Biuro podróży i touroperator: ochrona danych, płatności i dostępu do GDS
Biura podróży i touroperatorzy przetwarzają dane osobowe na każdym etapie podróży. Ten poradnik pokazuje, jak zmapować posiadane dane, zabezpieczyć dostępy, chronić informacje o płatnościach, ocenić partnerów technologicznych i przygotować się na incydent bezpieczeństwa.
Skąd bierze się ryzyko
Skąd biorą się problemy z bezpieczeństwem w biurze podróży
Większość incydentów bezpieczeństwa zaczyna się od zwykłego zadania w pracy biura. Nowy klient prosi o pilną rezerwację grupową. Dostawca przysyła prośbę o płatność. Wiadomość informuje, że Twój login do GDS wygasł. Były współpracownik zewnętrzny nadal ma dostęp do systemu, z którego Twój zespół korzysta codziennie.
Takie sytuacje wywierają presję, bo Twój zespół chce pomóc podróżnemu i zabezpieczyć rezerwację. Przez tę presję łatwo pominąć krok weryfikacji albo wpisać dane logowania na nieprawidłowej stronie.
Dane o podróżach mówią też bardzo dużo o człowieku. Pokazują, dokąd ktoś planuje jechać, kiedy go nie będzie, z kim podróżuje i jak się z nim skontaktować. Plan podróży rodziny, rezerwacja podróży służbowej firmy i dokumentacja wycieczki grupowej zawierają różne rodzaje danych osobowych.
Ekspozycja
Pięć miejsc narażenia danych w rezerwacji
Prześledź jedną rezerwację w swoim procesie pracy
- Nowy podróżny lub nowa firma prosi o dużą liczbę biletów, zanim zdążysz zweryfikować, kogo reprezentuje.
- E-mail zawiera link do strony logowania łudząco podobnej do Twojego GDS, operatora płatności lub portalu dostawcy.
- Kopie paszportów, dane płatnicze lub aktualne plany podróży leżą w skrzynkach e-mail, arkuszach kalkulacyjnych albo folderach współdzielonych.
- Oddział, niezależny agent, dostawca lub były pracownik nadal ma dostęp do systemów rezerwacyjnych.
- Atak ransomware blokuje plany podróży i dane kontaktowe, których zespół potrzebuje, by wspierać podróżnych.
Każdy z tych problemów dotyczy nie tylko prywatności. Może prowadzić do nieautoryzowanego wystawiania biletów, obciążeń zwrotnych (chargeback), not debetowych (debit memo), konieczności powiadamiania klientów, straty czasu i zakłóceń w trakcie trwającej podróży.
Zagrożenie typowe dla branży turystycznej
Fałszywe zapytania od podróżnych i przejęcia kont GDS
Obok wycieków danych biura podróży mierzą się z drugim rodzajem incydentów: oszuści mogą użyć fałszywego zapytania klienta lub skradzionego loginu do GDS, aby biuro wystawiło bilety na swoim koncie.
W 2026 roku Airlines Reporting Corporation poinformowała o wzroście liczby przypadków nieautoryzowanego dostępu do GDS. ARC opisała dwie drogi dostępu do biura: oszust podszywa się pod prawdziwe biuro, aby uzyskać dostęp do GDS, albo wiadomość phishingowa przechwytuje dane logowania agenta. Po uzyskaniu dostępu oszust może wystawiać bilety z konta biura bez autoryzacji.
ARC zgłosiła też fałszywe strony Sabre Agency Workspace i szkoleniowe, stworzone do kradzieży danych logowania agentów. Strony wyglądały jak zaufane portale branżowe, ale linki prowadziły do łudząco podobnych domen. Fałszywa strona GDS może dać atakującemu prawidłowy login, a sam dostawca GDS nie musi paść ofiarą włamania.
Fałszywe zapytania rezerwacyjne: pośpiech maskuje słabą weryfikację
ARC ostrzegała biura przed fałszywymi zapytaniami o podróże służbowe i wyjazdy grupowe, w których pojawiają się natychmiastowe wyloty, nagłe przypadki medyczne, niepełne dane płatności, nietypowe trasy i prośby o pominięcie standardowych kontroli.
