Aprire un franchising: come sistemare il piano digitale prima dell'inaugurazione

Il contratto è firmato, l'insegna è pronta e il gestionale è già installato. Tutto sembra pronto per partire con la tua attività in franchising ma sei sicuro di aver fatto tutti i controlli digitali del caso? Sai, ad esempio, chi conosce la password del router? E chi può accedere da remoto al computer della cassa? Sono domande da fare prima che il negozio apra, non al primo problema. Il franchisor fornisce spesso gli strumenti tecnologici, ma non è detto che si occupi di ogni aspetto della loro sicurezza.

Una rete per lavorare, un'altra per i clienti

POS, registratore telematico, tablet per gli ordini, telecamere e Wi-Fi gratuito possono condividere la connessione Internet. Non devono però poter comunicare liberamente tra loro.

Il tecnico dovrebbe separare almeno la rete dei pagamenti, quella dei dispositivi aziendali e quella degli ospiti, utilizzando VLAN e regole firewall. Due reti Wi-Fi con nomi diversi, da sole, non bastano.

Prima del collaudo vanno inoltre cambiate le password predefinite del router, installati gli aggiornamenti e disattivata l'amministrazione dall'esterno quando inutile. Fatti consegnare uno schema semplice: quali apparecchi sono collegati, chi li gestisce e chi interviene se smettono di funzionare.

Il gestionale non è un account di famiglia

Molte reti mettono a disposizione degli affiliati un software unico per magazzino, ordini, promozioni e clienti. Ma questo non vuol dire che tutti gli utenti debbano avere piena visibilità su ognuno di questi ambiti. Chi lavora alla cassa può registrare una vendita; i rimborsi e le modifiche ai prezzi dovrebbero richiedere permessi specifici.

Servono account individuali, autenticazione a più fattori (MFA) per le funzioni sensibili e una procedura per revocare subito gli accessi a dipendenti e collaboratori che lasciano l'attività. Anche il fornitore del gestionale deve avere credenziali proprie (e non dovrebbe mai usare, per praticità o pigrizia, quelle del titolare).

Chiarisci inoltre con il franchisor chi tratta i dati delle tessere fedeltà, quali informazioni circolano tra negozi e chi risponde alle richieste di cancellazione (anche perché condividendo il CRM si complica la compliance col GDPR).

Fatture e documenti: proteggi il contenuto, non solo l'invio

Il CERT-AGID ha segnalato una campagna malware distribuita tramite caselle PEC autentiche ma compromesse, con falsi solleciti per fatture insolute. La certificazione della trasmissione non rende sicuro un allegato.

Per inviare contratti, documenti dei clienti o report economici utilizza portali protetti da HTTPS, limita i destinatari e cifra separatamente i file più delicati, comunicando le password attraverso un altro canale.

Se un fornitore comunica un nuovo IBAN, verifica la richiesta chiamando un numero già presente nei tuoi contatti, non quello riportato nel messaggio.

Il POS va controllato anche a negozio chiuso

Annota modello e matricola di ogni terminale di pagamento, fotografalo al momento dell'installazione e controlla periodicamente che sigilli, cavi e lettore non siano alterati o manomessi. Chiunque metta mano a un apparecchio per riparazioni o manutenzione deve essere identificabile e autorizzato.

Il rischio di manomissione è concreto: ad agosto, la Polizia Postale ha individuato degli skimmer nelle biglietterie automatiche della stazione di Venezia Santa Lucia. A insospettire gli investigatori erano stati alcuni piccoli fori nei lettori contactless. All'interno degli apparecchi sono stati trovati dispositivi per sottrarre i dati delle carte.

Sebbene il caso riguardasse delle biglietterie automatiche, la precauzione vale anche per i POS dei negozi: confronta periodicamente i terminali con le fotografie originali e segnala al gestore qualsiasi anomalia, senza tentare riparazioni in autonomia. Fuori dall'orario di apertura, gli apparecchi mobili devono essere custoditi in un luogo non accessibile al pubblico.

Assistenza da remoto, senza lasciare la porta aperta

Aggiornare il listino da remoto è comodo; lasciare permanentemente esposto il computer di cassa, molto meno. A maggio, lo CSIRT ha documentato attacchi ransomware contro imprese condotti anche attraverso credenziali VPN compromesse, comprese quelle dei fornitori.

Gli interventi tecnici vanno quindi autorizzati, registrati e protetti con MFA. Gli accessi non più necessari devono essere disabilitati.

Quando controlli ordini e fatture fuori sede, un servizio VPN può cifrare il traffico tra il dispositivo e il server, soprattutto sulle reti Wi-Fi di terzi.