Quasi tutti i proprietari di ristoranti si imbattono nella conformità PCI allo stesso modo: una voce sull’estratto conto del commerciante denominata “penale per non conformità”, pari a 30 dollari al mese, che compare senza alcuna spiegazione. Qualcuno chiama il gestore dei pagamenti, gli viene detto di compilare un questionario, apre un PDF di 300 domande redatto per le banche e lo chiude subito dopo. La commissione continua ad arrivare. Questo è lo stato delle cose riguardo al PCI nel settore della ristorazione: un obbligo annuale che la maggior parte degli operatori ignora o simula, fino a quando una violazione dei dati delle carte di credito non lo trasforma nell’unico argomento di cui tutti vogliono parlare. Non deve per forza essere così complicato. Per la maggior parte dei ristoranti, la risposta onesta consiste in un questionario di circa 30 domande, una manciata di impostazioni di rete e una configurazione dei pagamenti che, innanzitutto, impedisca ai dati delle carte di entrare nel locale. Se il sistema di elaborazione dei pagamenti del tuo ristorante esegue la crittografia all’interno del terminale, hai già superato la parte più difficile senza nemmeno rendertene conto.
Questa guida spiega cosa richiede effettivamente lo standard, quale questionario si applica alla vostra configurazione, come ridurre le vostre responsabilità, cosa chiedere ai vostri fornitori e quanto costa realmente la non conformità quando qualcosa va storto. Il fattore più importante è di natura architettonica piuttosto che procedurale: il modo in cui il sistema POS e i terminali del tuo ristorante gestiscono i dati delle carte determina se la conformità si riduce a un breve modulo annuale o se rappresenta un vero e proprio progetto.
Che cos’è il PCI DSS e chi lo applica effettivamente
PCI DSS è l’acronimo di Payment Card Industry Data Security Standard. Si tratta di una serie di requisiti tecnici e operativi per chiunque accetti, elabori, archivi o trasmetta dati relativi alle carte di pagamento. La versione attuale è la 4.0.1 e i requisiti introdotti gradualmente con la versione 4 sono diventati obbligatori il 31 marzo 2025, quindi non c’è più alcun periodo di grazia a cui fare riferimento.
Ecco la parte che crea confusione: il PCI non è una legge e nessuna agenzia governativa ne garantisce l’applicazione. Si tratta di uno standard contrattuale creato dai circuiti di carte di credito, Visa, Mastercard, American Express, Discover e JCB, e che vi riguarda attraverso il contratto di adesione che avete firmato con la vostra banca acquirente o con il vostro gestore dei pagamenti. È proprio quel contratto il motivo per cui la conformità non è facoltativa, anche se nessun ispettore busserà mai alla vostra porta. La vostra banca acquirente può multarvi, aumentare le vostre commissioni o revocare la vostra autorizzazione ad accettare carte.
Diversi paesi hanno aggiunto ulteriori disposizioni legislative. Nell’UE e nel Regno Unito, una violazione dei dati delle carte di credito costituisce anche una violazione dei dati personali ai sensi del GDPR, con l’obbligo di notifica entro 72 ore e sanzioni di entità del tutto diversa. Negli Stati Uniti, la maggior parte degli Stati ha leggi sulla notifica delle violazioni e alcuni hanno inserito direttamente lo standard PCI nella legislazione. Pertanto, in pratica, lo standard PCI è di natura contrattuale, ma le sue conseguenze sono spesso di natura legale.
Il livello di appartenenza dell’esercente determina le modalità con cui dimostrare la conformità. Il Livello 4, con meno di circa 20.000 transazioni di e-commerce o meno di 1 milione di transazioni totali con carta all’anno, copre la stragrande maggioranza dei ristoranti indipendenti e dei piccoli gruppi, e comporta la compilazione di un questionario annuale di autovalutazione firmato dall’esercente. Il Livello 1, con oltre 6 milioni di transazioni all’anno, comporta un audit in loco da parte di un Valutatore di Sicurezza Qualificato. Se gestisci meno di una dozzina di sedi, rientri quasi certamente nel Livello 4, e in questo caso si tratta di un’operazione di compilazione di documenti e configurazione piuttosto che di un audit.
Perché i ristoranti sono più colpiti rispetto alla maggior parte dei settori
Il settore della ristorazione è da due decenni ai vertici delle statistiche sulle frodi con carte di credito, e le ragioni sono di natura strutturale piuttosto che dovute a negligenza.
