Cybersécurité en restauration: comment protéger vos clients et votre entreprise

Une chose que j’observe de plus en plus dans l’industrie, c’est à quel point les restaurants peuvent être touchés par des incidents de cybersécurité qui ne prennent même pas naissance au sein de leur propre entreprise. En fait, près de 30 % de tous les incidents cybernétiques impliquent désormais des prestataires tiers, comme les plateformes de commande en ligne, les fournisseurs de services de paiement et les outils de gestion des horaires sur lesquels les restaurants comptent au quotidien.

C’est important, parce que la plupart des restaurateurs avec qui je discute doivent déjà jongler avec les réalités quotidiennes : gérer les employés, satisfaire les clients, contrôler les coûts et assurer le bon déroulement du service. Mais derrière tout cela se cache un autre risque: la cybersécurité de votre restaurant.

Et le plus difficile, c’est que vous n’avez pas besoin d’avoir fait quelque chose de «mal» pour être à risque. Vous pouvez suivre toutes les bonnes pratiques dans votre restaurant et tout de même être exposé par l’intermédiaire d’un fournisseur, d’un système de paiement ou d’une plateforme de commande en ligne dont vous dépendez.

L’objectif n’est pas de transformer les restaurateurs en experts en technologie. Il s’agit plutôt de vous aider à comprendre où se trouvent les risques et quelles mesures concrètes peuvent réellement les réduire.

Pourquoi la cybersécurité est plus importante que jamais en restauration

Les restaurants recueillent beaucoup plus d’informations que plusieurs propriétaires ne le réalisent. Chaque fois qu’un client paie par carte de crédit, s’inscrit à un programme de fidélisation, passe une commande en ligne ou s’abonne à vos courriels marketing, des informations sont enregistrées quelque part.

Si ces renseignements tombent entre de mauvaises mains, les conséquences peuvent être importantes. Une fuite de données peut nuire à la confiance de vos clients, entraîner des pertes financières et créer des problèmes opérationnels qui peuvent prendre des mois à régler.

J’ai discuté avec des restaurateurs qui étaient surpris de découvrir la quantité de données clients recueillies par leur entreprise. Comprendre quelles informations vous conservez est la première étape pour mieux les protéger.

Les cybermenaces les plus courantes pour les restaurants

La cybersécurité ne concerne pas toujours des pirates informatiques sophistiqués qui s’introduisent dans vos systèmes comme on le voit dans les films. Plusieurs attaques réussissent simplement à cause d’erreurs humaines ou de technologies qui ne sont plus à jour.

Parmi les menaces les plus fréquentes :

• les faux courriels conçus pour inciter les employés à partager leurs mots de passe;
• les mots de passe faibles ou réutilisés;
• les logiciels qui n’ont pas été mis à jour;
• les réseaux Wi-Fi non sécurisés;
• les logiciels malveillants qui infectent les systèmes de paiement;
• les fournisseurs tiers dont les pratiques de sécurité sont insuffisantes.

Dans bien des cas, les cybercriminels cherchent simplement la cible la plus facile. Les entreprises qui négligent les mesures de sécurité de base deviennent souvent les plus vulnérables.

Comment protéger les données de vos clients

Lorsque des restaurateurs me demandent comment mieux protéger les données de leurs clients, je commence généralement par quelques principes simples, mais essentiels. Il ne s’agit pas nécessairement de technologies avancées. Il faut d’abord savoir quelles données vous possédez et adopter de bonnes pratiques au quotidien.

Voici comment je l’aborde :