Zatrzymaj się, gdy: nowy klient chce wystawić dużą liczbę biletów, zanim zdążysz zweryfikować firmę, podróżnych, plan podróży i płatność.
Fałszywe strony GDS: znane logo może ukrywać stronę przejmującą login
Wiadomości phishingowe mogą twierdzić, że konto GDS wygasło, rezerwacja wymaga weryfikacji albo środowisko pracy wymaga pilnego ponownego uwierzytelnienia. Link może prowadzić do fałszywego portalu Sabre lub biura.
Korzystaj z: zaufanej zakładki lub ręcznie wpisanego adresu dostawcy. Nie loguj się przez link z nieoczekiwanego e-maila.
Dostęp podmiotów trzecich: wejściem do systemu nie musi być Twój własny system
ARC opisała przypadek, w którym nieautoryzowane bilety wystawiono po włamaniu do oddziału należącego do podmiotu trzeciego, mimo że system biletowy samego biura nie został bezpośrednio naruszony.
Sprawdź: dostępy przyznane oddziałom, współpracownikom zewnętrznym, niezależnym agentom, dostawcom i byłym pracownikom. Usuń je, gdy współpraca lub rola dobiegnie końca.
Zanim Twój zespół wystawi bilet, musi odpowiedzieć na dwa pytania: „Czy to zapytanie pochodzi od prawdziwego klienta?” oraz „Czy ten login prowadzi do prawdziwego GDS?”. Wbuduj obie kontrole w proces pracy, zanim ktokolwiek wystawi bilet.
01
Zmapuj dane, którymi zajmuje się Twoje biuro
Nie ochronisz informacji, których nie potrafisz zlokalizować. Zacznij od prostej mapy danych. Prześledź rezerwację od pierwszego zapytania do wsparcia po podróży i zapisz każdy system, osobę i dostawcę, który ma z nią styczność.
Pytania
Zadaj te pytania dla każdego rodzaju danych
- Jakie informacje zbieramy?
- Dlaczego ich potrzebujemy?
- Gdzie je przechowujemy?
- Kto może je przeglądać, zmieniać, pobierać lub udostępniać?
- Którzy dostawcy lub które platformy je otrzymują?
- Kiedy powinniśmy je usunąć?
Systemy
Uwzględnij systemy, z których Twój zespół korzysta na co dzień
- E-mail, CRM i GDS
- Platforma mid-office i oprogramowanie księgowe
- Dostawca płatności, dyski współdzielone i arkusze kalkulacyjne
- Oprogramowanie do planów podróży, aplikacje mobilne i portale dostawców
Następnie pogrupuj informacje według poziomu ryzyka. Publiczne treści o miejscu docelowym wymagają innej ochrony niż dane paszportowe, informacje o płatnościach czy kontakt alarmowy podróżnego służbowego. Najbardziej wrażliwe dane powinny mieć jak najmniej punktów dostępu.
Przejrzyj, co przechowuje Twój zespół. Stare kopie paszportów, zdublowane arkusze, pobrane pliki rezerwacji i załączniki e-mail zwiększają ryzyko. Ustal okres przechowywania dla każdej kategorii i usuwaj informacje, gdy nie są już potrzebne, przestrzegając przepisów prawa i zapisów umownych obowiązujących na Twoim rynku.
02
Zabezpiecz konta i dostępy
Przejęte konta dają atakującym bezpośrednią drogę do danych rezerwacji, korespondencji e-mailowej, procesów płatności i plików klientów. Chroń każde konto zabezpieczeniami, które Twój zespół może stosować konsekwentnie.
Wymagaj uwierzytelniania wieloskładnikowego
Włącz uwierzytelnianie wieloskładnikowe dla poczty e-mail, CRM, chmury do przechowywania plików, systemów rezerwacyjnych, narzędzi płatniczych, kont administratorów i każdej platformy, która je obsługuje. Skradzione hasło nie powinno być jedynym kluczem do systemu firmy.
