Otel Siber Güvenliğinde KVKK ve PCI-DSS v4.0 Uyumluluk Rehberi

Konaklama tesisleri; her gün yüzlerce yerli ve yabancı misafirin kimlik, pasaport, kredi kartı ve konaklama geçmişi verilerini işleyen devasa birer veri merkezidir. Bu nedenle oteller, uluslararası siber suç örgütlerinin ve fidye yazılımı (ransomware) çetelerinin finans sektöründen sonraki en cazip hedefi haline gelmiştir. Yaşanacak tek bir veri ihlali, milyonlarca liralık yasal para cezaları ve telafisi imkansız bir itibar kaybı anlamına gelir.

1. Yasal Yükümlülükler: KVKK ve PCI-DSS v4.0 Ne Talep Ediyor?

Otel yönetimlerinin karşı karşıya olduğu iki ana yasal ve finansal çerçeve bulunmaktadır:

• 6698 Sayılı KVKK (Kişisel Verilerin Korunması Kanunu): Misafirin kimlik/pasaport fotokopileri, AKBS Emniyet bildirim logları, oda tercihleri ve kamera görüntüleri kişisel veridir. Kişisel Verileri Koruma Kurulu, veri güvenliğini sağlayamayan otellere milyonlarca liraya varan idari para cezaları kesmektedir.
• PCI-DSS v4.0 (Ödeme Kartı Sektörü Veri Güvenliği Standardı): Kredi kartı kabul eden her işletme için zorunludur. Ön büro ve restoran POS cihazlarının, kredi kartı numaralarının (PAN) ve CVV kodlarının saklanma standartlarını ve ağ izolasyonunu belirler. İhlal durumunda Visa/Mastercard tarafından kart çekim yetkisinin iptali ve işlem başına ağır cezalar uygulanır.

2. Kritik Mühendislik İlkesi: İzole POS ve Ödeme Ağı (VLAN 40)

Otellerde en sık rastlanan ölümcül altyapı hatası; resepsiyondaki fiziki POS cihazlarının, restoran el terminallerinin veya sanal POS sunucularının, misafir Wi-Fi ağı ya da idari ofis bilgisayarlarıyla aynı fiziksel switch ve IP havuzunda (Subnet) çalışmasıdır.

Küme Bilişim güvenlik mimarisinde uyguladığımız standartlar:

3. Rezervasyon Görünümlü Oltalama (Phishing) ve Ransomware Saldırıları

Son dönemde otellerin başına gelen en yaygın siber saldırı türü: "Rezervasyon değişikliği ve pasaport ektedir.zip" konulu e-postalardır. Ön büro veya rezervasyon personeli bu sahte dosyayı açtığında çalışan InfoStealer zararlı yazılımı, Opera/Elektra oturum çerezlerini ve Booking.com otel paneli giriş şifrelerini çalar.

Küme Bilişim Güvenlik Kalkanı ile bu risk nasıl önlenir?

1. Fortinet FortiGate UTM Derin Paket İnceleme (DPI): Gelen tüm e-postalar ve ekler bulut sandbox ortamında dinamik olarak çalıştırılıp taranır; şüpheli ekler kullanıcıya ulaşmadan karantinaya alınır.
2. Tokenization & P2PE (Point-to-Point Encryption): Ön büro bilgisayarlarında misafirin açık kart numarası (PAN) asla saklanmaz. Veri bankaya şifreli jeton (token) olarak iletilir.
3. EDR (Endpoint Detection & Response): Resepsiyon terminallerinde anormal PowerShell veya CMD çalıştırma girişimleri saniyesinde bloke edilir.

4. 5651 Sayılı Kanun ve KVKK Denetim İzleri (Audit Trails)

Siber güvenlik yalnızca savunmadan ibaret değildir; adli bir olay veya veri sızıntısı durumunda otelin masumiyetini kanıtlayabilmesi için değiştirilemez denetim kayıtları (Audit Logs) şarttır:

5. Otel Güvenlik ve Uyumluluk Kontrol Listesi (Checklist)

Bir otelin KVKK ve PCI-DSS denetiminden başarıyla geçebilmesi için Küme Bilişim'in uyguladığı 6 adımlı kontrol listesi:

• [ ✓ ] POS cihazları bağımsız VLAN 40 üzerinde ve misafir ağından %100 izole mi?
• [ ✓ ] Fortinet UTM firewall üzerinde IPS/IDS (Saldırı Önleme) kuralları güncel mi?
• [ ✓ ] Misafir Wi-Fi ağında Client Isolation (İstemci İzolasyonu) açık mı?
• [ ✓ ] Ön büro ve muhasebe bilgisayarlarında USB bellek kullanımı engellenmiş mi?
• [ ✓ ] Saatlik veri yedekleri 3-2-1 kuralına uygun (izole bulutta ve fidye yazılımlarının erişemeyeceği WORM formatında) tutuluyor mu?
• [ ✓ ] Personel için siber farkındalık ve oltalama (phishing) simülasyonları yapılıyor mu?