Esimesed 72 tundi pärast restorani andmeleket

Selles artiklis

1. Kus su külaliste andmed tegelikult asuvad
2. 72-tunnine kell, aken akna haaval
3. Mida küberkindlustus tegelikult katab — ja mida mitte
4. Mida kindlustusandjad kontrollivad enne, kui sulle üldse pakkumise teevad
5. Kokkuvõte: kell käib niikuinii — küsimus on, kas sa juba teadsid seda

Restorani andmeleke ei ole IT probleem — see on juriidiline kell, mis hakkab käima hetkest, mil sa selle avastad. Niipea kui tead, või oleksid pidanud mõistlikult teadma, et külaliste andmed on varastatud, kustutatud või sattunud valedesse kätesse, annab GDPR sulle 72 tundi, et sellest teavitada järelevalveasutust. Mitte 72 tundi probleemi lahendamiseks — 72 tundi selle teatamiseks.

Harva algab see alarmi käivitumisest. Sagedamini on see külaline, kes helistab, sest tema kaardilt on raha kaks korda maha võetud, broneerimissüsteemi teenusepakkuja kiri „ebatavalisest tegevusest“ või töötaja, kes leiab teisipäeva hommikul kassaekraani täis kummalist teksti. Sel hetkel ei ole küsimus enam „kui tõsine see tehniliselt on“, vaid „mida ma pean nüüd, täna, tegema“ — ja enamik omanikke ei tea vastust, sest keegi pole seda kunagi üles kirjutanud.

Risk on reaalne ja see ei puuduta ainult suuri kette. Kassa- ja POS-süsteemid kuuluvad kogu maailmas kõige rohkem rünnatud seadmete hulka toitlustus- ja jaekaubandussektoris — just seetõttu, et need töötlevad kaardiandmeid ja jäävad sageli aastateks uuendamata seisu. Väikesel restoranil pole IT-osakonda, mis lööki pehmendaks, ja just seetõttu kaaluvad küberkindlustus ja kirjalik plaan esimesteks 72 tunniks siin rohkem kui ettevõttes, kus on oma turvameeskond.

See juhend läbib täpselt seda: kus su külaliste andmed tegelikult asuvad, mida tuleb teha igas neljas 72-tunnise kella ajaaknas, mida küberkindlustuse poliis tavaliselt katab ja mida mitte, ning — kalkulaatoriga, mis arvutab su enda numbritega — mida leke sinu kohale reaalselt maksma läheks.

Kus su külaliste andmed tegelikult asuvad

Andmeleke on iga juhtum, kus külaliste isikuandmed lähevad juhuslikult või ebaseaduslikult kaotsi, muudetakse või muutuvad kättesaadavaks kellelegi, kellel selleks õigust ei ole — see on palju laiem mõiste kui „häkkimine“. Autosse unustatud sülearvuti, vale saajani jõudnud broneeringu kinnituskiri või kogemata avalikult kättesaadavaks jäänud kassa varukoopia loevad sama palju kui sihipärane küberrünnak.

Enamik omanikke alahindab, kui palju süsteeme nad tegelikult haldavad. Loeme kokku: kassasüsteem, mis hoiab iga tehingu kaardiandmeid, broneerimis- ja CRM-süsteem iga külalise nime, telefoninumbri ja mõnikord allergiatega, püsikliendiprogramm e-posti aadresside ja tellimuste ajalooga, külaliste wifi sisselogimislehega, mis küsib tihti e-posti aadressi, tellimisplatvormide liidestus, mis edastab aadresse, ja kinkekaartide nimekiri koodidega, mis on sõna otseses mõttes raha väärt. Kuus süsteemi, kuus kohta, kust leke võib alguse saada — ja enamikus kohtades pole neid keegi kunagi kõrvutanud.