• Commencez par savoir quelles données vous recueillez réellement.
  La plupart des restaurants recueillent plus d’informations qu’ils ne le pensent. Cela peut comprendre les adresses courriel des clients, les renseignements liés aux programmes de fidélisation, les données de commande en ligne, les dossiers des employés et les données de paie. Les renseignements de paiement sont généralement chiffrés et traités par un fournisseur tiers, mais vous devriez tout de même comprendre comment ces données circulent dans leurs systèmes et quelles mesures de protection sont en place.
• Limitez l’accès aux renseignements sensibles.
  Tous les employés n’ont pas besoin d’avoir accès à tout. Je recommande généralement de donner à chaque membre de l’équipe uniquement les accès nécessaires pour accomplir son travail. Il est possible de le faire en personnalisant les paramètres selon les rôles. Moins il y a de personnes qui ont accès aux données sensibles, moins les risques sont élevés.
• Gardez vos logiciels à jour.
  Les mises à jour ne servent pas uniquement à ajouter de nouvelles fonctionnalités: elles permettent souvent de corriger des failles de sécurité. Plusieurs systèmes infonuagiques récents effectuent automatiquement leurs mises à jour, ce qui facilite grandement les choses. Si vous utilisez un ancien système de point de vente (POS) ou un logiciel installé localement, les mises à jour peuvent demander plus de temps et d’investissement, mais les ignorer peut laisser des vulnérabilités connues sans protection.
• Assurez-vous que vos données sont sauvegardées.
  Encore une fois, avec un système infonuagique, cette étape devrait être automatisée et ne nécessiter aucune intervention du restaurateur. Le stockage des données, les sauvegardes et les systèmes de redondance devraient être pris en charge par vos fournisseurs technologiques, et non par votre restaurant.

Pourquoi la sécurité de votre système de point de vente devrait être une priorité

Lorsque je parle de sécurité des systèmes de point de vente (POS), je la divise généralement en deux aspects: la façon dont le système fonctionne au quotidien et la responsabilité de chacun quant à la protection des différentes données qui y circulent.

Les systèmes POS modernes font beaucoup plus que simplement enregistrer les commandes. Ils peuvent aussi gérer les bons de commande en cuisine, les imprimantes au bar, les commandes en ligne, les programmes de fidélisation et parfois même les heures de travail des employés.

Les données des clients et des employés peuvent donc être enregistrées ou partagées entre plusieurs systèmes connectés.

De façon générale, la sécurité d’un POS se divise en trois catégories :

• Ce que gère votre système POS
  Cela comprend les commandes, le traitement des paiements, les opérations en cuisine et au bar, les commandes en ligne, les programmes de fidélisation et, dans certains cas, le suivi des employés.
• Ce que gère votre fournisseur de services de paiement
  Les données de cartes de crédit et la sécurité des paiements. Il s’agit des informations les plus sensibles et elles devraient être entièrement gérées par le fournisseur de services de paiement et la passerelle de paiement, et non par votre restaurant.
• Ce qui relève de la responsabilité du restaurant
  S’assurer que les appareils du système POS sont physiquement sécurisés, que les employés sont formés pour ne pas modifier ou manipuler l’équipement et que l’équipe respecte les règles de base en matière d’accès.

Votre fournisseur POS ainsi que les fournisseurs de programmes de fidélisation qui y sont connectés devraient également avoir des mesures de sécurité rigoureuses pour protéger les données des clients et des employés qu’ils gèrent. Si ce n’est pas le cas, c’est un signal d’alarme.

Lorsque le traitement des paiements est configuré correctement, votre restaurant ne devrait jamais conserver les renseignements de cartes de crédit ni y avoir accès. Cette responsabilité revient entièrement au fournisseur de services de paiement ou à la passerelle de paiement.

En fin de compte, la majorité des aspects techniques liés à la sécurité devraient être pris en charge par vos fournisseurs. Votre responsabilité est de choisir des systèmes auxquels vous faites confiance et de vous assurer que votre équipe adopte des pratiques simples et constantes pour les utiliser de façon sécuritaire.

Abonnez-vous à l’infolettre Operation Station

Optimisez vos opérations grâce à des conseils pratiques sur les systèmes de point de vente et les outils opérationnels, livrés chaque mois.

Ne négligez pas la formation de vos employés

La technologie joue un rôle important dans la sécurité, mais vos employés sont tout aussi importants.

Ils devraient savoir reconnaître les courriels suspects, éviter de cliquer sur des liens inconnus et signaler toute activité inhabituelle. Quelques minutes de formation peuvent éviter des erreurs très coûteuses.

L’une des façons les plus simples de renforcer la cybersécurité de votre restaurant est de créer une culture dans laquelle les employés se sentent à l’aise de poser des questions avant d’agir. Lorsqu’ils savent qu’ils peuvent vérifier quelque chose qui leur semble suspect, ils sont beaucoup moins susceptibles de tomber dans le piège d’une fraude.

Des rappels réguliers peuvent d’ailleurs être tout aussi utiles que des séances de formation formelles.