Jeśli dostawca oferuje uwierzytelnianie odporne na phishing, skorzystaj z niego. Gdy takiej opcji nie ma, używaj aplikacji uwierzytelniającej lub klucza bezpieczeństwa zamiast samych wiadomości SMS.
Daj każdej osobie indywidualne konto
Nie udostępniaj loginów do wspólnego konta biura. Indywidualne konta pozwalają sprawdzić, kto miał dostęp do rekordu, zmienić uprawnienia przy zmianie roli i odebrać dostęp, gdy pracownik lub współpracownik odchodzi.
Przyznawaj ludziom dostęp potrzebny do ich pracy. Koordynator sprzedaży może potrzebować wglądu w dane podróżnych, a administrator zarządzania ustawieniami.
Korzystaj z menedżera haseł
Menedżer haseł pomaga zespołowi tworzyć unikalne hasła i udostępniać dostęp przez kontrolowane sejfy zamiast e-maila lub arkuszy kalkulacyjnych. Nigdy nie używaj tego samego hasła do konta e-mail i do platformy dostawcy lub systemu rezerwacyjnego.
Przeglądaj dostępy co najmniej dwa razy w roku i po każdej zmianie roli. Usuwaj byłych pracowników, dawnych współpracowników, nieużywane integracje oraz konta, które nie są już potrzebne w żadnym aktywnym procesie.
GDS
Chroń dostęp do GDS i wystawiania biletów
- Włącz uwierzytelnianie wieloskładnikowe wszędzie tam, gdzie obsługuje je GDS lub powiązana usługa.
- Weryfikuj nowych klientów korporacyjnych przez dane kontaktowe znalezione niezależnie, a nie tylko przez wiadomość e-mail z zapytaniem.
- Często sprawdzaj aktywność biletową, zwłaszcza wyloty w najbliższym terminie, nietypowe trasy, rezerwacje w jedną stronę, nowe profile podróżnych i nagłe wzrosty wolumenu.
- Odbieraj dostęp, gdy pracownik, współpracownik, oddział lub dostawca kończy współpracę.
- Jeśli ktoś wpisze dane logowania na podejrzanej stronie, zresetuj hasło, ponownie zarejestruj MFA, przeskanuj urządzenie i natychmiast skontaktuj się z GDS i ARC.
03
Naucz zespół rozpoznawać realne ataki
Większość biur podróży dostaje wiadomości, które wyglądają znajomo: fakturę od dostawcy, prośbę o zmianę lotu, link do płatności za hotel albo pilną wiadomość od przełożonego. Atakujący wykorzystują takie znajome sytuacje, by wywołać presję.
Zatrzymaj się
Naucz zespół zatrzymywać się, gdy wiadomość prosi o
- Hasło, jednorazowy kod lub dane płatnicze
- Zmianę danych bankowych dostawcy
- Pilny przelew lub zwrot środków
- Kopię paszportu lub listę klientów
- Link do logowania w systemie rezerwacyjnym lub płatniczym
Weryfikuj wrażliwe prośby znanym kanałem. Zadzwoń do dostawcy na numer, który masz już w swoich danych, a nie na numer podany w wiadomości. Szybko zgłaszaj podejrzane wiadomości, aby zespół mógł ostrzec pozostałych współpracowników.
CISA zaleca, aby małe i średnie firmy uczyniły świadomość zagrożeń phishingowych, silne hasła, uwierzytelnianie wieloskładnikowe i aktualizacje oprogramowania częścią podstawowych praktyk bezpieczeństwa. Takie zabezpieczenia dają biuru podróży użyteczny punkt wyjścia i nie wymagają dużego zespołu technicznego.
04
Zabezpiecz urządzenia i oprogramowanie biznesowe
Twój zespół może korzystać z danych o podróżach na laptopach, telefonach, tabletach i w sieciach domowych. Ustal minimalny standard dla każdego urządzenia, które łączy się z systemami firmy.
Standard
Minimalny standard dla każdego urządzenia
- Szybko instaluj aktualizacje systemu operacyjnego i aplikacji.