Meie juhend külaliste andmetest ja GDPR-ist selgitab, kuidas neid andmeid seaduslikult koguda ja kasutada; juhend restorani küberturvalisusest kirjeldab üheksat sammu, mis ründe algusest peale ära hoiavad. See juhend räägib hetkest pärast seda — see on juba juhtunud, mis nüüd?

72-tunnine kell, aken akna haaval

GDPR-i artikkel 33 kohustab sind teavitama andmekaitse järelevalveasutust 72 tunni jooksul pärast rikkumise avastamist, välja arvatud juhul, kui leke ei kujuta tõenäoliselt ohtu su külaliste õigustele ja vabadustele. See kell ei hakka käima hetkest, mil kõigest aru saad — see hakkab käima hetkest, mil mõistlikult tead, et midagi on juhtunud. Nii näevad need 72 tundi praktikas välja.

0.–1. tund: avastamine ja tõkestamine

Lahuta mõjutatud seade võrgust — tõmba kaabel välja või lülita wifi välja, aga ära lülita midagi täielikult välja ega kustuta midagi. Iga jälg, mille nüüd kustutad, on jälg, mida su tehnikapakkuja või kindlustusandja hiljem enam kasutada ei saa, et välja selgitada, mis tegelikult juhtus.

Vaheta kohe kõikide administraatorikontode paroolid, millel on ligipääs kassale, broneerimissüsteemile ja e-postile. Kirjuta üles täpne avastamise ajahetk — see aeg on su 72 tunni algpunkt ja seda läheb sul vaja igal järgneval vormil.

1.–24. tund: hindamine ja dokumenteerimine

Helista oma IT-teenusepakkujale või, kui sul sellist pole, spetsialiseerunud teenusele — ja helista kohe ka kindlustusandjale, kui sul on poliis: enamikul küberkindlustuse poliisidel on avariiliin, mida saad kaasata juba esimesest päevast, ja ootamine maksab tihti täpselt selle katte, mida vajad.

Kirjuta üles, milliseid andmeid võis puudutada: ainult nimed ja e-posti aadressid, või ka kaardiandmed ja allergiad? Kui palju külalisi selles failis on? Need kaks küsimust — mis ja kui palju — määravad peaaegu kõik, mis peab järgmise 48 tunni jooksul toimuma, seega kirjuta see üles niipea, kui tead, isegi kui vastus on veel poolik.

24.–72. tund: järelevalveasutuse teavitamine

Hinda koos kindlustusandja, IT-teenusepakkuja või juriidilise nõustajaga, kas leke „kujutab tõenäoliselt ohtu“ su külalistele. Kui vastus on jah, on teavitamine andmekaitse järelevalveasutusele kohustuslik — mitte valikuline ja mitte miski, mida oodatakse, kuni oled täiesti kindel.

Esita teavitus enne 72 tunni möödumist sellega, mida tol hetkel tead: lekke laad, hinnanguline mõjutatud külaliste arv, tõenäolised tagajärjed ja juba võetud meetmed. Poolikat infot saab hiljem täiendada — 72 tunni tähtaega mitte täita ei saa, ja hilinenud teavitust tuleb selgelt põhjendada.

Pärast 72 tundi: külaliste teavitamine ja taastamine

Teavita külalisi otse ainult siis, kui risk neile on suur — näiteks varastatud kaardiandmed või paroolid. Väiksema riski korral piisab teavitamisest järelevalveasutusele. Kirjuta see sõnum lihtsas keeles: mis juhtus, mida sa selle heaks teed ja mida saab külaline ise teha (blokeerida kaart, muuta parool).

Taasta andmed alles puhtast varukoopiast ja alles siis, kui oled kindel, et lekke põhjus on kõrvaldatud — muidu taastad täpselt sama probleemi. Ja anna kindlustusandjale teada juhtumi lõplik ulatus — see arv, mitte su esialgne hinnang, määrab, kui palju lõpuks välja makstakse.

