A tecnologia inteligente nos hotéis pode melhorar o conforto dos hóspedes e a eficiência operacional, mas também aumenta o número de dispositivos, integrações e ligações externas que os operadores precisam de proteger. Uma análise do Hotel Management Network revelou as potenciais vulnerabilidades e o que os operadores hoteleiros podem fazer para reduzir os riscos de cibersegurança.
Os hotéis estão a interligar cada vez mais aspetos da experiência dos hóspedes, desde chaves móveis e fechaduras inteligentes até televisões, iluminação, termóstatos e controlos dos quartos. Estas tecnologias podem tornar as estadias mais convenientes e as propriedades mais eficientes, mas uma maior conectividade também alarga o ambiente tecnológico do hotel que os operadores precisam de proteger.
Para os operadores hoteleiros, a análise aponta a integração da segurança nas diferentes fases de adoção destas tecnologias, desde a aquisição e implementação até à operação e eventual retirada de serviço, como um dos principais desafios.
De que forma a tecnologia inteligente pode aumentar a superfície de ataque
Um quarto de hotel inteligente pode incluir inúmeros sistemas conectados, como televisões, controlos de iluminação e temperatura, sensores de ocupação, fechaduras digitais, plataformas de entretenimento, tecnologia de comando por voz ou sistemas que permitem aos hóspedes controlar as funções do quarto através de aplicações móveis.
À medida que o número e a variedade de dispositivos conectados aumentam, a análise alerta que pode tornar-se mais difícil para os operadores manterem a visibilidade sobre os equipamentos instalados e o respetivo nível de segurança.
A tecnologia conectada raramente funciona de forma totalmente independente, como exemplificado pelo PMS (property management system). O PMS pode ser descrito como um centro operacional capaz de se ligar a sistemas como o ponto de venda, fechaduras, Wi-Fi, serviços aos hóspedes e parceiros comerciais externos.
Neste contexto, o Hotel Management Network destaca a importância de os operadores conhecerem os sistemas que comunicam entre si, uma vez que uma eventual falha de segurança pode não ficar limitada ao dispositivo inicialmente comprometido e permitir o acesso a outros sistemas.
Em que situações a tecnologia inteligente pode criar falhas de segurança
Como apontado pelo Hotel Management Network, um ponto fraco potencial é a segurança dos próprios dispositivos. Os produtos conectados podem apresentar vulnerabilidades na autenticação, no software, nas comunicações ou na configuração. “Também podem tornar-se difíceis de proteger se os fabricantes deixarem de fornecer atualizações ou se os hotéis não dispuserem de um processo eficaz para as aplicar”, salienta a análise.
A responsabilidade por um produto conectado não termina quando este é instalado. A análise aponta que os operadores precisam de compreender como os fornecedores divulgam as vulnerabilidades, como serão implementadas as correções ou medidas de mitigação e o que acontece quando um produto deixa de ter suporte.
O acesso de terceiros cria outra lacuna potencial. Os hotéis podem depender de fornecedores de tecnologia e integradores para a manutenção remota de sistemas conectados. O acesso remoto que seja desnecessariamente abrangente, mal protegido ou que já não seja necessário pode criar outra via de entrada no ambiente tecnológico do hotel.
A tecnologia conectada também pode criar um problema de responsabilidade dentro do setor hoteleiro. As fechaduras inteligentes podem ser geridas pelas equipas de segurança, os controlos dos quartos pela engenharia, as plataformas de entretenimento pelas operações e as redes pelas IT.
Por conseguinte, os operadores “precisam de definir as responsabilidades pela manutenção de inventários, aprovação de conectividade, aplicação de atualizações de segurança, gestão do acesso dos fornecedores e resposta a vulnerabilidades em todos os sistemas conectados,” indica a análise.
A privacidade dos dados é outra questão a ter em conta. A tecnologia dos quartos inteligentes pode processar informações sobre os dispositivos dos hóspedes, as suas preferências, a utilização do quarto e as interações com os sistemas do hotel. O Hotel Management Network afirma que os operadores devem compreender que informações cada sistema recolhe, onde são processadas e armazenadas, durante quanto tempo são conservadas e quais os terceiros que podem aceder às mesmas.
De acordo com a análise, há formas de os hotéis tornarem a tecnologia conectada mais segura, sendo que a cibersegurança deve começar antes da aquisição da tecnologia inteligente e continuar ao longo de toda a sua vida útil.
Incorporar a segurança no processo de aquisição
Uma avaliação de aquisição pode determinar quais os dispositivos que serão instalados, que tipo de informação estes processam e com que sistemas do hotel precisam de comunicar. A análise aponta ainda para a necessidade de avaliar como os dispositivos se autenticam, como são fornecidas as atualizações de segurança, durante quanto tempo o fornecedor tenciona dar suporte ao produto e o que acontece quando este atinge o fim do seu ciclo de vida de suporte.
Adicionalmente, a análise destaca a importância de os contratos com os fornecedores de tecnologia definirem as responsabilidades relativas às atualizações de segurança, à gestão de vulnerabilidades, à notificação de incidentes e ao acesso remoto, bem como à eventual retirada de serviço ou substituição dos produtos.
Os fornecedores, segundo a análise, “devem ser avaliados não só pelo que os seus produtos podem fazer quando instalados, mas também pela forma como as vulnerabilidades serão tratadas, as atualizações fornecidas e o suporte prestado aos produtos ao longo da sua vida útil.”
Limitar a conectividade quando os sistemas são implementados
Os dispositivos dos quartos de hóspedes “não devem ter automaticamente acesso ilimitado ao mesmo ambiente de rede que os sistemas críticos do hotel, tendo apenas acesso aos sistemas de que necessita”, de acordo com o Hotel Management Network.
A segmentação da rede pode restringir o acesso de um dispositivo conectado e reduzir a possibilidade de um atacante se deslocar lateralmente, caso uma parte do ambiente seja comprometida.
Manter a visibilidade sobre os ativos conectados
Assim que a tecnologia conectada estiver em funcionamento, a visibilidade torna-se fundamental. O Hotel Management Network refere que um inventário preciso dos ativos que abranja, por exemplo, sistemas de controlo de salas, sistemas prediais, equipamentos de entretenimento e tecnologia de acesso, deve igualmente registar com que ativos cada um comunica, de que sistemas depende, quem lhe presta assistência e se continua a receber atualizações de segurança.
A análise aponta ainda a importância de rever o acesso dos fornecedores ao longo do ciclo de vida do produto: “As ligações remotas que foram necessárias durante a instalação não devem permanecer automaticamente abertas indefinidamente, enquanto as contas pertencentes a fornecedores que já não prestam assistência a um sistema devem ser removidas ou desativadas.”
Planear o fim do ciclo de vida da tecnologia
Os dispositivos ligados à rede podem continuar fisicamente funcionais, mesmo que já não estejam disponíveis atualizações de segurança.
Por conseguinte, a análise finaliza ao destacar a importância dos hotéis compreenderem, logo no processo de aquisição, quando os produtos chegarão ao fim do suporte e decidir como serão geridos. Dependendo do dispositivo e dos riscos envolvidos, a tecnologia sem suporte poderá ter de ser substituída, isolada de outros sistemas ou removida da rede.
