Le prime 72 ore dopo una violazione dei dati nel ristorante

In questo articolo

1. Dove si trovano davvero i dati dei tuoi clienti
2. L'orologio delle 72 ore, finestra per finestra
3. Cosa copre davvero un'assicurazione cyber — e cosa no
4. Cosa controllano le assicurazioni prima ancora di darti un preventivo
5. Conclusione: l'orologio corre comunque — la domanda è se lo sapevi già

Una violazione dei dati nel tuo ristorante non è un problema tecnico — è un orologio legale che inizia a scorrere nel momento in cui te ne accorgi. Non appena sai, o dovresti ragionevolmente sapere, che dati dei tuoi clienti sono stati rubati, cancellati o finiti nelle mani sbagliate, il GDPR ti dà 72 ore per informare l'autorità di controllo. Non 72 ore per risolvere il problema — 72 ore per segnalarlo.

Raramente inizia con un allarme che suona. Più spesso è un cliente che chiama perché gli hanno addebitato due volte la carta, il tuo gestionale prenotazioni che manda una mail su un'"attività insolita", o un dipendente che una mattina trova lo schermo della cassa pieno di caratteri strani. A quel punto la domanda non è più "quanto è grave dal punto di vista tecnico", ma "cosa devo fare adesso, subito" — e la maggior parte dei titolari non lo sa, perché nessuno lo ha mai messo per iscritto.

Il rischio è reale e non riguarda solo le grandi catene. I sistemi di cassa e i terminali POS sono tra gli obiettivi più colpiti al mondo nella ristorazione e nel retail, proprio perché trattano dati di carte e spesso restano in funzione per anni senza aggiornamenti. Un piccolo ristorante non ha un reparto IT che assorba il colpo — ed è esattamente per questo che un'assicurazione cyber, e un piano scritto per le prime 72 ore, contano qui più che in un'azienda con un proprio team di sicurezza.

Questa guida percorre esattamente questo: dove si trovano davvero i dati dei tuoi clienti, cosa deve succedere in ciascuna delle quattro finestre dell'orologio delle 72 ore, cosa copre di solito un'assicurazione cyber e cosa no, e — con un calcolatore basato sui tuoi numeri — quanto potrebbe realisticamente costarti una violazione.

Dove si trovano davvero i dati dei tuoi clienti

Una violazione dei dati è qualsiasi incidente in cui dati personali dei clienti vengono persi, alterati o resi accessibili a qualcuno senza diritto di accesso, per errore o in modo illecito — quindi è molto più ampio di "essere hackerati". Un portatile dimenticato in auto, una conferma di prenotazione inviata all'indirizzo sbagliato, o un backup della cassa lasciato per errore accessibile pubblicamente contano tanto quanto un attacco mirato.

La maggior parte dei titolari sottovaluta quanti sistemi gestisce davvero. Fai il conto: il sistema di cassa con i dati di carta di ogni transazione, il sistema di prenotazione e CRM con nome, telefono e a volte le allergie di ogni cliente, il programma fedeltà con indirizzi email e storico ordini, il wifi per i clienti con un portale di accesso che spesso chiede un'email, l'integrazione con le piattaforme di delivery che passa gli indirizzi, e il registro dei buoni regalo con codici che valgono letteralmente denaro. Sei sistemi, sei punti da cui può partire una fuga di dati — e nella maggior parte dei locali nessuno li ha mai messi in fila uno accanto all'altro.

La nostra guida su dati dei clienti e GDPR spiega come raccoglierli e usarli in modo legale; la nostra guida sulla cybersicurezza del ristorante descrive i nove passi che prevengono un attacco. Questa guida parla del momento dopo: è già successo — e adesso?

L'orologio delle 72 ore, finestra per finestra

L'articolo 33 del GDPR ti obbliga a notificare una violazione dei dati all'autorità di controllo entro 72 ore dalla scoperta, a meno che sia improbabile che comporti un rischio per i diritti e le libertà dei tuoi clienti. Questo orologio non parte quando hai capito tutto — parte nel momento in cui sai ragionevolmente che è successo qualcosa. Ecco come sono, in pratica, quelle 72 ore.

Ora 0-1: scoprire e contenere

Scollega il dispositivo colpito dalla rete — stacca il cavo o spegni il wifi — ma non spegnere né cancellare nulla. Ogni traccia che cancelli ora è una traccia che il tuo fornitore IT o la tua assicurazione non potranno più usare in seguito per capire cosa è davvero successo.

Cambia subito le password di tutti gli account amministratore che accedono a cassa, sistema di prenotazione ed email. Annota l'ora esatta in cui l'hai scoperto — quel momento è il punto di partenza delle tue 72 ore, e ti servirà in ogni modulo che compilerai dopo.

Ora 1-24: valutare e documentare

Chiama il tuo fornitore IT o, se non ne hai uno, un servizio specializzato — e chiama subito anche la tua assicurazione se hai una polizza: la maggior parte delle polizze cyber ha una linea di emergenza che puoi attivare fin dal primo giorno, e aspettare spesso ti costa proprio la copertura di cui hai bisogno.