Séparez le Wi-Fi des clients de vos systèmes internes

Offrir le Wi-Fi gratuitement est un excellent service pour vos clients, mais ce réseau ne devrait jamais être le même que celui utilisé pour les paiements, la paie ou les opérations de votre entreprise.

Séparer le Wi-Fi destiné aux clients de vos systèmes internes ajoute une couche de protection supplémentaire. Si quelqu’un accède au réseau des clients, cette personne ne devrait pas pouvoir accéder aux renseignements sensibles de votre entreprise.

C’est l’une des mesures de sécurité les plus simples à mettre en place pour plusieurs restaurants.

La cybersécurité des petits restaurants n’a pas besoin d’être compliquée

Une idée préconçue courante veut que la cybersécurité d’un petit restaurant exige un budget important ou une équipe informatique dédiée.

Ce n’est tout simplement pas le cas.

Plusieurs des mesures de sécurité les plus efficaces sont abordables et faciles à mettre en place. Des mots de passe robustes, des logiciels à jour, la formation des employés, des sauvegardes de données et des systèmes de paiement sécurisés peuvent réduire considérablement les risques.

Lorsque je parle de cybersécurité avec des restaurateurs indépendants, je les encourage à miser sur des améliorations constantes plutôt que d’essayer de tout régler en même temps.

De petites actions mises en place de façon constante peuvent avoir un impact considérable.

Que faire si vous soupçonnez une faille de sécurité?

Si vous pensez que vos systèmes ont été compromis, le plus important est d’agir rapidement et de limiter les dommages.

Voici comment je recommande de procéder :

• Déconnectez immédiatement les appareils touchés, si possible.
  Si quelque chose semble anormal, mettez le système concerné hors ligne afin d’empêcher le problème de se propager.
• Communiquez immédiatement avec votre fournisseur technologique.
  Qu’il s’agisse de votre fournisseur POS, de votre plateforme de commande en ligne ou de votre soutien informatique, contactez-le le plus rapidement possible afin qu’il puisse évaluer la situation et vous aider à contenir le problème.
• Commencez à déterminer ce qui s’est passé.
  Vous n’avez pas besoin d’avoir toutes les réponses immédiatement, mais vous devez chercher à comprendre quels systèmes ont été touchés et comment le problème a pu commencer.
• Documentez tout au fur et à mesure.
  Notez ce que vous avez observé, quand le problème a commencé et quelles mesures ont été prises. Ces informations faciliteront le rétablissement et pourraient également être nécessaires pour produire certains rapports par la suite.
• Prenez les signes d’avertissement au sérieux.
  Un comportement inhabituel du système, des connexions inattendues, des ralentissements ou des activités que vous ne reconnaissez pas ne devraient jamais être ignorés. Dans bien des cas, détecter rapidement les premiers signes d’une intrusion est votre meilleure chance de limiter les dommages.

Ce qu’il faut vraiment retenir

Au bout du compte, la cybersécurité en restauration repose avant tout sur la confiance.

Chaque fois qu’un client passe une commande, il vous fait confiance avec ses renseignements de paiement. Votre responsabilité est de vous assurer que cette confiance n’est pas mise à risque en arrière-plan.

Si vous appliquez les bonnes pratiques de base de façon constante, gardez un œil sur vos systèmes et intégrez la sécurité à vos opérations quotidiennes, vous réduisez déjà considérablement votre niveau de risque.

Et bien souvent, ces quelques mesures peuvent faire toute la différence.

Besoin d’aide pour sécuriser votre restaurant?

Si vous ne savez pas exactement où en est votre restaurant en matière de cybersécurité ou si vous souhaitez simplement obtenir un regard externe sur vos systèmes, je peux vous aider à évaluer la situation de façon simple et concrète.

Chez Back of House, j’accompagne les équipes de restauration afin d’identifier les points faibles, d’améliorer la cybersécurité des petits restaurants et de mettre en place des mesures de protection qui n’alourdissent pas les opérations quotidiennes.

Si vous souhaitez discuter de votre environnement technologique ou mieux comprendre comment protéger vos clients, communiquez simplement avec moi et nous pourrons planifier une rencontre. Même de petites améliorations à la sécurité de votre système de point de vente et aux habitudes quotidiennes de votre équipe peuvent faire une réelle différence.