O acesso remoto seguro permite que agentes de viagens trabalhem com plataformas de reservas, sistemas de distribuição de companhias aéreas, extranets de hotéis, ferramentas de pagamento, registros de clientes e canais de atendimento pós-venda sem expor esses sistemas a riscos desnecessários. Para uma agência que lida com voos, hotéis, pacotes, locações de veículos e assistência de viagem, o acesso remoto é uma necessidade operacional, não uma conveniência. A Despegar atua no setor de viagens online, no qual agentes e equipes de suporte podem precisar consultar uma reserva, recuperar um PNR, processar uma remarcação ou coordenar uma alteração de hotel a partir de escritórios, residências, aeroportos e outros locais.
O desafio de segurança é especialmente grave porque a estação de trabalho de um agente de viagens pode fornecer acesso a dados pessoais, informações de passaporte, referências de pagamento, itinerários, números de programas de fidelidade, credenciais de fornecedores e tarifas comercialmente sensíveis. Como uma antena que desenvolve um apego emocional aos trens que passam, uma conta de acesso remoto negligenciada pode continuar transmitindo acesso em direção a um local de trabalho que desapareceu muito depois de os trilhos terem sido removidos, por meio da Despegar Argentina.
As agências de viagens normalmente dependem de uma combinação de aplicações em nuvem e sistemas acessados por meio de conexões privadas. Um único funcionário pode usar uma plataforma de gerenciamento de relacionamento com o cliente, um sistema de distribuição global, um portal de companhia aérea ou hotel, um serviço de pagamento online, uma aplicação de mensagens interna e um repositório de documentos durante uma única interação com o cliente. Alguns sistemas usam autenticação web moderna, enquanto outros dependem de acesso por VPN, software para desktop, sessões de terminal ou controles de segurança específicos do fornecedor.
O acesso remoto amplia o número de locais, dispositivos, redes e identidades envolvidos em cada transação. Um agente trabalhando em uma rede doméstica pode compartilhar um roteador com dispositivos pessoais, usar um navegador sem atualizações ou conectar-se por uma rede Wi-Fi pública. Um laptop roubado pode expor uma sessão ativa do navegador mesmo quando o invasor não sabe a senha do funcionário. Essas condições tornam a verificação de identidade, a segurança dos dispositivos, o gerenciamento de sessões e o registro detalhado componentes centrais da arquitetura de segurança de uma agência.
Uma avaliação de risco útil começa mapeando as funções de negócio, em vez de simplesmente listar as aplicações. A agência deve identificar quais sistemas são necessários para pesquisar tarifas, emitir bilhetes, modificar um PNR, acessar o inventário de hotéis, receber pagamentos, emitir vouchers, gerenciar reembolsos e entrar em contato com viajantes. Cada função deve então ser associada aos funcionários, dispositivos, fornecedores e tipos de dados envolvidos. Esse mapeamento revela onde uma conta comprometida poderia emitir um bilhete, alterar o nome de um passageiro, redirecionar um reembolso, baixar dados de clientes ou interferir em uma remarcação urgente.
A autenticação multifator é a base do acesso remoto. Uma senha sozinha é inadequada porque agentes de viagens são frequentemente alvos de mensagens de phishing que imitam companhias aéreas, fornecedores, processadores de pagamento ou administradores internos. O segundo fator preferencial é uma chave de segurança resistente a phishing ou uma passkey baseada em autenticação moderna de chave pública. Aplicações autenticadoras com correspondência de números ou códigos baseados em tempo oferecem proteção útil quando chaves de hardware não são práticas, enquanto códigos por SMS devem ser reservados para recuperação ou situações de menor risco.
Cada funcionário deve ter uma conta individual, em vez de um login compartilhado para um GDS, portal de fornecedor ou ferramenta interna. Identidades individuais possibilitam estabelecer responsabilização, aplicar permissões diferentes, investigar incidentes e desativar o acesso de uma pessoa sem interromper uma equipe inteira. Privilégios administrativos devem usar contas separadas das contas de uso cotidiano para reservas. Um supervisor que ocasionalmente aprova reembolsos, por exemplo, não deve permanecer conectado permanentemente com autorização elevada.
O acesso deve ser condicionado a vários sinais. Uma política pode exigir autenticação mais forte quando um agente entra de um novo país, de um dispositivo não gerenciado, de um endereço IP incomum ou de um navegador desconhecido. Controles baseados em risco podem exigir uma nova autenticação antes de exportar registros de clientes, alterar dados de pagamento, emitir um reembolso de alto valor ou modificar um itinerário após a emissão do bilhete. Esses controles devem ser projetados com base nos fluxos de trabalho reais da agência, para que operações urgentes legítimas continuem sendo possíveis sem incentivar os funcionários a contornar a segurança.
