Informationssicherheit und Gastronomie: Wie Manager über IT-Produkte denken

Hallo Habr! Ich bin jemand, der IT-Produkte über den App Store, Sberbank Online, Delivery Club konsumiert und einen gewissen Bezug zur IT-Branche hat. Kurz gesagt, meine berufliche Tätigkeit besteht darin, Beratungsdienste für Unternehmen der Gastronomie zur Optimierung und Weiterentwicklung von Geschäftsprozessen anzubieten. In letzter Zeit habe ich viele Anfragen von Betreibern von Einrichtungen erhalten, deren Ziel es ist, ein Informationssicherheitssystem in ihren Betrieben aufzubauen.

Lassen Sie uns mit ein paar amüsanten Geschichten beginnen. Geschichte Nummer eins. In einem Casual-Dining-Café wechselten alle drei Monate die Manager. Der erste Manager, ein großer Fan der sowjetischen Geschichte, verwendete das Passwort „07111917“ und gab es in allen Ressourcen an, mit denen er beruflich zu tun hatte: dem automatisierten Buchhaltungsprogramm IIKO, dem Zugang zum Loyalitätsprogramm Plazius und der Installation von Sicherheits- und Brandschutzsystemen. Eines Tages wurde dieser Manager beim Verkauf von personenbezogenen Daten von Gästen an Wettbewerber erwischt und wurde fristlos entlassen. Doch das revolutionäre Passwort „07111917“ lebte weiter und wurde von einem Manager zum anderen weitergegeben. Infolgedessen wusste jeder Kellner in der Einrichtung, wie man sich mit dem Büro-WLAN verbindet. Darüber hinaus erfuhren auch die Gäste dieses Passwort, da die Kellner aus gutem Herzen empfahlen, sich mit dem „schnelleren“ Internet mit dem Namen „internet_office“ zu verbinden.

In der Gastronomie nutzt das Personal häufig Schwächen der Informationssicherheit zu eigenen Zwecken.

Geschichte Nummer zwei. Ein attraktiver junger Mann in einem kornblumenblauen Blazer trifft den Geschäftsführer einer großen Restaurantgruppe. Zwischen ihnen entwickelt sich folgender Dialog:

— Unsere Firma spezialisiert sich auf Informationsprodukte. Heute möchte ich Ihnen die Möglichkeit vorstellen, einen Passwortmanager der neuen Generation „Falcon Eye“[1] zu erwerben. Er ist einzigartig aufgrund seiner hohen Zuverlässigkeit, sowohl für die Cloud-Version als auch für die Box-Version. Die Verschlüsselung erfolgt nach dem AES-256-Algorithmus. Neben den Standardfunktionen eines jeden Passwortmanagers verfügt Falcon Eye über erweiterte Backups und Sicherheitsaudits. Was halten Sie davon?
— Konstantin, danke für die Information. Was ist der Unterschied zwischen der Box- und der Cloud-Version und warum benötige ich das alles?

Die beiden genannten Geschichten betreffen dasselbe Problem – mangelndes Bewusstsein der Entscheidungsträger über die Rolle und Bedeutung der Informationssicherheit im Betrieb. Es gibt jedoch einen zusätzlichen Aspekt. Die Art und Weise, wie Vertreter von IT-Unternehmen ihre Angebote unterbreiten, trägt ebenfalls wenig zum Verständnis bei, wofür Entscheidungsträger IT-Produkte benötigen. In meinen Jahren der Beratungspraxis bin ich zu der festen Überzeugung gelangt, dass der HoReCa-Sektor ein wenig erschlossener Markt unter den Anbietern von IT-Tools zur Implementierung und Aufrechterhaltung der Informationssicherheitsprinzipien ist. In diesem Text möchte ich einen Teil einer kleinen Studie teilen, die wir unter Managern von Gastronomiebetrieben durchgeführt haben, um das Bewusstsein für die Einführung und Anwendung von IT-Produkten zu bestimmen. Zunächst möchte ich die Nutzung von Passwortmanagern in den Fokus rücken. Ich möchte hinzufügen, dass die Durchführung der Studie aus dem Wunsch resultierte, das Denken der Entscheidungsträger besser zu verstehen, um meine Beratungsdienste effektiver anzubieten.

