Az Első 72 Óra Egy Étteremi Adatszivárgás Után

Ebben a cikkben

1. Hol vannak valójában a vendégeid adatai
2. A 72 órás óra, időablakról időablakra
3. Mit fedez valójában egy kiberbiztosítás — és mit nem
4. Mit ellenőriznek a biztosítók, mielőtt egyáltalán árajánlatot adnának
5. Konklúzió: az óra mindenképp jár, csak az a kérdés, tudtad-e ezt már

Egy étteremi adatszivárgás nem informatikai probléma — hanem egy jogi óra, amely abban a pillanatban elindul, amint tudomást szerzel róla. Amint megtudod, vagy ésszerűen tudnod kellene, hogy vendégadatok kerültek illetéktelen kézbe, törlődtek vagy szivárogtak ki, a GDPR 72 órát ad arra, hogy értesítsd a felügyeleti hatóságot. Nem 72 órát a probléma megoldására — 72 órát a bejelentésre.

Ritkán riasztóval kezdődik. Gyakrabban egy vendég hívása, mert kétszer vonták le a kártyájáról az összeget, a foglalási rendszered szolgáltatójának e-mailje "szokatlan aktivitásról", vagy egy dolgozó, aki reggel furcsa szöveggel teli kasszaképernyőt talál. Ebben a pillanatban a kérdés már nem az, hogy "technikailag mennyire súlyos ez", hanem az, hogy "mit kell most, azonnal tennem" — és a legtöbb tulajdonos nem tudja a választ, mert ezt soha senki nem írta le előre.

A kockázat valós, és nem csak a nagy láncokra vonatkozik. A kasszarendszerek és POS-terminálok világszerte a vendéglátás és a kiskereskedelem leggyakrabban célba vett eszközei közé tartoznak, éppen azért, mert kártyaadatokat kezelnek, és gyakran évekig frissítés nélkül futnak. Egy kis étteremnek nincs saját IT-osztálya, amely felfogná az ütést — pontosan ezért számít itt jobban egy kiberbiztosítás és egy leírt terv az első 72 órára, mint egy saját biztonsági csapattal rendelkező vállalatnál.

Ez az útmutató pontosan ezt járja körbe: hol vannak valójában a vendégeid adatai, mi történjen a 72 órás óra négy időablakának mindegyikében, mit fedez és mit nem egy kiberbiztosítási kötvény jellemzően, és — egy a saját számaidra épülő kalkulátorral — mennyibe kerülhetne reálisan egy adatszivárgás az éttermednek.

Hol vannak valójában a vendégeid adatai

Az adatszivárgás minden olyan incidens, amelynél a vendégek személyes adatai véletlenül vagy jogellenesen elvesznek, megváltoznak, vagy olyasvalaki fér hozzájuk, akinek erre nincs joga — ez tehát sokkal tágabb, mint "feltörték a rendszert". Egy autóban felejtett laptop, egy rossz címre küldött foglalási visszaigazolás, vagy egy véletlenül nyilvánosan elérhető kasszaadat-mentés éppúgy beleszámít, mint egy célzott támadás.

A legtöbb tulajdonos alábecsüli, hány rendszert is üzemeltet valójában. Számold össze: a kasszarendszer, amely minden tranzakció kártyaadatait tárolja, a foglalási és CRM-rendszer, benne minden vendég nevével, telefonszámával, néha allergiáival, a törzsvásárlói program e-mail-címekkel és rendeléstörténettel, a vendég-wifi, amelynek belépő portálja gyakran e-mail-címet kér, a futárszolgálatokkal való összekapcsolás, amely címeket ad tovább, és az ajándékkártya-nyilvántartás, amelynek kódjai szó szerint pénzt érnek. Hat rendszer, hat pont, ahol elindulhat egy szivárgás — és a legtöbb helyen ezeket még soha senki nem rakta egymás mellé.

A vendégadatokról és a GDPR-ról szóló útmutatónk bemutatja, hogyan gyűjtheted és használhatod ezeket az adatokat jogszerűen; a étteremi kiberbiztonságról szóló útmutatónk pedig azt a kilenc lépést, amellyel eleve megelőzhető egy támadás. Ez az útmutató az utána következő pillanatról szól: már megtörtént — és most mi legyen?

