Hızlı cevap: Otel misafir Wi-Fi güvenliğinin temeli ağ ayrımıdır: misafir ağı, otelin yönetim sistemleri (PMS, ödeme, ofis, kameralar) ile aynı ağda olmamalıdır. Misafirler birbirini görmemeli (istemci izolasyonu), giriş bir captive portal ile yönetilmeli ve yönetim panelleri misafir ağından erişilemez olmalıdır. Yanlış kurulmuş bir misafir Wi-Fi, otelin en kritik sistemlerine açılan bir kapı olur.

Otel Wi-Fi neden özel bir risk?

Otelde yüzlerce farklı, tanımadığınız cihaz ağa bağlanır. Bu cihazların bazıları zararlı yazılım taşır, bazıları kötü niyetlidir. Ev ya da ofis ağından farklı olarak, otel misafir ağı sürekli değişen ve güvenilmez bir kalabalığa hizmet eder.

Bu yüzden en tehlikeli hata, misafir Wi-Fi ile otelin yönetim sistemlerinin aynı ağda olmasıdır. Böyle bir kurulumda lobideki bir misafir, aynı ağdan PMS'e, ödeme sistemine ya da güvenlik kameralarına ulaşabilir. Misafir ağı her zaman ayrı ve yalıtılmış olmalıdır.

Güvenli otel misafir ağı nasıl kurulur?

Kontrol Amaç
Ağ ayrımı (VLAN) Misafir ağı, yönetim ve ödeme ağından tamamen ayrı
İstemci izolasyonu Misafirler birbirinin cihazını göremez
Captive portal Kontrollü giriş, kullanım şartları, kayıt
Yönetim paneli erişimi kapalı Modem, kamera, PMS misafir ağından görünmez
Bant ve içerik kontrolü Kötüye kullanım ve zararlı trafik sınırlanır
Güncel donanım Erişim noktalarının yazılımı güncel tutulur

Captive portal ve KVKK

Otellerin çoğu, misafir Wi-Fi girişinde bir captive portal kullanır ve burada ad, oda numarası ya da telefon gibi bilgi ister. Bu bilgi toplanıyorsa artık kişisel veri işlenmektedir ve KVKK yükümlülükleri devreye girer. Toplanan veri açık bir amaca dayanmalı, güvenli saklanmalı ve gereğinden uzun tutulmamalıdır. Ayrıca 5651 sayılı kanun kapsamında otelin belirli erişim kayıtlarını tutma yükümlülüğü vardır, ancak bu kayıtlar da misafir mahremiyetini gözeterek yönetilmelidir.

Sık yapılan hatalar

  • Misafir Wi-Fi ve PMS'in aynı ağda olması.
  • İstemci izolasyonunun kapalı olması, misafirlerin birbirini görmesi.
  • Modem ve kamera yönetim panellerinin misafir ağından erişilebilmesi, üstelik varsayılan parolayla.
  • Tek ve zayıf bir paylaşımlı Wi-Fi parolası.
  • Erişim noktalarının yıllarca güncellenmemesi.

KAOS ve DSET yaklaşımı

DSET, otel ağlarının sızma testini ve misafir Wi-Fi güvenlik denetimini yapar. Sahada en sık gördüğümüz kritik bulgu, misafir ağından otelin yönetim sistemlerine ya da varsayılan parolalı kamera panellerine ulaşılabilmesidir. Geliştirdiğimiz KAOS güvenlik motoru, kablosuz ağ testinde zayıf ayrımı, açık yönetim panellerini ve varsayılan kimlik bilgilerini raporlar. Amacımız pazarlama değil, misafir ağından kritik sistemlere giden yolu kanıtla göstermektir.

Bağlantılı okumalar: otel PMS yönetim sistemi güvenliği, otellerde KVKK ve misafir verisi, kablosuz ağ Wi-Fi sızma testi, ağ segmentasyonu ve mikrosegmentasyon, Wi-Fi kablosuz ağ güvenliği ayarları, IoT akıllı cihaz güvenlik sertleştirme.

Sık sorulan sorular

Misafir Wi-Fi ile otel sistemleri aynı ağda olabilir mi? Hayır, kesinlikle olmamalıdır. Misafir ağı, PMS, ödeme sistemi, ofis ve kameralarla aynı ağda olursa, ağa bağlanan herhangi bir misafir bu kritik sistemlere ulaşmayı deneyebilir. Misafir ağı ayrı bir VLAN'da, yönetim ağından tamamen yalıtılmış olmalıdır. Bu, otel ağ güvenliğinin en temel kuralıdır.

İstemci izolasyonu nedir ve neden gerekli? İstemci izolasyonu, aynı misafir ağındaki cihazların birbirini görmesini ve birbirine erişmesini engelleyen ayardır. Açık olmazsa, kötü niyetli bir misafir aynı ağdaki diğer misafirlerin cihazlarına saldırabilir. Bu yüzden otel misafir ağlarında istemci izolasyonu her zaman açık olmalıdır.

Captive portalda misafir bilgisi toplamak KVKK kapsamında mı? Evet. Ad, oda numarası, telefon gibi bilgiler toplanıyorsa kişisel veri işlenmektedir ve KVKK yükümlülükleri geçerlidir. Toplanan veri açık bir amaca dayanmalı, güvenli saklanmalı ve gereğinden uzun tutulmamalıdır. Ayrıca 5651 sayılı kanun kapsamındaki erişim kayıtları da mahremiyet gözetilerek yönetilmelidir.

Kaynaklar

Otel misafir ağınızın güvenlik denetimi ve kablosuz ağ sızma testi için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.