Mida küberkindlustus tegelikult katab — ja mida mitte

Enamik omanikke arvab, et olemasolev kindlustus juba katab selle. Peaaegu kunagi ei ole see nii: tavaline tulekahju-, äritegevuse katkemise või vastutuskindlustuse poliis välistab tavaliselt andmelekked ja küberintsidendid otseselt, just seetõttu, et see on eraldi risk oma hinnasildiga. Meie juhend restorani kindlustusest annab täieliku ülevaate sellest, mida keskmine koht vajab; allpool räägime konkreetselt küberkindlustuse poliisist.

Küberkindlustuse poliis katab tavaliselt probleemi lahendamise ja külaliste teavitamise kulud. See katab harva kaotatud usalduse või riski, mida sa ise poliisi sõlmides ei avalikustanud.

Sisesta oma numbrid ja näe kohe, kus umbes seisad. Kalkulaator arvutab su failides olevate külaliste arvu, käibe teenindamise päeva kohta ja kahe küsimuse põhjal, mida kindlustusandjad ise esimesena küsivad.

Võrdle seda summat poliisi hinnaga ja sellega, mis maksaks juba täna kõrvaldada kaks ülaltoodud punast lippu — tavaliselt on teine variant tunduvalt odavam. Kui soovid üle vaadata ka oma laiema kindlustuskatte, kasuta meie juhendit restorani kindlustusest.

Mida kindlustusandjad kontrollivad enne, kui sulle üldse pakkumise teevad

See ei ole kuupikkune projekt. Kolm poole tunni pikkust sammu viivad sind seisust „pole aimugi“ toimikuni, mida kindlustusandja tõsiselt võtab:

Täna — tasuta lahendus:

• Lülita MFA sisse kassal, e-postis ja broneerimissüsteemis — tihti ainus punkt, mis otsustab, kas saad üldse pakkumise
• Küsi kassaseadme tarnijalt, kas kaardiandmed on tokeniseeritud või hoitakse neid lokaalselt
• Salvesta IT-teenusepakkuja või kindlustusandja avariinumber telefoni, mitte sahtlisse

Sel nädalal — kontrolli oma katet:

• Küsi oma maaklerilt selgelt, kas küberrisk on kaasas või vajab eraldi poliisi
• Küsi kaks kuni kolm pakkumist ja võrdle katet, mitte ainult kindlustusmakset
• Kirjuta ühele lehele üles, kellele esimesena helistad, kui midagi tundub valesti

Sel kuul — vii toimik lõpuni:

• Sea üles krüpteeritud, testitud varukoopiad külaliste ja broneeringute andmetest
• Loe oma poliisi väljajätud läbi, enne kui neid vajad
• Riputa hädaolukorra plaan tulekahjujuhiste kõrvale — sama tõsidus, sama koht

Kokkuvõte: kell käib niikuinii — küsimus on, kas sa juba teadsid seda

Andmeleket ei väldi kunagi sajaprotsendiliselt — isegi suured ettevõtted oma IT-meeskondadega saavad kannatada. Mida sa tegelikult kontrollid, on see, kas esimesed 72 tundi on kaos või kontrollnimekiri. Meeskond, kes teab, millise seadme esimesena lahutada, kindlustusandja, kellega oled telefoni teel juba esimesest tunnist, ja õigel ajal esitatud teavitus — see on vahe ebameeldiva intsidendi ja teise, esimese peale kuhjuva kriisi vahel.

Ja kohad, kes seda õigesti korraldavad, ei tee seda tavaliselt ainult kindlustusmakse pärast. Nad teevad seda sellepärast, et külalise usaldus — et tema andmed on sinu käes turvalised — on sama palju su brändi osa kui su köök. HappyChefis ehitame broneerimissüsteemi täpselt selle mõttega: su andmed on ühe partneri käes, mitte laiali viie süsteemi peal, mida keegi pole kunagi kontrollinud. Vaata, kui palju see maksab ja astu juba täna esimene tasuta samm: lülita MFA sisse.