Què perd exactament un hotel
Un hotel que perd els seus sistemes no perd «arxius»: perd el dia a dia sencer. Les reserves d’aquesta nit i dels pròxims mesos, l’estat de cada habitació, les factures emeses —que la llei obliga a conservar—, l’historial de clients, el registre de viatgers amb el seu termini de conservació de tres anys. I a diferència d’una oficina, no pot «tancar uns dies mentre s’arregla»: els hostes d’aquesta nit arriben igualment.
Per això el sector és objectiu predilecte del ransomware: la urgència de tornar a operar fa que les víctimes paguin. I per això la resposta correcta no és confiar que no et toqui, sinó que si et toca, no calgui pagar: això és exactament el que compra una bona còpia de seguretat.
La regla 3-2-1, traduïda a hotel
La regla clàssica diu: tres còpies de les dades, en dos suports diferents, una fora. Traduïda a un allotjament:
- Tres còpies: la que fas servir, una còpia automàtica diària i una segona còpia independent de la primera.
- Dos suports: que una mateixa fallada no se les emporti totes. El disc USB connectat permanentment a l’ordinador de recepció no compta: el ransomware xifra tot el que veu connectat.
- Una fora: al núvol o físicament en un altre lloc. L’incendi, el robatori i la inundació existeixen, i s’emporten l’ordinador i el disc del costat junts.
El punt que gairebé tothom suspèn no és fer còpies: és provar-les. Una còpia que no s’ha restaurat mai és una hipòtesi, no un pla. Dues vegades l’any, restaura alguna cosa de debò —una carpeta, una base de dades— i cronometra quant trigues. El dia dolent, aquell número és el que importa.
Si el teu PMS és cloud, la teva part canvia (però no desapareix)
Amb un PMS al núvol, les còpies del sistema de reserves són feina del proveïdor — amb servidors replicats i còpies que un hotel difícilment pot muntar pel seu compte. Però «és cloud» no és una resposta, és el principi de tres preguntes a fer abans de signar:
- Cada hotel té la seva base de dades aïllada? Si tots els clients en comparteixen una, el problema d’un altre pot ser el teu. A Hostelum cada hotel té la seva, precisament per això.
- Amb quina freqüència es fan còpies, on viuen i quant trigaria una restauració? Respostes concretes, per escrit.
- Puc exportar les meves dades quan vulgui? L’exportació periòdica a un fitxer teu és la teva còpia de la còpia — i de passada respon a la pregunta de què passa si algun dia marxes.
El que continua sent teu, cloud o no: el correu, la comptabilitat local, els documents de l’ordinador de recepció i qualsevol cosa que visqui només en un disc de l’hotel.
Les tres portes per on entra
El ransomware no apareix per generació espontània. Entra per un adjunt o enllaç de correu —les disfresses de l’article sobre phishing—, per un sistema sense actualitzar, o per un accés remot mal protegit (l’escriptori remot amb contrasenya fluixa que algú va muntar «per mirar el planning des de casa»). Les tres es tanquen barat: actualitzacions automàtiques, MFA, i zero accessos remots improvisats.
El pla d’un full
Quan passa, s’improvisa fatal. Un full imprès —imprès, perquè potser no hi haurà sistemes— amb quatre coses:
- A qui es truca: l’informàtic o proveïdor de confiança, el proveïdor del PMS, l’assegurança si cobreix ciberincidents.
- Com operar en paper unes hores: el llistat d’arribades del dia s’imprimeix cada matí precisament per a això.
- Què no es fa: no es paga sense assessorar-se, no s’apaguen les màquines xifrades (les pistes es perden), no es connecta el disc de còpies a un sistema infectat.
- Quins terminis legals corren: si hi ha dades personals afectades, les 72 hores de l’AEPD comencen a comptar quan ho descobreixes.
Res d’això no requereix pressupost de gran cadena. Requereix una tarda de configurar-ho, dues restauracions de prova l’any i un full al costat del taulell. És la pòlissa més barata que signarà el teu hotel.