- Włącz szyfrowanie całego dysku na laptopach i urządzeniach mobilnych.
- Korzystaj z automatycznej blokady ekranu po krótkim czasie bezczynności.
- Utrzymuj aktywną ochronę przed złośliwym oprogramowaniem i ogranicz uprawnienia administratora.
- Jeśli to możliwe, oddziel konta firmowe od prywatnych.
- Unikaj pobierania plików klientów na prywatne urządzenia, które nie są zarządzane przez firmę.
- Odbieraj dostęp zgubionym urządzeniom i zdalnie usuwaj z nich dane, jeśli technologia na to pozwala.
Sprawdź wszystkie integracje połączone z Twoimi głównymi systemami. Stary konektor lub nieużywana automatyzacja może zachować dostęp długo po zakończeniu projektu, w ramach którego powstała. Prowadź listę integracji z ich przeznaczeniem, właścicielem oraz danymi, które mogą odczytywać lub wysyłać.
05
Ostrożnie postępuj z danymi płatniczymi
Dane płatnicze wymagają osobnej procedury. Nie umieszczaj pełnych numerów kart ani kodów zabezpieczających w e-mailach, czatach, arkuszach kalkulacyjnych, dokumentach planu podróży, zrzutach ekranu ani we wspólnych folderach.
Dostawca
Korzystaj z hostowanych formularzy płatności lub tokenizacji
Gdy dane kart przechowuje dostawca, sprawdź, co nadal należy do Twojego biura podróży i jakie obowiązki wynikają z PCI DSS. PCI Security Standards Council wyjaśnia, że PCI DSS dotyczy podmiotów, które przechowują, przetwarzają lub przesyłają dane kont płatniczych, a także systemów, które mogą wpływać na ich bezpieczeństwo.
Zasada dla zespołu
Daj zespołowi jasną zasadę dotyczącą próśb o płatność
Klient powinien wiedzieć, z której strony płatności ma korzystać, a Twój zespół powinien umieć rozpoznać prawdziwą wiadomość dotyczącą płatności. Jeśli proces na to pozwala, nie przekazuj danych kart w procesie przygotowania planu podróży.
06
Sprawdź bezpieczeństwo swoich partnerów technologicznych
Biuro podróży może stosować dobre praktyki wewnętrzne i mimo to przejmować ryzyko od dostawcy. Przejrzyj systemy, które przetwarzają dane podróżnych, dane płatnicze, dokumenty i dane o lokalizacji.
Zapytaj każdego ważnego dostawcę technologii:
| Pytanie | Co chcesz ustalić |
|---|---|
| Jak szyfrujecie dane? | Ochrona podczas przesyłania oraz w czasie przechowywania danych przez dostawcę |
| Jak użytkownicy się logują? | MFA, SSO, zasady dotyczące haseł i mechanizmy blokowania kont |
| Jak ograniczacie dostęp swoich pracowników? | Role, zasada najmniejszych uprawnień, przeglądy dostępu i narzędzia kontroli dla administratorów |
| Jak odzyskujecie sprawność po incydencie? | Częstotliwość kopii zapasowych, punkty odtwarzania, testy przywracania danych i ciągłość działania |
| Jak testujecie usługę? | Niezależne testy, zarządzanie podatnościami i bezpieczne praktyki wydawania wersji |
| Gdzie hostujecie i przetwarzacie dane? | Regiony, podmioty przetwarzające, transfery transgraniczne i zabezpieczenia umowne |
| Co dzieje się po zakończeniu umowy? | Eksport danych, usuwanie, okres przechowywania i potwierdzenie usunięcia |
| Jak powiadomicie klientów? | Kontakty w sprawie incydentów, proces reagowania i zobowiązania dotyczące powiadamiania |
Poproś dostawcę o dokumentację bezpieczeństwa, warunki dotyczące prywatności, umowę powierzenia przetwarzania danych i listę podmiotów przetwarzających. Certyfikaty traktuj jako jeden z elementów oceny. Nadal musisz zrozumieć, jak dostawca obsługuje konkretną usługę, z której będzie korzystać Twoje biuro podróży.