A 72 órás óra, időablakról időablakra

A GDPR 33. cikke arra kötelez, hogy egy adatszivárgás felfedezésétől számított 72 órán belül értesítsd az adatvédelmi hatóságot, kivéve ha valószínűtlen, hogy az kockázatot jelent a vendégeid jogaira és szabadságaira. Ez az óra nem akkor indul, amikor mindent megértettél — hanem abban a pillanatban, amikor ésszerűen tudomást szerzel arról, hogy történt valami. Így néz ki a gyakorlatban ez a 72 óra.

0–1. óra: felfedezés és elszigetelés

Kapcsold le az érintett eszközt a hálózatról — húzd ki a kábelt, vagy kapcsold ki a wifit —, de semmit ne kapcsolj ki és ne törölj. Minden nyom, amit most eltüntetsz, olyan nyom, amelyet a technikusod vagy a biztosítód később már nem tud felhasználni annak kiderítésére, mi történt pontosan.

Azonnal változtasd meg minden olyan adminisztrátori fiók jelszavát, amely hozzáfér a kasszarendszerhez, a foglalási rendszerhez és az e-mailedhez. Jegyezd fel a pontos időpontot, amikor felfedezted az esetet — ez az időpont a 72 órád kezdete, és minden ezt követő űrlapon szükséged lesz rá.

1–24. óra: felmérés és dokumentálás

Hívd fel az IT-szolgáltatódat, vagy ha nincs ilyen, egy erre szakosodott céget — és ha van kötvényed, azonnal hívd a biztosítódat is: a legtöbb kiberbiztosítási kötvényhez tartozik egy bejelentővonal, amelyet már az első naptól bevonhatsz, és a várakozás gyakran pontosan azt a fedezetet viszi el, amire szükséged lenne.

Írd le, milyen adatok érintettek: csak nevek és e-mail-címek, vagy kártyaadatok és allergiák is? Hány vendég szerepel abban a fájlban? Ez a két kérdés — mi és mennyi — dönti el szinte mindazt, ami a következő 48 órában történik, ezért írd le, amint tudod, még ha a válasz még hiányos is.

24–72. óra: a hatóság értesítése

A biztosítóddal, IT-szolgáltatóddal vagy jogi tanácsadóddal együtt mérd fel, hogy az incidens "valószínűsíthetően kockázatot jelent-e" a vendégeidre. Ha a válasz igen, az adatvédelmi hatóság értesítése kötelező — nem választható, és nem olyasmi, amit addig halogatsz, amíg biztos nem leszel.

Nyújtsd be a bejelentést a 72 óra lejárta előtt, azzal, amit abban a pillanatban tudsz: az incidens jellege, egy becslés az érintett vendégek számáról, a várható következmények és a már megtett intézkedések. A hiányos információt később ki lehet egészíteni — a 72 órás határidő elmulasztását nem, és egy késői bejelentést kifejezetten indokolni kell.

72 óra után: a vendégek értesítése és helyreállítás

A vendégeidet közvetlenül csak akkor értesítsd, ha a rájuk nézve fennálló kockázat magas — például ellopott kártyaadatok vagy jelszavak esetén. Alacsonyabb kockázat esetén elég a hatóság értesítése. Ezt az üzenetet egyszerű nyelven fogalmazd meg: mi történt, mit teszel ellene, és mit tehet maga a vendég (kártya letiltása, jelszó megváltoztatása).

Csak azután állíts vissza egy tiszta mentésből, hogy biztos vagy benne: a rést valóban lezártad — különben pontosan ugyanazt a hibát állítod vissza. És add meg a biztosítódnak az incidens végleges terjedelmét: ez a szám, nem az első becslésed, dönti el, mennyit fizet ki végül.