Kurze Information zur Methodologie. Es wurde eine qualitative Strategie zur Datenerhebung gewählt. Wir führten zwölf informelle Interviews mit Managern und deren Stellvertretern in sechs Gastronomiebetrieben durch. Der Interviewfragebogen umfasste zwanzig Fragen, die sich mit der allgemeinen Philosophie der Informationssicherheit, dem Wissen über die rechtlichen Rahmenbedingungen, dem Umgang mit personenbezogenen Daten, den technischen Möglichkeiten der Schutzsysteme in den einzelnen Betrieben und den verwendeten IT-Produkten, einschließlich der Arbeit mit Passwortmanagern, beschäftigten. Alle Interviews wurden transkribiert und die Ergebnisse in zusammengefasster Form präsentiert.

Jeder war schon einmal in der Situation, dass er sich nicht an das Passwort seines Kontos erinnern konnte.

Wenn es um konzeptionelle Fragen geht, verbinden die meisten Befragten die Informationssicherheit von Unternehmen ausschließlich mit der Speicherung personenbezogener Daten ihrer Mitarbeiter. Manager beleuchten die technische Seite der Frage nicht im Detail. Sie sind daran interessiert, wie effektiv eine bestimmte Software Zeit sparen, bei der sicheren Speicherung von Daten helfen und wie benutzerfreundlich sie sein wird. Dabei werden die Prioritäten genau in dieser Reihenfolge festgelegt: (1) – Zeit – (2) – Sicherheit – (3) – Benutzerfreundlichkeit.

„Hört zu, ich muss Tabellen, Grafiken erstellen und Berichte für die Eigentümer vorbereiten. Im Restaurant geht ständig etwas kaputt. Mir fehlt katastrophal die Zeit, mich mit den Einstellungen des Programms oder Neuinstallationen zu beschäftigen. Ein IT-Spezialist ist bei uns nicht im Team. Wenn es etwas Schnelles und Bequemes gäbe, könnte ich es versuchen.“ (Mann, 41 Jahre)

„Informationssicherheit beschränkt sich hier darauf, dass die Arbeitsunterlagen in einem Safe aufbewahrt werden und die Passdaten da oben auf dem Regal neben der Buchhalterin liegen. Das ist alles schlecht, und das weiß ich. Aber die richtige Sicherheitseinstellung erfordert Zeit, und die habe ich jetzt nicht. Wir hatten einmal die Erfahrung, einen fortschrittlichen Antivirus zu kaufen, wir haben sogar eine Lizenz erworben. Es kamen ständig irgendwelche Benachrichtigungen, es war unbequem und hat von der Arbeit abgelenkt.“ (Mann, 35 Jahre)

„Vor etwa einem halben Jahr wurde im Existenzgründerzentrum für uns ein Seminar zum Bundesgesetz Nr. 152 organisiert. Damals und auch jetzt verstehe ich wenig von personenbezogenen Daten. Das Allerwichtigste ist, und das habe ich dem Eigentümer gesagt, wir müssen Ordnung in unsere Personalverwaltung bringen. Ich habe Zugriff auf die Daten, der Buchhalter hat in Abstimmung mit mir Zugang, und das war's. Natürlich herrscht hier gerade Chaos.“ (Frau, 34 Jahre).

Die Ergebnisse der Interviews zeigen, dass in fünf von sechs Einrichtungen Standards und Verfahren zur Gewährleistung der Informationssicherheit fehlen und es keine verantwortlichen Personen gibt. Darüber hinaus gibt es keine feste Stelle oder einen externen Spezialisten, der sich mit der Einrichtung und Kontrolle des Sicherheitssystems befasst. Wie einer der Befragten sagte:

„Wir haben einen Jungen, der Informationen auf die Website des Restaurants hinzufügt. Theoretisch könnte er sich um all das kümmern.“ (Frau, 35 Jahre).

Die Besorgnis der Manager über den Schutz personenbezogener Daten ist durchaus nachvollziehbar. Es gibt immer mehr Fälle mit administrativen und strafrechtlichen Konsequenzen, und die Anforderungen an die Überprüfungen der Betreiber personenbezogener Daten ändern sich. In der Gastronomie wird dieses Thema zunehmend relevant, denn neben den internen Zugängen zu den Konten haben die meisten Lokale Treueprogramme, bei denen die Anzahl der Mitglieder in die Tausende geht.

