Pierwsze 72 Godziny po Wycieku Danych w Restauracji

W tym artykule

1. Gdzie naprawdę znajdują się dane twoich gości
2. 72-godzinny zegar, przedział po przedziale
3. Co ubezpieczenie cybernetyczne naprawdę pokrywa — a czego nie
4. Co ubezpieczyciele sprawdzają, zanim w ogóle przedstawią ci ofertę
5. Podsumowanie: zegar tyka tak czy inaczej — pytanie brzmi, czy już o tym wiedziałeś

Wyciek danych w twojej restauracji to nie problem informatyczny — to prawny zegar, który już tyka od chwili, gdy się o nim dowiadujesz. W momencie, gdy wiesz, albo powinieneś zasadnie wiedzieć, że dane gości zostały skradzione, usunięte albo trafiły w niepowołane ręce, RODO daje ci 72 godziny na powiadomienie organu nadzorczego. Nie 72 godziny na naprawienie sytuacji — 72 godziny na jej zgłoszenie.

Rzadko zaczyna się od włączonego alarmu. Częściej to gość, który dzwoni, bo z jego karty pobrano płatność dwa razy, dostawca systemu rezerwacji wysyłający maila o „nietypowej aktywności", albo pracownik, który pewnego ranka zastaje ekran kasy pełen dziwnych znaków. W tym momencie pytanie przestaje brzmieć „jak poważne jest to technicznie", a zaczyna „co mam teraz, dziś, zrobić" — i większość właścicieli nie zna odpowiedzi, bo nikt jej nigdy nie spisał.

Ryzyko jest realne i wcale nie zarezerwowane dla dużych sieci. Kasy fiskalne i terminale płatnicze konsekwentnie należą na świecie do najczęściej atakowanego sprzętu w gastronomii i handlu detalicznym, właśnie dlatego, że przetwarzają dane kart i często latami działają bez aktualizacji. Mała restauracja nie ma działu IT, który amortyzowałby cios — i dokładnie dlatego ubezpieczenie cybernetyczne oraz spisany plan na pierwsze 72 godziny znaczą tu więcej niż w firmie z własnym zespołem ds. bezpieczeństwa.

Ten poradnik przechodzi dokładnie przez to: gdzie naprawdę znajdują się dane twoich gości, co musi się wydarzyć w każdym z czterech przedziałów 72-godzinnego zegara, co ubezpieczenie cybernetyczne zwykle pokrywa, a czego nie, i — z kalkulatorem opartym na twoich własnych liczbach — ile wyciek danych mógłby realnie kosztować twoją restaurację.

Gdzie naprawdę znajdują się dane twoich gości

Wyciek danych to każdy incydent, w którym dane osobowe gości zostają przypadkowo lub bezprawnie utracone, zmienione albo udostępnione komuś bez prawa do nich — to znacznie szersze pojęcie niż „zostać zhakowanym". Zapomniany laptop w samochodzie, mail z potwierdzeniem rezerwacji wysłany pod zły adres albo kopia zapasowa kasy przypadkiem dostępna publicznie liczą się tak samo jak celowany atak.

Większość właścicieli nie docenia, ile systemów tak naprawdę prowadzi. Policz sam: system kasowy z danymi karty z każdej transakcji, system rezerwacji i CRM z imieniem, telefonem, a czasem alergiami każdego gościa, program lojalnościowy z adresami e-mail i historią zamówień, Wi-Fi dla gości z portalem logowania, który często wymaga maila, integrację z platformami dostawy, która przekazuje adresy, i rejestr kart podarunkowych z kodami, które są realnie warte pieniędzy. Sześć systemów, sześć miejsc, gdzie może zacząć się wyciek — a w większości lokali nikt nigdy nie zestawił ich obok siebie na jednej kartce.

Nasz poradnik o danych gości i RODO wyjaśnia, jak legalnie zbierać i wykorzystywać te dane; nasz poradnik o cyberbezpieczeństwie restauracji opisuje dziewięć kroków, które zapobiegają atakowi w ogóle. Ten poradnik dotyczy momentu potem: już się stało — co teraz?

