Qué pierde exactamente un hotel
Un hotel que pierde sus sistemas no pierde «archivos»: pierde el día a día entero. Las reservas de esta noche y de los próximos meses, el estado de cada habitación, las facturas emitidas —que la ley obliga a conservar—, el histórico de clientes, el registro de viajeros con su plazo de conservación de tres años. Y a diferencia de una oficina, no puede «cerrar unos días mientras se arregla»: los huéspedes de esta noche llegan igual.
Por eso el sector es objetivo predilecto del ransomware: la urgencia de volver a operar hace que las víctimas paguen. Y por eso la respuesta correcta no es confiar en que no te toque, sino que, si ocurre, puedas recuperar la operativa sin depender del atacante. Esa es la función real de una buena copia de seguridad.
La regla 3-2-1, traducida a hotel
La regla clásica dice: tres copias de los datos, en dos soportes distintos, una de ellas fuera. Traducida a un alojamiento:
- Tres copias: la que usas, una copia automática diaria y una segunda copia independiente de la primera.
- Dos soportes: que un mismo fallo no se las lleve todas. El disco USB conectado permanentemente al ordenador de recepción no cuenta: el ransomware cifra todo lo que ve conectado.
- Una fuera: en la nube o físicamente en otro sitio. El incendio, el robo y la inundación existen, y se llevan el ordenador y el disco de al lado juntos.
El fallo más habitual no es hacer copias: es probarlas. Una copia que nunca se ha restaurado es una hipótesis, no un plan. Dos veces al año, restaura algo de verdad —una carpeta, una base de datos— y cronometra cuánto tardas. El día malo, ese número es el que importa.
Si tu PMS es cloud, tu parte cambia (pero no desaparece)
Con un PMS en la nube, las copias del sistema de reservas son trabajo del proveedor — con servidores replicados y copias que un hotel difícilmente puede montar por su cuenta. Pero «es cloud» no es una respuesta, es el principio de tres preguntas que hacer antes de firmar:
- ¿Cada hotel tiene su base de datos aislada? Si todos los clientes comparten una, el problema de otro puede ser el tuyo. En Hostelum cada hotel tiene la suya, precisamente por esto.
- ¿Con qué frecuencia se hacen copias, dónde viven y cuánto tardaría una restauración? Respuestas concretas, por escrito.
- ¿Puedo exportar mis datos cuando quiera? La exportación periódica a un fichero tuyo es tu copia de la copia — y de paso responde a la pregunta de qué pasa si algún día te vas.
Lo que sigue siendo tuyo, cloud o no: el correo, la contabilidad local, los documentos del ordenador de recepción y cualquier cosa que viva solo en un disco del hotel.
Las tres puertas por donde entra
El ransomware no aparece por generación espontánea. Entra por un adjunto o enlace de correo —los disfraces del artículo sobre phishing—, por un sistema sin actualizar, o por un acceso remoto mal protegido (el escritorio remoto con contraseña floja que alguien montó «para mirar el planning desde casa»). Las tres se cierran barato: actualizaciones automáticas, MFA, y cero accesos remotos improvisados.
El plan de un folio
Cuando pasa, se improvisa fatal. Un folio impreso —impreso, porque quizá no haya sistemas— con cuatro cosas:
- A quién se llama: el informático o proveedor de confianza, el proveedor del PMS, el seguro si cubre ciberincidentes.
- Cómo operar en papel unas horas: el listado de llegadas del día se imprime cada mañana precisamente para esto.
- Qué no se hace: no se paga sin asesorarse, no se apagan las máquinas cifradas (las pistas se pierden), no se conecta el disco de copias a un sistema infectado.
- Qué plazos legales corren: si hay datos personales afectados, las 72 horas de la AEPD empiezan a contar cuando lo descubres.
Nada de esto requiere presupuesto de gran cadena. Requiere una tarde de configurarlo, dos restauraciones de prueba al año y un folio junto al mostrador. Es una medida sencilla y económica para reducir el impacto de un incidente.