Meiner Meinung nach haben die Vertreter der IT-Branche jetzt eine gute Chance, Zugang zu einem Markt zu erhalten, in dem ein klar definiertes Problem und ein Bedarf an dessen Lösung bestehen. In den nächsten drei Jahren wird die Nachfrage nach dem Aufbau eines Informationssicherheitssystems in der Gastronomie nur zunehmen. Besonders in den Regionen.

Nichtsdestotrotz, trotz des oberflächlichen Verständnisses dafür, wie ein Informationssicherheitssystem gestaltet sein sollte, nutzen alle Befragten Passwortmanager. Einige fordern sogar ihre Chefs, Küchenchefs und Administratoren auf, diese zu verwenden. Das Erste, was wir die Befragten gefragt haben, war, welche Passwortmanager sie in ihren Betrieben verwenden:

„Ich weiß nicht, ob ich es richtig ausspreche, aber momentan benutze ich Zoho[2]. Es ist erstaunlich, aber ich kann das Passwort sogar vom Handy und vom Arbeitsplatz aus einsehen. Das Einzige, das ich nicht vergessen darf, ist das Hauptpasswort für den Zugriff. Deshalb habe ich es in meinem Notizbuch notiert“ (Frau, 32 Jahre).

„Hören Sie, ich habe einen Passwortmanager zufällig angefangen zu benutzen. Ein Kollege von der Universität arbeitet in einer Bank und hat mir seinen empfohlen. Er heißt Passwork[3], scheint im Moment praktisch zu sein und spart Zeit. Wir hatten ein Problem, als ein gekündigter Mitarbeiter sich im System anmeldete und unsere Einnahmen einsehen konnte. Wir haben zufällig erfahren, dass die im Restaurant aktiven Passwörter von ihm erstellt wurden. Wir mussten alles dringend neu gestalten. So entstand der Bedarf nach einem Manager“ (Mann, 41 Jahre).

„Ich habe ein bisschen IT in unserer technischen Schule studiert. Als ich über einen Passwortmanager nachdachte, entschied ich mich für CommonKey[4], da er gut mit der Verwaltung der persönlichen Profile der Mitarbeiter funktioniert. Für unser Netzwerk von Pizzerien ist das sehr praktisch“ (Mann, 38 Jahre).

Ich möchte darauf hinweisen, dass ich die sinnvollsten Kommentare der Befragten ausgewählt habe. Die meisten Befragten konnten sich nicht daran erinnern, wie genau ihre Manager heißen. Für einige ist der Passwortmanager ausschließlich mit der Speicherung von Daten im Browser verbunden. Insgesamt stellen die Befragten bei der Auswahl eines Produkts nicht die Frage nach dem Verschlüsselungsmechanismus, der dem Passwortmanager zugrunde liegt. Ihre Prioritäten sind Geschwindigkeit und Benutzerfreundlichkeit.

Obwohl es unter den Befragten ein allgemeines Verständnis dafür gibt, wofür sie einen Passwortmanager brauchen, nutzen sie diesen nur gelegentlich. Wie eine befragte Frau sagte:

„Wenn dich einerseits der Eventkunde beschäftigt, der andere Lieferant und das Personal fragt, wann das Gehalt ausgezahlt wird, und du gleichzeitig ein Konto für einen neuen Mitarbeiter erstellst, bleibt dir nichts anderes übrig, als Login und Passwort auf ein Stück Papier zu notieren“ (Frau, 41 Jahre).

Es gibt jedoch bestimmte Praktiken. Es gibt eine Reihe von Problemen, die dazu geführt haben, dass Passwortmanager in der Gastronomie Anwendung finden. Welche Probleme sind das?

Erstens der Zugang zu Loyalitätsprogrammen. Insidern ist bekannt, dass das Personal die Rabatte „manipuliert“, die Kassenboni werden auf Plastikkarten gutgeschrieben, die mit Verwandten und Freunden des Personals verbunden sind usw. Die effektivste Methode, um Betrug zu verhindern, besteht darin, die Aktivitäten der Konten im Backend des Loyalitätsprogramms regelmäßig zu überprüfen. Die Situation wird kompliziert, da mindestens drei Personen Zugang zum Programm benötigen: der Manager, der Marketingmitarbeiter (für SMS und Push-Benachrichtigungen) und der Operator, der das Loyalitätsprogramm betreut (bei technischen Störungen oder der Aktivierung zusätzlicher Optionen).