72-godzinny zegar, przedział po przedziale

Artykuł 33 RODO zobowiązuje cię do zgłoszenia wycieku danych organowi ochrony danych osobowych w ciągu 72 godzin od jego wykrycia, chyba że jest mało prawdopodobne, by stanowił ryzyko dla praw i wolności twoich gości. Ten zegar nie zaczyna biec od momentu, gdy wszystko rozumiesz — zaczyna biec od chwili, gdy zasadnie wiesz, że coś się wydarzyło. Tak wyglądają te 72 godziny w praktyce.

Godzina 0 do 1: wykrycie i powstrzymanie

Odłącz zaatakowane urządzenie od sieci — wyciągnij kabel albo wyłącz Wi-Fi — ale niczego nie wyłączaj ani nie kasuj. Każdy ślad, który teraz usuniesz, to ślad, którego twój informatyk ani ubezpieczyciel nie będą mogli później wykorzystać, by ustalić, co dokładnie się stało.

Natychmiast zmień hasła do wszystkich kont administratora z dostępem do kasy, systemu rezerwacji i poczty. Zapisz dokładny czas, w którym to odkryłeś — ten moment to początek twoich 72 godzin i będziesz go potrzebować w każdym kolejnym formularzu.

Godzina 1 do 24: ocena i dokumentacja

Zadzwoń do swojego dostawcy IT albo, jeśli go nie masz, do wyspecjalizowanej firmy — i od razu zadzwoń też do ubezpieczyciela, jeśli masz polisę: większość polis cybernetycznych ma infolinię zgłoszeniową dostępną od pierwszego dnia, a zwlekanie kosztuje cię często dokładnie tę ochronę, której potrzebujesz.

Zapisz, jakie dane mogły zostać naruszone: tylko imiona i adresy e-mail, czy też dane kart i informacje o alergiach? Ilu gości znajduje się w tym zbiorze? Te dwa pytania — co i ile — decydują niemal o wszystkim, co wydarzy się w kolejnych 48 godzinach, więc zapisz to, gdy tylko się dowiesz, nawet jeśli odpowiedź jest jeszcze niepełna.

Godzina 24 do 72: zgłoszenie do organu

Wspólnie z ubezpieczycielem, dostawcą IT albo doradcą prawnym oceń, czy wyciek „prawdopodobnie stanowi ryzyko" dla twoich gości. Jeśli odpowiedź brzmi tak, zgłoszenie do organu ochrony danych osobowych jest obowiązkowe — nie jest opcjonalne i nie jest czymś, na co czekasz do momentu stuprocentowej pewności.

Złóż zgłoszenie przed upływem 72 godzin, z tym, co wiesz w danym momencie: charakter wycieku, szacunkową liczbę dotkniętych gości, przewidywane konsekwencje i podjęte już środki. Niepełne informacje możesz uzupełnić później — pominięcie 72-godzinnego terminu już nie, a spóźnione zgłoszenie musisz wyraźnie uzasadnić.

Po 72 godzinach: powiadomienie gości i odtworzenie systemu

Powiadom gości bezpośrednio tylko wtedy, gdy ryzyko dla nich jest wysokie — na przykład przy skradzionych danych kart lub hasłach. Przy niższym ryzyku wystarczy zgłoszenie do organu. Napisz tę wiadomość prostym językiem: co się stało, co z tym robisz i co gość może zrobić sam (zastrzec kartę, zmienić hasło).

Przywracaj system dopiero z czystej kopii zapasowej, gdy masz pewność, że luka jest faktycznie zamknięta — inaczej odtworzysz dokładnie ten sam problem. I przekaż ubezpieczycielowi ostateczny zakres incydentu: to ta liczba, a nie twój pierwszy szacunek, decyduje o wypłacie.

