Otel Ağı & POS Siber Güvenlik Denetimi

Bu denetim hizmeti, ağ güvenliğini ciddiye alan ancak ne kadar korunaklı olduğunu gerçekten bilemeyen konaklama tesislerine yöneliktir. Güvenlik durumunu belgelemek, mevcut sigortayı desteklemek veya franchise anlaşması gereği periyodik denetim yaptırmak zorunda olan tesisler için de birincil tercih olmalıdır.

• POS terminali kullanan oteller: Restoran, bar, spa veya ön büroda kart ödeme işlemi yapan tüm tesisler PCI-DSS kapsamındadır. Uyumsuzluk, kart ağlarının uyguladığı cezalara ve işlem kısıtlamasına yol açabilir. Yıllık bağımsız değerlendirme bu riski yönetmenin en etkili yoludur.
• Merkezi PMS altyapısına sahip tesisler: Rezervasyon, check-in, fatura ve misafir profil verilerini tek bir sistemde toplayan ve bu sisteme birden fazla cihazdan erişen oteller. PMS bir veri hazinesidir; doğru korunmadığında saldırı için en değerli hedefe dönüşür.
• Misafir Wi-Fi hizmeti sunan işletmeler: Misafir ağının otel iç ağından yeterince yalıtılmış olup olmadığı, güvenlik duvarı kurallarının güncel ve doğru yapılandırılmış olup olmadığı denetlenir. Bu yalıtım eksikliği otelcilik sektöründe en sık karşılaşılan güvenlik açığıdır.
• Daha önce güvenlik olayı yaşamış tesisler: Veri ihlali, yetkisiz erişim veya fidye yazılımı saldırısı geçmişi olan işletmeler için kapsamlı bir yeniden değerlendirme ve sertleştirme sürecidir. Olay sonrası denetim, hem teknik iyileşmeyi belgeler hem sigortacı ve iş ortakları için güven verir.
• Sigorta ve uyum gereklilikleri olan zincirler: Siber sigorta poliçesi veya franchise anlaşması kapsamında periyodik güvenlik denetimi zorunluluğu bulunan tesis yönetimleri. Bağımsız denetim raporu bu gerekliliği karşılamanın kabul görmüş yoludur.
• Yeni açılan veya büyük altyapı değişikliği geçiren tesisler: Yeni POS, PMS geçişi veya ağ yenileme sonrasında güvenlik yapısının doğrulanması kritik önem taşır. Değişiklik sonrası denetim, eski açıkların yeni yapıya taşınmadığını kanıtlar.

Denetim; teknik personeli olan büyük oteller için derinlemesine sızma testi, küçük butik tesisler için ise risk odaklı güvenlik değerlendirmesi şeklinde ölçeklenebilir. Her iki durumda da işletmenin riskini somut bulgularla ortaya koyar ve öncelikli iyileştirme adımlarını net biçimde listeler.

Otel ağlarında tekrar eden güvenlik açıkları belirli örüntüler izler. Bu açıkların büyük bölümü karmaşık saldırı teknikleri gerektirmez; basit yapılandırma hataları ve ihmal edilen güncellemeler yeterlidir.

Ağ Segmentasyon Eksikliği

Misafir Wi-Fi ile otel iç ağı aynı VLAN veya ağ segmentinde olduğunda bir misafirin cihazından operasyonel sistemlere erişim mümkün hâle gelir. Ön büro terminali, PMS sunucusu ve kamera kontrol sistemi misafirin ağ katmanından görülebilir duruma gelir. Bu yanlış yapılandırma pek çok tesiste yaygındır ve tespit edilmesi teknik uzmanlık gerektirir.

POS Güvenlik Açıkları

Eski işletim sistemi üzerinde çalışan POS terminalleri, güncel yama almayan ödeme yazılımları ve zayıf şifreleme politikaları kart verisi hırsızlığının önde gelen nedenlerdir. PCI-DSS uyumluluğunun bağımsız olarak doğrulanması ve yıllık tekrarlanması kritik öneme sahiptir. Kart verisi sızdırıldıktan sonra ödenen ceza ve tazminat, önleyici denetim maliyetinin çok üzerindedir.

