ISO 27001 en hoteles: datos y continuidad

El alcance puede cubrir uno o varios hoteles y servicios centrales. Debe incluir interfaces críticas:

• PMS.
• Web y motor de reservas.
• Channel manager.
• TPV y pagos.
• Wifi.
• Cerraduras y CCTV.
• Correo y Microsoft 365.
• Copias.
• Proveedores de soporte.
• Sistemas corporativos.

No se excluye una dependencia porque sea SaaS.

El inventario relaciona propietario, ubicación, clasificación, dependencia y recuperación.

• Phishing con reservas reales.
• Ransomware del PMS.
• Compromiso de cuentas de plataforma.
• Malware en el TPV.
• Wifi mal segmentado.
• Cerraduras o IoT vulnerables.
• Copias conectadas al dominio.
• Proveedor con acceso permanente.
• Suplantación en cambios bancarios.
• Fuga de documentos de huéspedes.

El análisis considera la temporada alta y la operación 24/7. La reputación online también es un activo a proteger: una intrusión que trasciende en el momento equivocado, en plena campaña de reservas, un puente o una feria, daña más que la misma incidencia en temporada baja, así que la priorización de riesgos debe tener en cuenta la estacionalidad del negocio y no solo la gravedad técnica del fallo.

• Cuentas nominativas.
• MFA para administración y acceso remoto.
• Roles por función.
• Baja inmediata.
• Revisiones periódicas.
• Acceso temporal de proveedor.
• Bloqueo de terminales.
• Segregación de pagos.

Recepción no necesita privilegios de sistema y soporte no debe usar cuentas genéricas. La rotación de personal en recepción y housekeeping, habitual en temporada alta, multiplica el riesgo de cuentas huérfanas: el alta y la baja de accesos deben quedar automatizadas o, como mínimo, contrastadas semanalmente contra la plantilla real.

Se revisan permisos, exportaciones, API, integraciones y logs. Los informes descargados a escritorio son un riesgo recurrente.

La información de huésped se limita y los datos de documentos se tratan conforme a obligación y minimización. Las integraciones con channel managers deben usar credenciales restringidas y rotables. Conviene además inventariar qué terceros reciben datos de reserva por integración automática, como agencias online, programas de fidelización o CRM de marketing, y comprobar que esa transferencia se limita a los campos necesarios para el servicio que prestan.

ISO 27001 no sustituye a PCI DSS. El alcance debe minimizar los datos de tarjeta y utilizar proveedores adecuados. No se almacenan datos completos en notas del PMS o en el correo.

Los reembolsos y los cambios de cuenta requieren doble control. Las terminales de pago deben mantenerse en la red segmentada de TPV, separadas de la red de administración, y actualizarse según las indicaciones del proveedor de la pasarela: un TPV en la misma red que la ofimática multiplica la superficie de ataque.

Separar:

• Huéspedes.
• Administración.
• TPV.
• IoT/cerraduras.
• Cámaras.
• Proveedores.

El portal de clientes no da acceso a la red interna. Se monitorizan los equipos y se actualiza el firmware. El acceso de mantenimiento a routers y puntos de acceso debe revisarse tras cada intervención externa: una contraseña de fábrica que deja un instalador es una puerta abierta que nadie audita hasta que se produce el incidente.

Para PMS, nube, reservas, lavandería conectada, mantenimiento o seguridad:

• Criticidad.
• Contrato y SLA.
• Acceso.
• Incidentes.
• Subcontratistas.
• Continuidad.
• Seguridad.
• Salida.

Un certificado del proveedor debe comprobarse por alcance y vigencia.

Un hotel en España no gestiona los datos de huéspedes solo bajo el criterio de ISO 27001: el Real Decreto 933/2021 obliga a los establecimientos de hospedaje, es decir, hoteles, hostales, pensiones, apartamentos turísticos y las plataformas que intermedian estas reservas, a recabar y comunicar un registro documental de viajeros. El anexo I de la norma fija los datos mínimos: nombre y apellidos, sexo, tipo, número y número de soporte del documento de identidad, nacionalidad, fecha de nacimiento, lugar de residencia habitual, teléfono, correo electrónico y, si procede, número de viajeros y parentesco con los menores.

Para la transacción exige además los datos del medio de pago (tipo, número de tarjeta o cuenta, titular y caducidad): es el dato más sensible de cuantos maneja un hotel a efectos de ISO 27001, y debe tratarse con el mismo rigor que cualquier dato de tarjeta sujeto a PCI DSS.

El artículo 6 del Real Decreto fija plazos que conviene automatizar desde el propio PMS: la comunicación de la reserva o formalización del contrato, y la del inicio del servicio, deben transmitirse por vía telemática en un plazo no superior a veinticuatro horas; existe además una comunicación previa que debe completarse antes de que transcurran diez días desde los trámites administrativos. El artículo 5.3 exige conservar los datos del registro informático durante tres años desde la finalización del servicio, y el artículo 8 tipifica como infracción grave tanto la carencia de estos registros como la omisión de las comunicaciones obligatorias.

La Agencia Española de Protección de Datos señaló en junio de 2025 un error frecuente en recepción: pedir y conservar una copia del DNI o el pasaporte del huésped. Según la AEPD, documentos como el DNI incluyen información adicional a la exigida por el Real Decreto 933/2021, como la fotografía, la fecha de caducidad, el CAN o la filiación, cuyo tratamiento incrementa el riesgo de suplantación de identidad y vulnera el principio de minimización de datos. Para verificar la identidad presencialmente basta una comprobación visual del documento; en canales online, la propia AEPD apunta a certificados digitales, la verificación de datos asociados al medio de pago o el envío de códigos de un solo uso por teléfono o correo.