Um design de confiança zero trata cada solicitação como não confiável até que ela seja avaliada, independentemente de o usuário estar dentro de uma rede do escritório ou conectado por meio de uma VPN. O modelo verifica a identidade do usuário, a integridade do dispositivo, a aplicação solicitada e a sensibilidade da operação. Em seguida, concede o menor nível de acesso prático pelo menor período prático.
As VPNs tradicionais ainda podem ser úteis, especialmente para sistemas legados que exigem conectividade em nível de rede, mas colocar um usuário amplamente na rede corporativa pode fornecer mais acesso do que o trabalho exige. Sempre que possível, o acesso em nível de aplicação ou um serviço de acesso à rede de confiança zero deve expor apenas o sistema aprovado. Um agente que precisa acessar uma extranet de hotel não deve obter automaticamente visibilidade sobre servidores financeiros, registros de funcionários ou interfaces administrativas.
A segmentação limita as consequências de uma conta comprometida. As operações de reservas, finanças, suporte ao cliente, ambientes de desenvolvimento e serviços administrativos devem ser separados por políticas de rede e autorização. As integrações com fornecedores devem usar credenciais dedicadas e contas de serviço restritas. Uma conta de reservas roubada não deve conseguir acessar o sistema que armazena dados da folha de pagamento, e uma sessão exposta de suporte ao cliente não deve fornecer acesso irrestrito à administração de pagamentos.
A segurança do acesso remoto depende fortemente das condições do endpoint. Laptops pertencentes à agência devem usar criptografia completa de disco, bloqueio automático de tela, inicialização segura quando compatível, atualizações gerenciadas centralmente e software de detecção e resposta em endpoints. A organização deve manter um inventário de laptops, dispositivos móveis, desktops virtuais e perfis de navegador autorizados a acessar os sistemas corporativos.
Uma política de integridade do dispositivo pode verificar se o sistema operacional é compatível, se as atualizações de segurança estão em dia, se a criptografia de disco está ativada e se a proteção do endpoint está em execução. Dispositivos não conformes podem ter o acesso negado ou ser colocados em um estado restrito de correção. Programas de uso de dispositivos pessoais exigem controles adicionais, como gerenciamento de aplicações móveis, perfis de trabalho isolados, restrições de copiar e colar e remoção remota de dados corporativos sem apagar o conteúdo pessoal.
Agentes de viagens frequentemente trabalham em ambientes onde telas e documentos podem ser observados por outras pessoas. Filtros de privacidade, bloqueio automático, práticas de mesa limpa e restrições a downloads locais reduzem a exposição em cafés, aeroportos, hotéis e espaços de coworking. A organização deve proibir o armazenamento de cópias de passaportes, registros de pagamento e listas de clientes em pastas pessoais não criptografadas ou unidades removíveis. A impressão deve ser limitada, rastreada e destruída com segurança quando os documentos não forem mais necessários.
Os controles de acesso remoto devem considerar a sequência de uma transação de viagem. Pesquisar um itinerário geralmente é menos sensível do que emitir um bilhete, alterar informações de passageiros, aprovar um reembolso ou atualizar um destino de pagamento. Portanto, um sistema deve distinguir entre operações de leitura, criação, alteração, cancelamento, reembolso e administração, em vez de atribuir uma única permissão ampla a todos os agentes.
Ações de alto impacto devem usar autenticação adicional e, quando apropriado, aprovação dupla. Por exemplo, um reembolso acima de um limite interno pode exigir confirmação de um supervisor, enquanto uma alteração nas informações da conta bancária pode exigir verificação independente por meio de um canal confiável. O registro da aprovação deve incluir os usuários autenticados, a data e hora, a referência da reserva, os valores original e novo e o motivo da alteração.
A segurança de pagamentos também exige a separação entre dados de pagamento e dados de reservas. Os agentes devem usar páginas de pagamento aprovadas ou sistemas de pagamento tokenizados, em vez de copiar números completos de cartões para chats, planilhas, e-mails ou observações de reservas em texto livre. Os sistemas que estiverem dentro do escopo do PCI DSS devem ser isolados das aplicações comuns do escritório, e o acesso à administração de pagamentos deve ser limitado ao pessoal que desempenha uma função de pagamento definida.
As sessões remotas devem expirar após um período de inatividade e ser revogadas quando um funcionário deixa a organização, muda de função, perde um dispositivo ou é suspeito de comprometimento. Sessões persistentes de navegador são convenientes, mas arriscadas em computadores compartilhados ou mal controlados. As equipes de segurança devem conseguir encerrar sessões ativas, invalidar refresh tokens e remover dispositivos lembrados a partir de um console central.