Varsayılan Kimlik Bilgileri

Router, switch, IP kamera ve akıllı TV gibi cihazlarda fabrika çıkışı kullanıcı adı ve şifreler değiştirilmeden kullanılmaktadır. Bu cihazlar, halka açık veritabanlarından birkaç saniyede aranabilir ve ağ üzerinden kolayca ele geçirilebilir; ardından tüm iç sisteme erişim için atlama taşı işlevi görür.

Güncelleme Almayan Sistemler

Kamera yazılımı, ağ yönetim arayüzü ve PMS eklentileri gibi bileşenler genellikle güncelleme alınmadan çalıştırılır. Bu bileşenler için keşfedilen güvenlik açıkları (CVE) kamuya duyurulduğunda saldırganlar için hazır bir giriş kapısı oluşur; etkilenen sistemin yama alması ise gecikir.

Sosyal Mühendislik Riski

Kimlik avı e-postaları ve telefon dolandırıcılığı, teknik açıklardan çok insan faktörünü hedef alır. Ön büro ve muhasebe personeli bu saldırılara en açık konumda bulunan ekiplerdir. Simüle edilmiş phishing testi, personelin gerçek bir saldırıya maruz kalmadan önce farkındalık kazanmasını sağlar.

Denetim; bu sorunları gerçek saldırgan bakış açısıyla, yazılı izin dahilinde ve kayıt altında test ederek belgelenmiş bulgular üretir. Yüksek, orta ve düşük riskler ayrıştırılır ve her bir bulgu için spesifik kapatma adımı önerilir.

1. Kapsam ve Yetkilendirme Sözleşmesi: Denetim kapsamı belirlenir: iç ağ, misafir Wi-Fi, POS terminalleri, web uygulamaları ve sosyal mühendislik testi hangi kombinasyonda yapılacak? Test zaman pencereleri, iletişim prosedürleri ve acil durdurma kriterleri yazılı sözleşmeye bağlanır. Hiçbir test imzalı yetkilendirme olmadan başlamaz.
2. Pasif Keşif (OSINT): Tesisin dışarıya açık yüzeyi pasif araçlarla haritalanır. DNS kayıtları, açık portlar, hizmet banner bilgileri ve daha önce sızmış kimlik bilgileri (veri ihlali veritabanları) incelenir. Bu aşama tesis ağına dokunmaz; yalnızca kamuya açık bilgileri derler.
3. Ağ Taraması ve Güvenlik Açığı Analizi: İç ağ ve misafir ağı endüstri standardı araçlarla taranır. Keşfedilen cihaz ve hizmetler CVE veritabanıyla eşleştirilir; tespit edilen güvenlik açıkları CVSS v3 skoruna göre sınıflandırılır. Bu aşama operasyonu aksatmayacak düşük trafik yoğunluğuyla gerçekleştirilir.
4. Sızma Testi: Yüksek riskli güvenlik açıkları kontrollü ortamda exploit edilerek gerçek risk düzeyi doğrulanır. POS ağ segmentine erişim, PMS sunucusuna yanal hareket (lateral movement) ve ayrıcalık yükseltme senaryoları test kapsamına alınır. Her exploit girişimi zaman damgalı log ile kayıt altına alınır.
5. Sosyal Mühendislik Değerlendirmesi (isteğe bağlı): Personele yönelik simüle edilmiş kimlik avı e-postası veya telefon testi uygulanır; insan faktörü kaynaklı risk ölçülür ve bireysel sonuçlar anonimleştirilerek rapor edilir. Bu aşama öncesinde üst yönetimden ek yetkilendirme alınır.
6. Raporlama ve Yol Haritası Sunumu: Bulgular; yönetici özeti, teknik detay ve önceliklendirilen iyileştirme adımlarını içeren kapsamlı rapor hâlinde sunulur. Kritik ve yüksek riskli bulgular raporun tamamlanmasını beklemeksizin anında bildirilir. Sunum sonrasında sorularla geçilen yüz yüze veya çevrimiçi oturum dahildir.
7. Dokümantasyon ve bilgi transferi: Proje tamamlandığında teknik mimari belgesi, kullanıcı el kitabı ve yönetici başvuru kılavuzu teslim edilir. Bu belgeler ilerleyen dönemde ekip değişikliği veya sistem güncellemesi gerektiğinde bağımsız başvuru kaynağı işlevi görür. Kaynak kodun yorum yoğunluğu geliştiriciler için de sürdürülebilirlik sağlar.
8. Süregelen destek ve iyileştirme: Canlıya alım sonrasında ilk otuz gün boyunca öncelikli destek hattı aktif tutulur. Bu sürede misafir davranışlarından veya personel geri bildirimlerinden ortaya çıkan kullanılabilirlik iyileştirmeleri öncelikli olarak ele alınır. Altıncı ayda isteğe bağlı kapsamlı gözden geçirme oturumu düzenlenerek sistemin işletme hedefleriyle örtüşmeye devam ettiği doğrulanır.