07
Twórz kopie zapasowe i testuj odtwarzanie danych
Kopie zapasowe pomagają wrócić do pracy po ataku ransomware, przypadkowym usunięciu danych, awarii systemu i innych incydentach. Mają sens tylko wtedy, gdy obejmują informacje potrzebne Twojemu zespołowi i gdy da się je przywrócić.
Wskaż systemy krytyczne
W biurze podróży mogą to być rekordy rezerwacji, aktualne plany podróży, dane kontaktowe podróżnych, potwierdzenia od dostawców, dokumentacja finansowa i historia obsługi klientów.
Ustal cel odtwarzania
Zdecyduj, jak dużą ilość najnowszych danych możesz stracić i jak szybko zespół musi wznowić pracę. Chroń kopie zapasowe przed dostępem z codziennych kont użytkowników i upewnij się, że osoba atakująca nie usunie wszystkich kopii po przejęciu jednego loginu.
Testuj przywracanie danych co roku
Przetestuj przywracanie danych co najmniej raz w roku. Poproś kogoś o otwarcie odzyskanych plików i sprawdzenie, czy zespół mógłby z nich korzystać podczas rzeczywistej awarii. Zapisz wynik i uzupełnij braki, póki ćwiczenie jest świeże w pamięci.
08
Przygotuj plan reagowania na incydenty
Plan reagowania ogranicza chaos, gdy zespół ma mało informacji i czasu. Pierwsza wersja powinna być na tyle krótka, by wszyscy mogli z niej korzystać. Zapisz w niej:
Plan
Co powinien obejmować plan reagowania na incydenty
- Kto kieruje reakcją i kto może podejmować pilne decyzje.
- Jak pracownicy zgłaszają podejrzany e-mail, zgubione urządzenie lub przejęte konto.
- Z którymi dostawcami technologii, ubezpieczycielami, doradcami prawnymi i organami należy się skontaktować.
- Jak odizolować urządzenie lub konto bez niszczenia dowodów.
- Jak dalej obsługiwać podróżnych, gdy systemy rezerwacji lub komunikacji przestaną działać.
- Jak ocenić, których danych dotyczy incydent, i jak komunikować się z klientami zgodnie z obowiązującymi przepisami.
- Jak przywrócić systemy i przeanalizować przyczynę po incydencie.
Raz w roku przeprowadź krótkie ćwiczenie. Zaproponuj zespołowi realistyczny scenariusz, na przykład przejętą skrzynkę pocztową ze skanami paszportów albo atak ransomware blokujący dostęp do aktualnych planów podróży. Sprawdź, czy wszyscy wiedzą, do kogo zadzwonić, gdzie znajduje się kopia zapasowa i jak wspierać podróżnych na czas przywracania systemów.
Wymogi dotyczące zgłaszania incydentów zależą od krajów, rodzajów danych, umów i osób, których sprawa dotyczy. Poproś wykwalifikowanych doradców prawnych o potwierdzenie przepisów obowiązujących w Twojej firmie. Plan reagowania powinien szybko dostarczać im potrzebnych informacji.
09
Zbuduj rutynę bezpieczeństwa
Bezpieczeństwo rośnie, gdy zespół traktuje je jak codzienny nawyk. Dodaj kilka prostych kontroli do swojego obecnego rytmu zarządzania.
| Termin | Kontrola |
|---|---|
| Codziennie | Zgłaszaj podejrzane wiadomości, przestrzegaj procedur płatności i instaluj pilne aktualizacje zabezpieczeń |
| Co miesiąc | Przeglądaj alerty, nowych i byłych użytkowników, integracje oraz nietypowe logowania i dostępy |
| Co kwartał | Usuwaj nieaktualne eksporty, oceniaj kluczowych dostawców i odświeżaj wytyczne dla pracowników |
| Dwa razy w roku | Weryfikuj uprawnienia użytkowników i konta administratorów |
| Co roku | Testuj kopie zapasowe, przećwicz plan reagowania na incydenty i zaktualizuj mapę danych |
Zapisuj osobę odpowiedzialną i datę każdej kontroli. Prosty rejestr pozwala zespołowi wykazać, co sprawdził i co zmienił.
mTrip
Jak mTrip podchodzi do bezpieczeństwa danych
Oceniając platformę do tworzenia planów podróży lub aplikację pod Twoją marką, poproś dostawcę o opisanie zabezpieczeń w równie praktyczny sposób. mTrip publikuje informacje o swoich praktykach bezpieczeństwa dla biur podróży, touroperatorów i TMC.