Para el sistema de gestión de seguridad de la información esto tiene una consecuencia directa: el check-in es un activo con obligación legal propia y con su propio riesgo de sobre-recogida de datos, y debe aparecer en el análisis de riesgos y en los procedimientos de recepción, no solo en la política de protección de datos.

La estrategia incluye copias separadas, inmutables cuando proceda, cifradas y restauradas en pruebas. Se define el RTO/RPO para PMS, reservas, facturación y cerraduras.

El modo degradado debe permitir operar sin improvisar hojas con datos excesivos.

La continuidad se puede certificar aparte con la continuidad de negocio ISO 22301.

Escenarios:

• PMS caído.
• Internet indisponible.
• Pasarela de pago caída.
• Cerraduras no operativas.
• Ransomware.
• Proveedor crítico caído.
• Evacuación o indisponibilidad física.

Cada plan indica responsables, datos mínimos, comunicación, recuperación y conciliación posterior. Se recomienda ensayar cada escenario al menos una vez al año, con especial atención al periodo de mayor ocupación, y registrar los tiempos reales de recuperación frente a los objetivos fijados para poder corregir el plan si no se cumplen.

Se establece un canal 24/7, clasificación, contención, evidencia y comunicación. Un incidente puede activar RGPD, obligaciones contractuales, seguros o autoridades.

Se ensaya con recepción, dirección, IT y proveedores. El registro de cada incidente debe conservar evidencia suficiente para determinar si hubo acceso a datos de huéspedes: un incidente que afecte a los datos del registro de viajeros puede obligar a notificar la brecha a la AEPD en un máximo de 72 horas y, si el riesgo es alto, a informar a los afectados (arts. 33 y 34 del RGPD).

ISO 27001 apoya la seguridad, pero no demuestra por sí sola el cumplimiento del RGPD. Deben existir bases, información, conservación y derechos. Puede integrarse ISO/IEC 27701 si resulta apropiado.

El registro de viajeros del Real Decreto 933/2021 ilustra por qué conviene distinguir ambos marcos: obliga a recoger y conservar unos datos concretos durante tres años, mientras que el RGPD exige además minimizar cualquier dato que exceda esa obligación, como ocurre con la copia del documento de identidad señalada por la AEPD.

La SoA selecciona los controles del anexo A y justifica su inclusión o exclusión según los riesgos. Debe coincidir con la operación.

Ejemplos de evidencia:

• Política.
• Matriz de accesos.
• Segmentación.
• Logs.
• Parches.
• Copias.
• Pruebas.
• Contratos.
• Formación.
• Incidentes.

Para llevarlo a tu establecimiento, nuestra consultoría ISO 27001 parte del alcance y de la declaración de aplicabilidad.

ISO/IEC 27001 no la certifica el fabricante de la norma ni vale una autodeclaración: puede emitirla cualquier entidad de certificación, pero solo la de una entidad acreditada por ENAC para ese alcance demuestra competencia e imparcialidad; es la que conviene pedir. En España, ENAC, el organismo nacional de acreditación, acredita a las entidades de certificación de sistemas de gestión que operan, entre otras normas, sobre la ISO 27001 para la seguridad de la información; ENAC no certifica hoteles, acredita a quien certifica, comprobando que la entidad tiene competencia técnica e imparcialidad demostradas. Antes de contratar una auditoría conviene comprobar que el organismo elegido figura acreditado para el alcance concreto que se va a certificar.

La norma de referencia en España es la UNE-EN ISO/IEC 27001:2023, publicada por UNE y ya con la modificación UNE-EN ISO/IEC 27001:2023/A1:2024. Sobre esa versión vigente, el auditor comprueba que el alcance declarado coincide con la operación real del hotel, que el análisis de riesgos cubre las dependencias descritas en este artículo (PMS, pagos, wifi, proveedores) y que cada control marcado como aplicable en la Declaración de Aplicabilidad tiene evidencia operativa, no solo documental.

El coste de la auditoría depende del número de establecimientos, del alcance y del organismo elegido; puede consultarse un desglose de rangos orientativos en cuánto cuesta certificar ISO 27001.

Para presupuestar, consulta cuánto cuesta la ISO 27001 por partidas.

Recepción, reservas, administración y mantenimiento enfrentan amenazas distintas. La formación incluye phishing, llamadas fraudulentas, documentos, pagos, llaves y escalado.

Se mide la competencia con simulaciones, no solo con la asistencia.

El siguiente calendario orienta el trabajo de un hotel independiente o de una pequeña cadena; el ritmo real depende de la madurez de partida y del número de establecimientos incluidos en el alcance.

Días 1-30

Alcance, activos, procesos y brecha.

Días 31-60

Riesgos, SoA, accesos y proveedores.

Días 61-90

Controles, continuidad, incidentes y formación.

Días 91-120

Auditoría interna, correcciones y revisión por dirección.

1. Limitar el alcance a IT.
2. Ignorar el SaaS.
3. Mezclar wifi y administración.
4. Compartir cuentas de recepción.
5. Mantener acceso de proveedores.
6. No restaurar copias.
7. Guardar tarjetas en notas.
8. Carecer de modo degradado.
9. Confundir ISO y RGPD.
10. Certificar antes de operar los controles.
11. Fotocopiar o escanear el DNI del huésped más allá de lo que exige el registro de viajeros.
12. Contratar una auditoría con un organismo sin acreditación comprobada para el alcance.

• Alcance y dependencias.
• Activos y riesgos.
• Identidad y MFA.
• Segmentación de red.
• PMS e integraciones.
• Pagos y datos.
• Proveedores.
• Copias y restauración.
• Continuidad e incidentes.
• SoA, auditoría y dirección.