„Das einzige Mal, wenn ich versuche, den Passwortmanager nicht zu vergessen, ist bei der Arbeit mit unserer Gästedatenbank. Neben dem Zugang zu den persönlichen Daten der Gäste kann man über diese Datenbank auch virtuelle Gelder gutschreiben oder abbuchen. Einmal im Monat ändere ich das Passwort und mache eine Rangliste der Zugriffe je nach Benutzerstatus. Daher muss die Information ständig aktualisiert werden. Der Passwortmanager erleichtert die Arbeit in diesem Bereich“ (Mann, 48 Jahre).

Zweitens gibt es in jedem Unternehmen Zugangskarten für das Personal, um auf das automatisierte Buchhaltungssystem (zum Beispiel IIKO oder R-Keeper) zuzugreifen. Manchmal gibt es interessante Vorfälle. Ein Kellner kündigt und nimmt die Karte mit. Im Grunde kennt der abgehende Kellner das Passwort für den Zugang zu dem System, in dem die finanziellen Kennzahlen des Unternehmens angezeigt werden, die Gerichte entfernt und verbucht werden, sowie die Arbeitszeit des Personals erfasst wird.

„Es gab eine Geschichte, in der ein entlassener Mitarbeiter sich mit einem Barkeeper verbündet hat und Alkohol auf Kosten des Unternehmens verbucht hat. Auf mysteriöse Weise hatte dieser Kerl eine nicht gesperrte Karte und hat sie genutzt“ (Mann, 38 Jahre).

Drittens kommen Manager und gehen, aber die Konten bleiben. Die professionelle Einarbeitung des neuen Managers wird verzögert, wenn er vor dem Bildschirm sitzt und versucht, den vorherigen Vorgesetzten zu erreichen, um den Benutzernamen und das Passwort für die E-Mail, die Systeme Merkur und EGAIS sowie den persönlichen Bereich im METRO-Portal usw. zu erfahren.

„Ich konnte keine Fragen richtig klären, wenn ich keinen Zugang zu den aktiven Konten hatte. Die vorherige Managerin hatte ein schlechtes Verhältnis zum Eigentümer und hat mir nichts übergeben. Ich musste alles wiederherstellen, ihre Entwürfe durchgehen und jemanden überzeugen, mir Informationen zu geben. Danach habe ich mir fest vorgenommen, all meine Passwörter in einem speziellen Programm zu speichern“ (Frau, 29 Jahre).

Machen Sie nicht denselben Fehler. Präsident von Kosovo, nutzen Sie einen Passwortmanager.

Alle genannten Situationen können für IT-Entwickler nützlich sein, um kompetente Angebote an Vertreter der Restaurantbranche zu formulieren. Ich betone nochmals, der HoReCa-Markt ist bereit für IT-Produkte. Dies betrifft nicht nur Passwortmanager, sondern auch Antivirensoftware, Videoüberwachungssysteme und die Optimierung von Geschäftsprozessen.

Beim Verfassen des Textes wurde mir das erhebliche kommerzielle Potenzial bewusst, das die Einführung von Informationssicherheitsstandards für Restaurants, Cafés und Bars bietet. Daher bitte ich alle Interessierten, in den Kommentaren zu schreiben, welche Software Sie den Vertretern der HoReCa empfehlen würden, um ein zuverlässiges Informationssicherheitssystem aufzubauen. Zum Abschluss des Themas Passwortmanager bitte ich um Ihre Teilnahme an der Umfrage unten. Ich wäre sehr dankbar für ausführliche Kommentare zu Ihrer Wahl.

[1] Der Name ist erfunden. Alle Ähnlichkeiten mit anderen Passwortmanagern sind rein zufällig und nicht mehr als das.
[2] Der Befragte spricht von dem Passwortmanager Zoho Vault: www.zoho.com/vault
[3] Der Befragte spricht von dem Passwortmanager Passwork: passwork.ru
[4] Der Befragte spricht von dem Passwortmanager CommonKey: www.commonkey.com

Nur registrierte Benutzer können an der Umfrage teilnehmen. Bitte einloggen.

Welchen Passwortmanager verwenden Sie in Ihren Unternehmen?

• CommonKey

• Passwork

• Vaultier

• SimpliSafe

• Sonstiges

8 Benutzer haben abgestimmt. 1 Benutzer hat sich enthalten.

Quelle: habr.com