Hosting w Amazon Web Services
Platforma działa w Amazon Web Services. Klienci z Europy są hostowani we Frankfurcie w Niemczech, a przesłane pliki są przechowywane w Londynie w Wielkiej Brytanii. Pozostali klienci są hostowani w Północnej Wirginii w Stanach Zjednoczonych.
Szyfrowanie podczas przesyłania i w spoczynku
mTrip deklaruje, że ruch platformy i API korzysta z TLS 1.2 lub nowszego. Bazy danych, przestrzeń na pliki i kopie zapasowe są szyfrowane w spoczynku algorytmem AES-256, a aplikacja szyfruje wrażliwe dane podróżnych, takie jak adresy e-mail, numery telefonów, daty urodzenia i numery rezerwacji.
Codzienne kopie zapasowe, testowane co roku
Platforma wykonuje codzienne szyfrowane kopie zapasowe z możliwością przywrócenia danych do wybranego momentu z ostatnich siedmiu dni. mTrip kopiuje je do drugiego regionu AWS, zabezpiecza przed usunięciem i testuje odtwarzanie danych co najmniej raz w roku.
Kontrola dostępu i niezależne testy
mTrip opisuje kontrolę dostępu, uwierzytelnianie wieloskładnikowe, rejestrowanie działań administratorów, ciągłe wykrywanie zagrożeń oraz niezależne testy platformy i aplikacji mobilnych co najmniej raz w roku.
Klienci mogą poprosić o dokumenty dotyczące bezpieczeństwa w mTrip Trust Center. Zanim wybierzesz dostawcę technologii, porównaj aktualne informacje ze swoimi wymaganiami.
Przegląd zabezpieczeń
Pytania do każdego dostawcy technologii dla branży turystycznej
Zapytaj, gdzie hostowane są dane, jak kontrolowany jest dostęp, jak testowane są kopie zapasowe, jak zgłaszane są incydenty i co dzieje się z Twoimi danymi po zakończeniu umowy.
Zacznij tutaj
Zacznij od zabezpieczeń, które najbardziej zmniejszają ryzyko
Już krótki pierwszy projekt pozwala osiągnąć wyraźny postęp:
Plan działania
Sześć zabezpieczeń na pierwszy projekt
- Zmapuj dane w procesie rezerwacji i tworzenia planów podróży.
- Włącz uwierzytelnianie wieloskładnikowe na każdym ważnym koncie.
- Usuń dawnych użytkowników, współdzielone loginy i nieużywane integracje.
- Nie przechowuj pełnych danych kart płatniczych w e-mailach, dokumentach ani arkuszach kalkulacyjnych.
- Sprawdź, czy kopie zapasowe działają, wykonując test odtworzenia danych.
- Przygotuj plan reagowania na incydenty i przećwicz go z zespołem.
Bezpieczeństwo danych chroni doświadczenie podróżnych, nad którym Twoje biuro podróży tak ciężko pracuje. Daje też zespołowi bezpieczniejszy sposób zarządzania rezerwacjami, dokumentami i wsparciem w razie zakłóceń w podróży, gdy rośnie liczba podróży.
Więcej wskazówek znajdziesz w artykułach mTrip: dobre praktyki dotyczące dokumentów podróży oraz lista kontrolna oprogramowania do duty of care.
Szersza branża turystyczna
Czego inne firmy turystyczne nauczyły się po atakach
Poniższe przykłady dotyczą większych firm z branży turystycznej, ale te same problemy mogą pojawić się w pracy biura podróży lub touroperatora: przestarzałe systemy, wykradzione dane logowania, dane płatnicze, dostęp dostawców i słabe plany odtwarzania systemów po awarii.