Denetim sürecinin kendisi en yüksek gizlilik ve güvenlik standartlarına tabidir. Güvenlik denetimi yapan bir firmanın kendi süreçlerindeki zafiyetler hem yasal hem etik sorunlara yol açar; bu nedenle aşağıdaki prensipler hizmetin değişmez koşullarıdır.

• Yazılı yetkilendirme zorunluluğu: Hiçbir test imzalı kapsam sözleşmesi ve yönetici onayı olmadan başlamaz. Tüm test aktiviteleri; başlangıç zamanı, kullanılan araç ve elde edilen çıktıyla zaman damgalı log kaydına alınır. Bu log denetim sonrası müşteriye teslim edilir.
• Veri minimizasyonu: Test sırasında elde edilen misafir veya kart verisi toplanmaz; yalnızca güvenlik açığını kanıtlamaya yetecek minimum veri örneği ekran görüntüsü veya hash ile dokümante edilir. Kart numarası, TC kimlik numarası gibi tam kişisel veri asla kayıt altına alınmaz.
• Bulgu gizliliği: Denetim raporu yalnızca sözleşmede belirlenen yetkili yöneticilerle paylaşılır; üçüncü tarafla kesinlikle paylaşılmaz. Rapor tesliminin ardından test ortamındaki tüm geçici erişim kapatılır ve erişim sonlandırma belgesi hazırlanır.
• PCI-DSS uyum desteği: Bulgular PCI-DSS gereksinim maddeleriyle eşleştirilerek sunulur. Uygulamanın doldurması gereken SAQ (Self-Assessment Questionnaire) sürecine rehberlik edilir; varsa sertifikalı QSA'ya yönlendirme yapılır.
• Koordineli zafiyet ifşası: Test kapsamı dışında tespit edilen kritik açıklar müşteriye derhal bildirilir; sektör standardı sorumlu ifşa sürecine uygun davranılır.
• Sunucu ve altyapı güvenliği: Sistemin çalıştığı altyapı güncel güvenlik yamaları alacak biçimde yönetilir. Bağımlılıklar bilinen zafiyet veritabanlarına karşı periyodik olarak taranır; kritik açık tespit edildiğinde yama önceliklendirilir ve teslim edilmiş sistemin etkilenip etkilenmediği müşteriye bildirilir.
• Yedekleme ve felaket kurtarma: Sistem veritabanı ve yapılandırma dosyaları günlük yedeklenir; yedekler şifreli olarak farklı bir coğrafi konumda saklanır. Veri kaybı durumunda kurtarma prosedürü önceden test edilmiş ve belgeli biçimde hazır tutulur.