Cyberbezpieczeństwo w restauracji: jak nie stracić pieniędzy i danych gości

Jeden klik. 40 tysięcy. Koniec weekendu.

Kolega z Gdańska prowadzi bistro. Średnia restauracja, 60 kryć dziennie, wszystko szło gładko. W sobotni wieczór dostaje esemesa od banku: wypłata 15 tysięcy. Potem druga. Potem trzecia. Rano się okazuje — ktoś włamał się do systemu płatności i przekierował wypłaty na swoje konto.

Bank odmówił zwrotu. System płatności też. "Niedostateczne zabezpieczenia po stronie klienta" — taki był werdykt.

Myślisz że to egzotyczny przypadek? W samym 2023 w Polsce było ponad 200 zgłoszeń włamań do systemów POS w gastronomii. Większość nigdy nie trafiła do mediów.

Cztery dziury przez które tracisz kontrolę

**Hasło do Wi-Fi dla gości to samo co do kasy fiskalnej.** Widziałem to w trzech lokalach w ciągu ostatniego roku. Manager ustawia jedno hasło dla całej sieci — "RestauracjaWiFi123" — i podaje je gościom. Problem? W tej samej sieci siedzi kasa, terminal płatniczy i komputer z systemem rezerwacji.

Ktoś kto zna się trochę na IT potrzebuje 15 minut żeby zobaczyć co się dzieje w Twojej sieci.

Rozwiązanie jest proste: dwie sieci. Jedna dla gości, druga dla urządzeń firmowych. Kosztuje zero złotych — wystarczy zmienić ustawienia w routerze.

**Baza rezerwacji bez szyfrowania.** Masz system rezerwacji? Sprawdź w adresie czy jest "https" na początku. Jeśli nie ma — wszystkie dane które wysyłasz (imiona, telefony, czasem numery kart) lecą otwartym tekstem przez internet.

Pół roku temu sanepid zaczął pytać o RODO podczas kontroli. A ochrona danych osobowych to też kwestia technicznych zabezpieczeń, nie tylko zgód na papierze.

**Terminal płatniczy bez PIN-u do funkcji serwisowych.** Większość terminali ma tzw. tryb serwisowy — można tam zmienić ustawienia, sprawdzić historię transakcji, czasem nawet przekierować płatności. Domyślnie często nie ma żadnego hasła.

Zapytaj swojego dostawcy terminala jak się zabezpiecza te funkcje. Jeśli mówi "nikt tam nie wchodzi" — zmień dostawcę.

**Backup „jak będzie czas".** Kiedy ostatni raz robiłeś kopię zapasową bazy gości, sprzedaży, kart menu? Nie pamiętasz? No właśnie.

Ransomware — oprogramowanie które szyfruje Twoje dane i żąda okupu — to już nie science fiction. Znam dwa przypadki w Trójmieście z ostatnich dwóch lat. W jednym lokalu stracili całą bazę zamówień cateringowych sprzed trzech lat. Odbudowywali z maili.

Co zrobić w tym tygodniu

Nie musisz zatrudniać specjalisty IT. Musisz zrobić pięć rzeczy.

**Zmień hasła do wszystkiego co ma dostęp do pieniędzy lub danych.** Kasa fiskalna, system rezerwacji, panel zamówień online, terminal płatniczy (jeśli ma), dostęp do panelu Pyszne.pl czy Glovo. Hasło to minimum 12 znaków, litery + cyfry + znaki specjalne. Zapisz je w bezpiecznym miejscu — nie na kartce przy kasie.

**Podziel sieć Wi-Fi.** Wejdź do ustawień routera (zazwyczaj 192.168.1.1 w przeglądarce) i stwórz drugą sieć dla gości. Jeśli nie wiesz jak — zapłać komuś 200 złotych za godzinę pracy. To najlepiej wydane pieniądze tego miesiąca.

**Włącz automatyczne backupy.** Większość systemów gastronomicznych (Gastro+, Selly, UpMenu, inne) ma opcję automatycznego backupu do chmury. Sprawdź czy to jest włączone. Jeśli Twój system nie ma — rób ręczny backup raz w tygodniu na dysk zewnętrzny. I trzymaj ten dysk poza lokalem.

**Ogranicz dostępy.** Kelner nie musi mieć dostępu do raportu sprzedaży za cały rok. Barman nie musi widzieć bazy danych gości. Stwórz poziomy dostępu: jeden dla sali, jeden dla baru, jeden dla managera, jeden dla właściciela.

System który daje wszystkim pełen dostęp to system bez żadnego bezpieczeństwa.

**Sprawdź umowę z dostawcą systemu płatności.** Zadzwoń i zapytaj wprost: "Co się stanie jeśli ktoś włamie się do terminala? Kto ponosi odpowiedzialność?" Jeśli odpowiedź jest niejasna — poproś o odpowiedź mailowo. Potem pokaż prawnikowi.

Dane gości to nie tylko RODO na papierze

Masz zgodę na przetwarzanie danych? Super. A co robisz z tymi danymi technicznie?

Jeśli masz bazę gości w Excelu na komputerze przy barze, do którego loguje się pięć osób tym samym hasłem — żadna zgoda Cię nie obroni jak dojdzie do wycieku.

Poniżej jest minimum:

Brzmi jak paranoja? Poczekaj na pierwszą skargę do UODO. Kara to do 4% rocznego obrotu. Dla restauracji z przychodem milion rocznie to 40 tysięcy złotych.

To nie jest kwestia "czy", tylko "kiedy"

Przez 6 lat jako manager miałem trzy incydenty związane z bezpieczeństwem. Raz ktoś próbował włamać się do panelu zamówień online (złapaliśmy bo system wysłał alert). Raz kelnerka straciła telefon służbowy z dostępem do systemu rezerwacji (musieliśmy zmienić wszystkie hasła w ciągu godziny). Raz padł dysk twardy z całą bazą menu i przepisami (na szczęście backup sprzed tygodnia uratował sytuację).

To nie zdarza się tylko innym. To zdarza się losowo. Różnica jest taka że jak jesteś przygotowany — tracisz godzinę na reakcję. Jak nie jesteś — tracisz tydzień i kasę.

**Zrób test**: poproś kogoś kto nie pracuje na co dzień w lokalu żeby spróbował dostać się do Waszego Wi-Fi, do komputera przy kasie, do panelu zamówień online. Jeśli zajmie mu to mniej niż pięć minut — masz problem.

Aktualne przepisy dotyczące ochrony danych osobowych sprawdź u specjalisty lub w oficjalnych źródłach UODO.

Bezpieczeństwo to nie koszt. To polisa. Nie odkładaj tego na później.