Di chi sono i dati del tuo ristorante e cosa li protegge davvero

«I miei dati sono al sicuro?» sono in realtà tre domande: può vederli qualcun altro, posso riprenderli, e qualcuno può dimostrare cosa è successo. Hanno risposte diverse e meritano di essere separate.

Può vederli un altro ristorante

È il punto cruciale in un software condiviso, e non deve dipendere dal fatto che gli sviluppatori si ricordino di filtrare ogni query.

Ogni record porta l’identità del ristorante a cui appartiene, e quel filtro si applica a livello di database a ogni lettura — non si aggiunge a mano in ogni query. Una condizione mancante in un report non può far trapelare gli ordini di un altro locale, perché il vincolo non sta nel report.

Sopra c’è l’accesso stesso. Il token di un dipendente porta il ristorante di appartenenza, e una richiesta che arriva senza un ristorante risolvibile viene rifiutata invece che servita a intuito.

Può vedere qualcuno all’interno ciò che non dovrebbe

È un altro problema, risolto dai ruoli. Nove livelli decidono cosa mostra ogni schermata; un responsabile di sede è limitato alla sua sede dal sistema e non da un’istruzione; un cassiere non vede mai le paghe.

Sotto stanno le difese ordinarie: password salvate come hash, non in chiaro. Blocco dell’account dopo cinque tentativi falliti. Sessioni lunghe che ruotano invece di vivere per sempre e revocabili per dispositivo. Limiti di frequenza su accesso, reset password, pagamenti e ordini, così nessuno script può insistere.

Niente di esotico. È il minimo — e il motivo per elencarlo è che «prendiamo la sicurezza sul serio» non risponde a nessuna domanda.

Qualcuno può dimostrare cosa è successo

Due registrazioni corrono sotto tutto: un log attività di ciò che ha fatto il personale e una pista di audit di ciò che è cambiato, con valori prima e dopo, utente e orario.

È la parte sottovalutata finché non serve. Le scritture registrate si stornano invece di modificarle, proprio perché la storia resti leggibile. Un sistema in cui i numeri del mese scorso possono cambiare in silenzio è un sistema che non può rispondere onestamente, per quanto sicuro sia.

Puoi portare via i tuoi dati

Ecco il test onesto della proprietà, e non è una clausola di contratto: è un pulsante.

Menu, clienti, ordini, magazzino e libri sono tuoi. I report si esportano in foglio di calcolo e PDF, e i dati sottostanti sono esportabili invece che intrappolati. La domanda giusta a un fornitore non è «i miei dati sono vostri» — tutti dicono di no. È: «mostratemi l’esportazione.»

Fanne una seconda già che ci sei: cosa succede a quei dati se smetti di pagare? Un periodo in sola lettura è ragionevole. La cancellazione immediata no, ed è meglio sapere a cosa stai aderendo.

Richieste di privacy, dal personale e da estranei

Nella pratica emergono due obblighi: un dipendente che chiede cosa è conservato su di lui o ne chiede la cancellazione, e una persona del pubblico che avanza la stessa richiesta dal tuo sito. Entrambe sono registrate come richieste con uno stato, così si seguono fino alla chiusura invece di vivere nella posta di qualcuno. I consensi dei dipendenti a trattamento, marketing e analisi sono registrati con data e revocabili.

Se ti riguardino dipende da dove operi. Che il meccanismo esista significa che la risposta è un processo e non un panico.

I backup, detti onestamente

I backup sono compito del fornitore di hosting, non una funzione da configurare. Ciò che va stabilito prima di firmare con chiunque — noi compresi — sono tre cose: ogni quanto vengono presi, per quanto sono conservati e se un ripristino è mai stato testato. La terza è la domanda che quasi nessuno fa e l’unica che dimostra le prime due.

Le cinque domande da fare a qualsiasi fornitore

1. Come sono separati i miei dati da quelli degli altri clienti — tecnicamente, non in linea di principio?
2. Mostratemi l’esportazione. Tutta, non un report riassuntivo.
3. Cosa succede ai miei dati se smetto di pagare, e per quanto tempo?
4. Potete mostrarmi chi ha cambiato un prezzo il mese scorso?
5. Quand’è stata l’ultima volta che avete testato il ripristino di un backup?

Un fornitore che risponde a tutte e cinque in modo chiaro è un fornitore a cui potrai chiedere conto dopo. Questo, molto più di un bollino su una pagina di marketing, è ciò che «sicuro» significa nella pratica.