Co ubezpieczenie cybernetyczne naprawdę pokrywa — a czego nie

Większość właścicieli zakłada, że pokrywa to już ich obecne ubezpieczenie. Prawie nigdy tak nie jest: klasyczna polisa od ognia, przerwania działalności albo OC zazwyczaj wprost wyklucza wycieki danych i incydenty cybernetyczne, właśnie dlatego, że to osobne ryzyko z osobną ceną. Nasz poradnik o ubezpieczeniach restauracji daje pełny obraz tego, czego potrzebuje przeciętny lokal; poniżej chodzi konkretnie o polisę cybernetyczną.

Polisa cybernetyczna zwykle pokrywa koszt naprawy problemu i powiadomienia gości. Rzadko pokrywa koszt utraconego zaufania albo ryzyka, które sam zataiłeś przy zawieraniu polisy.

Wpisz swoje własne liczby i od razu zobacz, mniej więcej gdzie stoisz. Kalkulator działa na liczbie gości w twoich zbiorach danych, obrocie na dzień serwisu oraz dwóch pytaniach, które same ubezpieczyciele zadają jako pierwsze.

Porównaj tę kwotę z ceną polisy oraz z kosztem naprawienia dziś dwóch czerwonych flag powyżej — zwykle ta druga opcja jest zdecydowanie tańsza. Jeśli chcesz sprawdzić też swoje ogólne pokrycie ubezpieczeniowe, skorzystaj z naszego poradnika o ubezpieczeniach restauracji.

Co ubezpieczyciele sprawdzają, zanim w ogóle przedstawią ci ofertę

To nie jest miesięczny projekt. Trzy zadania po pół godziny każde przenoszą cię z „nie mam pojęcia" do dokumentacji, którą ubezpieczyciel traktuje poważnie:

Dziś — darmowa poprawka:

• Włącz MFA na kasie, poczcie i w systemie rezerwacji — często jedyny punkt decydujący o tym, czy w ogóle dostaniesz ofertę
• Zapytaj dostawcę kasy, czy dane kart są tokenizowane, czy przechowywane lokalnie
• Zapisz numer alarmowy do dostawcy IT albo ubezpieczyciela w telefonie, nie w szufladzie

W tym tygodniu — sprawdź swoje pokrycie:

• Zapytaj wprost swojego brokera, czy cyber jest wliczone, czy wymaga osobnej polisy
• Poproś o dwie do trzech ofert i porównaj zakres pokrycia, nie tylko składkę
• Zapisz na jednej kartce, do kogo dzwonisz najpierw, gdy coś wygląda podejrzanie

W tym miesiącu — dokończ dokumentację:

• Skonfiguruj zaszyfrowane i przetestowane kopie zapasowe danych gości i rezerwacji
• Przeczytaj wyłączenia swojej polisy, zanim ich będziesz potrzebować
• Powieś plan awaryjny obok instrukcji przeciwpożarowej — ta sama powaga, to samo miejsce

Podsumowanie: zegar tyka tak czy inaczej — pytanie brzmi, czy już o tym wiedziałeś

Wycieku danych nigdy nie unikniesz w stu procentach — trafia nawet duże firmy z własnymi zespołami IT. Co naprawdę masz w swoich rękach, to czy pierwsze 72 godziny to chaos, czy lista kontrolna. Zespół, który wie, które urządzenie odłączyć jako pierwsze, ubezpieczyciel, z którym masz kontakt już od pierwszej godziny, i zgłoszenie złożone na czas — to różnica między nieprzyjemnym incydentem a drugim kryzysem nałożonym na pierwszy.

A lokale, które robią to dobrze, rzadko robią to wyłącznie dla składki. Robią to, bo zaufanie gościa — że jego dane są u ciebie bezpieczne — jest częścią marki tak samo jak kuchnia. W HappyChef budujemy system rezerwacji dokładnie z tą myślą: twoje dane trafiają do jednego partnera, a nie są rozproszone w pięciu systemach, których nikt nigdy nie skontrolował. Zobacz, ile to kosztuje i zrób dziś pierwszy, darmowy krok: włącz MFA.