Metti per iscritto quali dati potrebbero essere coinvolti: solo nomi ed email, o anche dati di carta e allergie? Quanti clienti ci sono in quell'archivio? Queste due domande — cosa e quanti — decidono quasi tutto ciò che succede nelle 48 ore successive, quindi scrivile appena le sai, anche se la risposta è ancora incompleta.

Ora 24-72: notificare l'autorità

Valuta insieme alla tua assicurazione, al fornitore IT o a un consulente legale se la violazione "comporta probabilmente un rischio" per i tuoi clienti. Se la risposta è sì, la notifica all'autorità di controllo è obbligatoria — non facoltativa, e non qualcosa da rimandare finché non sei sicuro.

Presenta la notifica prima dello scadere delle 72 ore, con quello che sai in quel momento: la natura della violazione, una stima di quanti clienti sono coinvolti, le conseguenze probabili e le misure già adottate. Le informazioni incomplete si possono integrare più avanti — mancare la finestra delle 72 ore no, e una notifica tardiva va giustificata esplicitamente.

Dopo le 72 ore: avvisare i clienti e ripristinare

Avvisa direttamente i clienti solo se il rischio per loro è alto — dati di carta o password rubate, per esempio. Con un rischio più basso basta la notifica all'autorità. Scrivi quel messaggio in linguaggio semplice: cosa è successo, cosa stai facendo per rimediare, e cosa può fare il cliente stesso (far bloccare la carta, cambiare la password).

Ripristina solo da un backup pulito, dopo esserti assicurato che la falla sia davvero chiusa — altrimenti ripristini esattamente lo stesso problema. E comunica alla tua assicurazione la portata definitiva dell'incidente: è quel numero, non la tua prima stima, a determinare quanto viene infine liquidato.

Cosa copre davvero un'assicurazione cyber — e cosa no

La maggior parte dei titolari pensa che la propria assicurazione esistente copra già questo. Quasi mai è così: una polizza classica incendio, interruzione di attività o responsabilità civile in genere esclude esplicitamente violazioni dei dati e incidenti informatici, proprio perché si tratta di un rischio a sé con un proprio prezzo. La nostra guida alle assicurazioni per ristoranti offre il quadro completo di ciò di cui ha bisogno un locale medio; la sezione qui sotto riguarda nello specifico la polizza cyber.

Una polizza cyber copre di solito i costi per risolvere il problema e avvisare i tuoi clienti. Raramente copre il costo della fiducia persa, o un rischio che non hai dichiarato al momento della sottoscrizione.

Inserisci i tuoi numeri e vedi subito, a grandi linee, a che punto sei. Il calcolatore lavora sul numero di clienti nei tuoi archivi, sul tuo fatturato per giornata di servizio, e su due domande che le assicurazioni stesse fanno per prime.

Confronta questa cifra con il prezzo di una polizza, e con quanto costa correggere già oggi le due bandiere rosse qui sopra — di solito quest'ultima è di gran lunga l'opzione più economica. Per controllare anche la tua copertura assicurativa generale, usa la nostra guida alle assicurazioni per ristoranti.

Cosa controllano le assicurazioni prima ancora di darti un preventivo

Non è un progetto di un mese. Tre passi di mezz'ora ciascuno ti portano da "nessuna idea" a un dossier che un'assicurazione prende sul serio:

Oggi — la correzione gratuita:

• Attivare l'MFA su cassa, email e sistema di prenotazione — spesso l'unico punto che decide se ti fanno anche solo un preventivo
• Chiedere al tuo fornitore della cassa se i dati di carta vengono tokenizzati o conservati in locale
• Salvare il numero di emergenza del tuo fornitore IT o della tua assicurazione sul telefono, non in un cassetto

Questa settimana — controlla la tua copertura:

• Chiedere esplicitamente al tuo broker se il rischio cyber è incluso o serve una polizza a parte
• Chiedere due o tre preventivi e confrontare le coperture, non solo il premio
• Scrivere su un solo foglio chi chiami per primo se qualcosa non torna

Questo mese — completa il dossier:

• Configurare backup cifrati e testati dei dati di clienti e prenotazioni
• Leggere le esclusioni della tua polizza prima di averne bisogno
• Appendere il piano di emergenza accanto alle istruzioni antincendio — stessa serietà, stesso posto

Conclusione: l'orologio corre comunque — la domanda è se lo sapevi già

Una violazione dei dati non si previene mai al cento per cento — capita anche a grandi aziende con un proprio team IT. Quello che invece puoi controllare è se le prime 72 ore sono caos o una checklist. Un team che sa quale dispositivo scollegare per primo, un'assicurazione che hai già al telefono fin dalla prima ora, e una notifica presentata in tempo: è questa la differenza tra un incidente spiacevole e una seconda crisi che si somma alla prima.

E i locali che gestiscono bene tutto questo raramente lo fanno solo per il premio assicurativo. Lo fanno perché la fiducia di un cliente — sapere che i suoi dati sono al sicuro da te — fa parte del tuo marchio tanto quanto la cucina. In HappyChef costruiamo il sistema di prenotazione proprio con questa idea in mente: i tuoi dati stanno presso un unico fornitore, non sparsi su cinque sistemi che nessuno ha mai controllato. Guarda quanto costa e fai oggi stesso il primo passo, gratuito: attiva l'MFA.