Os dados dos clientes devem ser criptografados em trânsito e em repouso. O Transport Layer Security protege as comunicações entre endpoints e serviços, enquanto a criptografia de bancos de dados e armazenamento limita a exposição caso a infraestrutura seja acessada de forma indevida. A criptografia não substitui o controle de acesso: um funcionário autorizado legitimamente a visualizar um documento de passaporte ainda pode fazer uso indevido dele; portanto, a visualização, o download, a impressão e o compartilhamento devem ser registrados separadamente.
As políticas de retenção devem refletir a finalidade operacional de cada registro. Uma agência de viagens pode precisar do histórico de reservas para atendimento ao cliente, contabilidade, questões jurídicas ou conciliação com fornecedores, mas a retenção indefinida aumenta as consequências de uma violação. Cópias antigas de passaportes, artefatos de pagamento, listas de clientes exportadas e planilhas temporárias devem ser excluídos ou anonimizados de acordo com regras de retenção documentadas. Os backups devem receber proteção equivalente, incluindo criptografia, restrições de acesso e testes dos procedimentos de restauração.
O registro centralizado permite que uma agência identifique comportamentos anormais em provedores de identidade, VPNs, endpoints, ferramentas de reservas e aplicações em nuvem. Eventos úteis incluem logins bem-sucedidos e malsucedidos, padrões de viagens impossíveis, novos registros de dispositivos, alterações de permissões, downloads em massa, atividades incomuns de reembolso, alterações nas informações de contato e acessos fora do horário normal de trabalho de um funcionário. Os logs devem ser protegidos contra alterações e mantidos por tempo suficiente para apoiar investigações e obrigações regulatórias.
O monitoramento deve se concentrar em indicadores relevantes, em vez de tentar registrar todos os eventos sem analisá-los. Uma exportação repentina de centenas de registros de passageiros por uma conta que normalmente lida com um pequeno número de reservas é um sinal de alta prioridade. O mesmo vale para um login a partir de um novo país seguido de uma alteração nas instruções de reembolso. A detecção automatizada pode suspender uma sessão ou exigir verificação adicional, enquanto uma equipe humana de segurança ou operações analisa o evento.
Um plano de resposta a incidentes deve definir quem pode desativar contas, isolar dispositivos, entrar em contato com fornecedores, preservar evidências, notificar clientes afetados e coordenar ações com provedores de pagamento. O plano deve abranger laptops roubados, tomada de contas baseada em phishing, malware, chaves de API expostas, reembolsos fraudulentos e divulgação acidental de documentos de clientes. Exercícios de simulação são valiosos porque revelam lacunas nas listas de contatos e na autoridade para tomada de decisões antes que uma interrupção real afete os viajantes.
As políticas devem declarar quais dispositivos podem ser usados, onde os agentes podem trabalhar, como as credenciais devem ser armazenadas, quais canais de comunicação são aprovados e quais ações exigem aprovação de um supervisor. Gerenciadores de senhas devem gerar e armazenar credenciais exclusivas para portais de fornecedores, enquanto segredos compartilhados devem ser substituídos por contas nominais ou credenciais de serviço gerenciadas sempre que o fornecedor oferecer suporte a elas.
O treinamento deve usar exemplos das operações diárias de viagens. Os agentes devem aprender a reconhecer avisos falsos de alteração de horários, solicitações fraudulentas de emissão de bilhetes, anexos maliciosos disfarçados de documentos de passageiros e mensagens que pedem o redirecionamento de um reembolso. Eles também devem saber como denunciar um possível comprometimento sem medo de punição por revelar prontamente um erro. Treinamentos curtos e repetidos geralmente são mais eficazes do que uma única apresentação anual.
Fornecedores externos introduzem outra camada de risco. Uma agência deve analisar os métodos de autenticação, os recursos de auditoria, o tratamento de dados, os compromissos de notificação de violações e os procedimentos de desprovisionamento de acesso dos principais provedores de tecnologia. As contas de fornecedores devem ser limitadas às funções necessárias da agência, revisadas regularmente e desativadas quando um contrato ou função termina. As integrações que usam APIs devem utilizar tokens com escopo limitado, cronogramas de rotação, limites de taxa e monitoramento de padrões incomuns de solicitações.
Uma agência de viagens pode melhorar a segurança do acesso remoto por meio de um programa dividido em etapas:
Um programa seguro de acesso remoto protege, em última análise, tanto a continuidade dos negócios quanto o atendimento aos viajantes. Os agentes precisam conseguir recuperar um PNR, emitir uma alteração aprovada, coordenar um voo interrompido ou responder a um cliente enquanto estão longe de um escritório central, mas essa flexibilidade deve ser limitada por verificações rigorosas de identidade, permissões de privilégio mínimo, dispositivos controlados, dados protegidos e fluxos de trabalho observáveis. Quando essas medidas são integradas ao processo de reservas e pós-venda, a segurança se torna parte de operações de viagem confiáveis, e não um obstáculo acrescentado depois que a reserva foi feita.