justificado | Ninguno, o solo el TPV de sala | Staff |
| Administración y dirección | Configuración e informes | Dirección personal protegida con MFA | Consulta y conciliación | Administración |
La matriz se ajusta al organigrama de cada establecimiento. El criterio se mantiene: el mínimo permiso necesario.
¿El buzón de reservas tiene que dejar de ser compartido?
No. La dirección «reservas@» o «recepcion@» sigue funcionando como siempre. La diferencia está en el acceso: cada empleado entra con sus credenciales y recibe delegación sobre ese buzón. El día que se va, se retira la delegación: el buzón y el historial se quedan, y ninguna contraseña ha pasado de mano en mano.
Hay credenciales que no se pueden individualizar, como las del portal de un turoperador. Para esas, un gestor de contraseñas empresarial permite usar la contraseña sin mostrarla y cortar el acceso de inmediato. Para la dirección y el correo, la verificación en dos pasos (MFA) no es opcional.
¿Cómo se aíslan huéspedes, equipo, pagos y CCTV?
Con segmentación por VLAN. Sobre el mismo cableado y los mismos puntos de acceso funcionan varias redes lógicas que no se ven entre sí, como alas de un edificio con puertas de seguridad entre ellas. El portátil de un huésped queda confinado en su ala y no tiene camino hacia el PMS, los terminales o las cámaras.
La configuración mínima que recomendamos en un hotel tiene cinco segmentos:
- Red de huéspedes Acceso a internet y a nada más.
- Red del personal Smartphones y tabletas del personal, con contraseña propia renovada cada vez que alguien se va.
- Red operativa PMS y puestos de trabajo de recepción y back-office.
- Red de pagos Terminales y TPV, con las comunicaciones reducidas a lo estrictamente necesario.
- Red de vídeo CCTV aislado, con visualización de imágenes restringida y registrada.
Las reglas entre segmentos las impone el firewall. Explicamos cómo funciona un firewall gestionado por DataRoad y qué debe tener la red de visitantes en cómo proteger el Wi-Fi empresarial y la red de invitados.
¿Qué exige el PCI DSS a un hotel?
El PCI DSS reúne los requisitos de seguridad para datos de tarjetas definidos por el PCI Security Standards Council, entidad fundada por las redes de tarjetas. El propio Council aclara que abarca a cualquier entidad que almacene, procese o transmita esos datos, sea cual sea su tamaño. Aceptar tarjetas basta para estar dentro; la forma de demostrar el cumplimiento, cuando se exige, la determina el banco que proporciona los terminales.
Traducidas a la rutina de un hotel, las orientaciones del Council a los comercios se resumen en cuatro prácticas:
- Credenciales robustas y personales en todos los sistemas vinculados a cobros.
- Acceso remoto excepcional — solo cuando sea necesario y siempre con MFA.
- Software siempre actualizado — parches aplicados en cuanto estén disponibles.
- Inspección periódica de los terminales — para detectar manipulaciones físicas.
Aislar los pagos en una red dedicada reduce la superficie expuesta. Las otras tres prácticas siguen siendo obligatorias.
DataRoad IT Unlimited
Hable con DataRoad. Evaluamos su operación y proponemos el plan adecuado.
¿Cómo queda esto en un hotel real?
En la Baixa de Lisboa, entre Rossio y Restauradores, DataRoad - IT Services and Consulting gestiona la red de seis establecimientos: Ouro Rossio Hotel, LX Arch Rossio Hotel, Nicola Rossio Hotel, Rossio Plaza Hotel, BeHotel y BePoet Hotel. La red de huéspedes de cada uno está separada de la operación, por lo que un dispositivo de un cliente no alcanza el PMS, el TPV, el CCTV ni los puestos del back-office. El vídeo funciona en un segmento lógico dedicado, compartiendo el cableado físico, y queda registrado quién consulta las grabaciones. Conozca el proyecto en los seis establecimientos de la Baixa.
El caso de Ouro Rossio Hotel da la escala: 6 plantas, 30 puntos de acceso, 55 cámaras y 10 switches, con un firewall empresarial responsable de la segmentación y del control de tráfico según el perfil de cada usuario. Terminada la instalación, el hotel firmó un contrato IT Unlimited.
¿Qué protocolo seguir cuando alguien entra o sale?
Alta
- Autorización por escrito Emitida por la dirección, con el puesto y la fecha prevista de finalización.
- Usuario en el PMS Nominal, con el perfil del puesto.
- Cuenta de correo Microsoft 365 o equivalente, con MFA, solo si el puesto lo requiere.
- Delegación en el buzón común Sin compartir contraseñas.
- Wi-Fi del personal Y nunca el segmento operativo.
- Sesión de concienciación de 15 minutos Phishing, contraseñas y cómo actuar ante una petición fuera de lo normal.
Baja, siempre el mismo día
- Bloquear usuarios PMS y correo desactivados, sesiones activas cerradas.
- Retirar delegaciones Buzones comunes y carpetas compartidas.
- Cerrar el gestor de contraseñas Accesos retirados y contraseñas que la persona conocía renovadas.
- Renovar la contraseña del Wi-Fi del personal Cuando es común a todos.
- Recoger el material Tarjetas, llaves, códigos de alarma y equipos.
- Documentar Cuándo se hizo y quién lo hizo.
La condición que más falla es la del mismo día. En un hotel, una salida puede producirse un sábado a las 23:00, y el protocolo solo funciona si está escrito y si el socio de IT está disponible en ese momento. Para esa realidad existe el plan Premium 365, con cobertura por la noche, los fines de semana y los festivos.
Preguntas frecuentes
¿Es posible tener un usuario de PMS para cada recepcionista?
Sí, en la mayoría de los PMS profesionales, que admiten usuarios nominales con perfiles. Si su sistema no lo permite o tiene pocas licencias, resuélvalo con el proveedor antes de la próxima temporada.
¿Basta con cambiar cada mes la contraseña del Wi-Fi de huéspedes?
No. La protección real viene de la segmentación: aunque conozca la contraseña, un huésped no puede tener camino hasta el PMS, los terminales o el CCTV.
¿Un hotel pequeño está sujeto al PCI DSS?
Sí. El PCI Security Standards Council no exime a nadie por su tamaño; la forma de acreditar el cumplimiento la define el banco de los terminales.
¿Cuánto tarda la implantación?
Los usuarios nominales y el protocolo de salida quedan listos en pocos días. La segmentación depende de la red actual y puede implicar reconfigurar el firewall y los puntos de acceso, un trabajo que programamos para las horas de menor actividad.
Siguiente paso: auditoría de accesos y red de su hotel en 10 días laborables
Antes de la próxima temporada, analizamos los usuarios del PMS, el correo y el Wi-Fi, la segmentación y el protocolo de salida, y entregamos las correcciones ordenadas por prioridad. Propuesta sin compromiso. Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico. Vea cómo trabajamos el IT y las redes gestionadas para hostelería.
Llame al +351 211 459 950* o escriba a sales@dataroad.pt.
*Llamada a la red fija nacional portuguesa.
Fuentes
- Recursos para comercios del PCI Security Standards Council: pcisecuritystandards.org