Mit fedez valójában egy kiberbiztosítás — és mit nem

A legtöbb tulajdonos azt hiszi, hogy a meglévő biztosítása már fedezi ezt. Szinte soha nem így van: egy szokásos tűz-, üzemszünet- vagy felelősségbiztosítási kötvény jellemzően kifejezetten kizárja az adatszivárgásokat és a kiberincidenseket, pontosan azért, mert ez egy külön kockázat, saját árcédulával. A éttermi biztosításokról szóló útmutatónk adja meg a teljes képet arról, mire van szüksége egy átlagos vendéglátóhelynek; az alábbi rész kifejezetten a kiberkötvényről szól.

Egy kiberkötvény jellemzően fedezi a probléma elhárításának és a vendégek értesítésének költségét. Ritkán fedezi az elveszített bizalom árát, vagy egy olyan kockázatot, amelyet a kötvény megkötésekor nem jelentettél be.

Add meg a saját számaidat, és azonnal lásd, nagyjából hol állsz. A kalkulátor a fájljaidban szereplő vendégek számával, a napi forgalommal, és azzal a két kérdéssel dolgozik, amelyet maguk a biztosítók is elsőként tesznek fel.

Hasonlítsd össze ezt az összeget egy kötvény árával, és azzal, mennyibe kerülne ma megszüntetni a fenti két piros zászlót — általában ez utóbbi messze az olcsóbb megoldás. Ha az általános biztosítási fedezetedet is át szeretnéd nézni, használd az éttermi biztosításokról szóló útmutatónkat.

Mit ellenőriznek a biztosítók, mielőtt egyáltalán árajánlatot adnának

Ez nem egy hónapos projekt. Három, egyenként félórás lépés visz el a "fogalmam sincs"-től egy olyan dossziéig, amelyet egy biztosító komolyan vesz:

Ma — az ingyenes javítás:

• Kapcsold be az MFA-t a kasszán, az e-mailen és a foglalási rendszeren — gyakran ez az egyetlen tényező, amely eldönti, kapsz-e egyáltalán árajánlatot
• Kérdezd meg a kasszaszolgáltatódat, hogy a kártyaadatok tokenizáltak-e, vagy helyben tárolódnak
• Mentsd el az IT-szolgáltatód vagy biztosítód vészhelyzeti számát a telefonodba, ne egy fiókba

Ezen a héten — ellenőrizd a fedezetedet:

• Kérdezd meg kifejezetten a biztosításközvetítődtől, hogy a kiber benne van-e, vagy külön kötvény kell hozzá
• Kérj két-három árajánlatot, és ne csak a díjat hasonlítsd össze, hanem a fedezetet is
• Írd le egy lapon, kit hívsz elsőként, ha valami gyanúsnak tűnik

Ebben a hónapban — zárd le a dossziét:

• Állíts be titkosított, tesztelt mentéseket a vendég- és foglalási adataidról
• Olvasd el a kötvényed kizárásait, mielőtt szükséged lenne rájuk
• Tedd ki a vészhelyzeti tervet a tűzriadó terv mellé — ugyanaz a komolyság, ugyanaz a hely

Konklúzió: az óra mindenképp jár, csak az a kérdés, tudtad-e ezt már

Egy adatszivárgást sosem tudsz száz százalékig megelőzni — még a saját IT-csapattal rendelkező nagyvállalatokat is éri. Amit viszont valóban a kezedben tartasz, az az, hogy az első 72 óra káosz-e vagy egy végigjárt lista. Egy csapat, amely tudja, melyik eszközt kapcsolja le elsőnek, egy biztosító, akit már az első órától fogva elérsz, és egy időben benyújtott bejelentés: ez a különbség egy kellemetlen incidens és egy második, az elsőre rakódó válság között.

Azok a helyek, amelyek ezt jól kezelik, ritkán csak a biztosítási díj miatt teszik. Azért teszik, mert a vendég bizalma — hogy az adatai biztonságban vannak nálad — éppúgy része a márkádnak, mint a konyhád. A HappyChefnél pontosan ezzel a gondolattal építjük a foglalási rendszert: az adataid egyetlen szolgáltatónál vannak, nem szétszórva öt olyan rendszer között, amelyeket soha senki nem ellenőrzött. Nézd meg, mennyibe kerül, és tedd meg még ma az első, ingyenes lépést: kapcsold be az MFA-t.