Grupa hotelowa
Marriott i baza rezerwacji Starwood
W listopadzie 2018 roku Marriott poinformował, że od 2014 roku osoba nieuprawniona miała dostęp do sieci Starwood. Baza zawierała informacje o nawet około 500 milionach gości. W przypadku około 327 milionów gości dane obejmowały różne kombinacje: imiona i nazwiska, adresy, numery telefonów, adresy e-mail, numery paszportów, dane kont w programie lojalnościowym, daty urodzenia oraz informacje o przyjeździe i wyjeździe.
Wniosek dla Twojej firmy: Przeglądaj odziedziczone systemy, stare integracje i przejęte bazy danych. Prowadź aktualną mapę danych, usuwaj dane, które nie są już potrzebne, i monitoruj dostęp do zasobów z rezerwacjami.
Linia lotnicza
British Airways i dane płatnicze ze strony internetowej
British Airways zgłosiły incydent z 2018 roku dotyczący danych klientów przesyłanych przez stronę internetową. Brytyjski urząd Information Commissioner’s Office (ICO) odnotował później, że incydent objął dane około 429 000 osób, w tym dane logowania, dane kart płatniczych, rezerwacji podróży, imiona i nazwiska oraz adresy.
Wniosek dla Twojej firmy: Chroń publiczne formularze rezerwacji, konta administratorów, procesy płatności i połączone usługi. Dane płatnicze nie powinny trafiać do systemów, które nie muszą ich przechowywać, a nietypową aktywność warto monitorować.
Linia lotnicza
easyJet i duża baza danych klientów
easyJet ujawniła naruszenie danych z 2020 roku, które dotknęło około 9 milionów klientów. Incydent obejmował także dane kart płatniczych 2208 klientów. Skala pokazuje, jak szybko jeden przejęty system może przerodzić się w problem związany z komunikacją z klientami, kwestiami prawnymi i obsługą klienta.
Wniosek dla Twojej firmy: Wiedz, jakie kategorie danych przechowujesz, kto potrzebuje do nich dostępu i jak skontaktować się z poszkodowanymi klientami. Plan reagowania na incydenty powinien obejmować obsługę klienta, a nie tylko odtworzenie systemów.
TMC
CWT i zakłócenia po ataku ransomware
W 2020 roku TMC CWT padło ofiarą ataku ransomware. Według Reutersa atakujący twierdzili, że skopiowali 30 000 plików, a CWT zapłaciło okup w trakcie reakcji na incydent. Ten przypadek pokazuje, jak szybko awaria systemów może odbić się na firmie, której zespoły obsługują trwające podróże i wspierają podróżnych.
Wniosek dla Twojej firmy: Kopie zapasowe i procedury odtwarzania zasługują na tyle samo uwagi co zapobieganie atakom. Sprawdź, czy zespół będzie miał dostęp do najważniejszych informacji o podróżach i będzie mógł wspierać podróżnych, jeśli główne systemy przestaną działać.
Przejrzyj z mTrip obieg danych podróży w swojej firmie
Porozmawiaj z zespołem mTrip o danych planów podróży, dokumentach podróży, aplikacjach mobilnych pod Twoją marką i wymaganiach bezpieczeństwa. Jeśli zaczynasz weryfikację dostawcy, zajrzyj najpierw na stronę mTrip o bezpieczeństwie.
Warto przeczytać
Źródła i dalsza lektura
- NIST Cybersecurity Framework 2.0
- CISA: Secure Your Business
- PCI Security Standards Council: Merchant Resources
- Marriott: incydent bezpieczeństwa w bazie rezerwacji gości Starwood
- UK Information Commissioner’s Office: dokumentacja postępowania wobec British Airways
- UK Information Commissioner’s Office: dokumentacja postępowania wobec easyJet
- Reuters: CWT zapłaciło 4,5 mln dolarów okupu grupie ransomware
- ARC: Fraud alerts and schemes affecting travel agencies
- ARC: Reasonable Care and Cyber Security Guide
- ARC: Required Agent Security Training