Si tu hotel acepta tarjetas —y las acepta— le aplica PCI DSS. Dentro de la norma hay un requisito corto, concreto y casi siempre incumplido: comprobar cada tres meses si hay puntos de acceso inalámbricos que no deberían estar en tu red. No es una recomendación ni una buena práctica. Es una obligación trimestral con fecha, y es de las primeras cosas que pide un auditor cuando el establecimiento tiene WiFi abierto al público.
1. Qué dice exactamente el requisito
El requisito 11.2.1 de PCI DSS v4.0.1 establece tres cosas:
- Se comprueba la presencia de puntos de acceso inalámbricos.
- Se detectan e identifican todos los puntos de acceso, autorizados y no autorizados.
- La comprobación, detección e identificación se realiza al menos una vez cada tres meses.
Y añade una cuarta condición para quien lo resuelve con monitorización automática: el sistema debe generar alertas que notifiquen al personal. No basta con que un panel registre el evento si nadie lo mira.
Lo importante del redactado es ese «todos». No se trata de confirmar que tus puntos de acceso siguen donde los dejaste. Se trata de encontrar los que no sabías que existían.
2. Por qué un hotel es el peor escenario para este requisito
Una oficina tiene un espacio controlado y un inventario relativamente estable. Un hotel tiene lo contrario.
Tiene espacios a los que entra cualquiera con una reserva: habitaciones, salas de reuniones, zonas comunes. Tiene tomas de red accesibles detrás de un televisor, en un atril de sala o en el mueble de un despacho. Tiene obras, reformas y eventos con montajes temporales. Y tiene proveedores que instalan equipos propios: televisión en habitaciones, música ambiental, cartelería digital, domótica, sistemas de reservas de restaurante.
Cada uno de esos escenarios es una forma distinta de que aparezca un punto de acceso en tu red sin que figure en ningún inventario. El caso más incómodo es el más banal: alguien del equipo compra un repetidor doméstico porque en la sala del fondo se va la señal, lo enchufa a una toma de red y lo configura sin contraseña o con la que trae de fábrica. Ese aparato acaba de crear una puerta a la red interna que no pasa por tu controladora, no aplica tus políticas y no aparece en tus registros.
3. Qué cuenta como punto de acceso no autorizado
Esta es la parte donde más se falla al interpretarlo, porque la respuesta correcta es más amplia de lo que la gente supone.
- Un punto de acceso físico conectado a tu red que no está en tu inventario, sea de un empleado, de un proveedor o de un atacante.
- Un repetidor o router doméstico enchufado a una toma de red, aunque esté «solo para la sala de reuniones».
- Un dispositivo en modo punto de acceso: un portátil compartiendo conexión, un móvil haciendo de router, una impresora con WiFi Direct activado de fábrica.
- Un punto de acceso corporativo mal configurado: el que sigue emitiendo un SSID de pruebas de hace dos años, o el que quedó con el cifrado abierto tras un mantenimiento.
Conviene distinguir dos cosas que se mezclan. Un punto de acceso no autorizado es el que está conectado a tu red sin permiso: ese es el que persigue el requisito 11.2.1, porque supone una vía de entrada al entorno donde se tratan datos de tarjeta. Un gemelo maligno es otra cosa: una red falsa que imita el nombre del SSID de tu hotel sin estar conectada a tu infraestructura. No incumple el 11.2.1, pero le roba las credenciales y la sesión a tus huéspedes usando tu marca, y eso también acaba siendo tu problema.
4. Cómo se hace bien el escaneo trimestral
Hay dos formas válidas de cumplirlo y una tercera que no cumple.
La primera es la monitorización continua con un sistema de prevención de intrusiones inalámbricas. La mayoría de controladoras modernas lo traen, y la mayoría de hoteles lo tienen apagado o sin reglas de alerta. Si lo usas, acuérdate de la condición: tiene que notificar a alguien, y ese alguien tiene que saber qué hacer con la notificación.
La segunda es el escaneo físico periódico, recorriendo el establecimiento con equipo de medición. En un hotel esto significa recorrer todas las plantas, no solo las zonas comunes, porque el repetidor problemático está casi siempre en una sala interior o en un despacho.
La tercera, la que no cumple, es mirar la lista de dispositivos de la controladora. La controladora te enseña lo que ella gestiona. Un punto de acceso ajeno enchufado a una toma de red no aparece ahí: por eso el requisito habla de detectar, no de consultar.
Cuando el escaneo es físico, el procedimiento es siempre el mismo: inventario de todo lo que emite en 2,4 y 5 GHz, contraste contra la lista de equipos autorizados, y para cada diferencia, determinar si el aparato está conectado a tu red o no. Esa última comprobación es la que separa un hallazgo real de una alarma por el WiFi del bar de al lado.
5. Qué te va a pedir el auditor como evidencia
Tener el escaneo hecho y no poder demostrarlo equivale a no haberlo hecho. La evidencia que suele exigirse es esta:
- Un informe por trimestre, con fecha, alcance físico recorrido y método empleado.
- El inventario de puntos de acceso autorizados contra el que se ha contrastado.
- La lista de dispositivos detectados y la clasificación de cada uno.
- Para cada punto de acceso no autorizado encontrado, el procedimiento de respuesta que se siguió y cuándo se retiró.
- Si se usa monitorización automática, la configuración de las alertas y constancia de que llegan a una persona.
Ese último punto es el que más suspensos genera: el sistema detectaba, pero la alerta iba a un buzón que nadie leía.
6. Aprovecha el trimestre para algo más
Un escaneo de puntos de acceso cumple el requisito, pero deja fuera casi todo lo demás. Ya que hay que recorrer el establecimiento con equipo de medición cuatro veces al año, tiene sentido que al menos una de esas veces se haga una revisión completa: robustez de las claves, segmentación real entre la red de habitaciones y la del PMS, validación de certificado en la red del personal, portal cautivo y configuración de la controladora.
Dicho de otro modo: el 11.2.1 te obliga a mirar. Mirar bien cuesta poco más y responde a la pregunta que de verdad importa, que no es si hay un repetidor de más, sino si desde la red de un huésped se llega al sitio donde guardas los documentos de identidad y los medios de pago de los últimos tres años.
¿Tienes que justificar el escaneo trimestral?
En Jaymon Security ejecutamos la detección de puntos de acceso no autorizados con informe y evidencias válidas para tu QSA, y aprovechamos el recorrido para auditar el resto de la red inalámbrica.
Consulta el servicio de auditoría de redes WiFi o llámanos al +34 686 250 244.
Formación relacionada
Si quieres formar a tu equipo en seguridad ofensiva y defensiva, echa un vistazo a nuestros cursos de ciberseguridad.