Si gestisce un volume molto elevato di transazioni con carta presente di importo modesto, il che rende la struttura attraente per i criminali che raccolgono numeri di carte in blocco. Si gestisce una rete che deve svolgere diverse funzioni contemporaneamente: registratori di cassa, display in cucina, back office, prenotazioni, musica, telecamere e Wi-Fi per gli ospiti, spesso tramite un unico router configurato da chi ha installato la connessione Internet. Il turnover del personale è elevato, quindi il numero di persone che hanno avuto accesso fisico ai terminali negli ultimi cinque anni è notevole. Le apparecchiature si trovano in un locale pubblico, incustodite per parte della giornata. Inoltre, la maggior parte dei ristoranti non dispone affatto di un reparto IT, il che significa che nessuno è responsabile del firmware del router, del sistema operativo dei registratori di cassa o della questione relativa a chi sia ancora in possesso delle password.
Le violazioni che finiscono sui giornali rientrano solitamente in una di queste tre categorie. Malware sul punto vendita che estrae i dati delle carte dalla memoria prima che vengano crittografati, come è successo a una lunga lista di catene. Skimmer fisici o terminali sostituiti, installati in pochi secondi da qualcuno che si finge un tecnico. Oppure uno strumento di accesso remoto non aggiornato, spesso quello che il fornitore del POS utilizza per l’assistenza, lasciato con una password predefinita o condivisa.
Si noti che tutti e tre gli attacchi prendono di mira la stessa cosa: il momento in cui i dati leggibili delle carte si trovano da qualche parte sotto il vostro controllo. Questa osservazione è la chiave per rendere gestibile la conformità PCI.
I dodici requisiti, in parole povere
Lo standard PCI DSS prevede dodici requisiti di primo livello raggruppati in sei obiettivi. Tradotti dal linguaggio degli audit, recitano quanto segue.
1. Installare e mantenere controlli di sicurezza di rete. Disporre di un firewall tra Internet e i dispositivi che entrano in contatto con i dati delle carte. La rete Wi-Fi per gli ospiti non deve trovarsi sulla stessa rete dei registratori di cassa.
2. Applicare configurazioni sicure. Modificare tutte le password e le impostazioni predefinite su router, terminali e sul POS stesso. Le credenziali predefinite rimangono una delle cause più comuni di violazione.
3. Proteggere i dati dei conti archiviati. Non memorizzare i numeri delle carte. Se proprio è necessario farlo, devono essere crittografati e il codice di sicurezza sul retro non può mai essere memorizzato dopo l’autorizzazione, nemmeno per un minuto, nemmeno in una nota.
4. Crittografare i dati in transito. I dati delle carte che attraversano qualsiasi rete aperta devono essere crittografati con i protocolli attuali.
5. Proteggersi dal software dannoso. Installare un software anti-malware su ogni computer di uso generale presente nell’ambiente di pagamento e mantenerlo aggiornato.
6. Sviluppare e mantenere sistemi sicuri. Installare le patch di sicurezza. Se gestite una pagina per gli ordini online, la versione 4 ha introdotto obblighi specifici relativi alla gestione e al monitoraggio degli script in esecuzione sulle vostre pagine di pagamento.
7. Limitare l’accesso in base alle esigenze aziendali. Chi lava i piatti non ha bisogno del menu di gestione della cassa.
8. Identificare gli utenti e autenticare l’accesso. Accessi individuali, nessun account condiviso e autenticazione a più fattori per qualsiasi accesso remoto o amministrativo. La password unica del responsabile, fissata con del nastro adesivo all’interno del cassetto, viola palesemente questa regola.
9. Limitare l’accesso fisico. Controllare chi può toccare i terminali e ispezionarli per verificare che non siano stati manomessi.
10. Registrare e monitorare gli accessi. Tenere traccia di chi ha effettuato quali operazioni sui sistemi che gestiscono i dati delle carte.
11. Verificare regolarmente la sicurezza. Eseguire scansioni trimestrali delle vulnerabilità da parte di soggetti esterni se si dispone di sistemi collegati a Internet nell’ambito di applicazione.
12. Mantenere una politica di sicurezza delle informazioni. Metterla per iscritto, formare il personale ogni anno e disporre di un piano di risposta agli incidenti.
Letta come un elenco, sembra un programma IT aziendale. In un ristorante che ha tenuto i dati delle carte di credito fuori dai propri sistemi, la maggior parte di questi requisiti è soddisfatta dalle attrezzature già acquistate, e il vostro compito è quello di confermarlo e documentarlo, piuttosto che creare qualcosa di nuovo.
Quale questionario fa al caso vostro
Il questionario di autovalutazione, o SAQ, è disponibile in diverse versioni, e scegliere quella giusta rappresenta i dieci minuti più preziosi dell’intero processo. La differenza tra la versione più breve e quella più lunga è di circa 30 domande contro più di 300.
L’SAQ P2PE è il massimo. Si applica se accetti pagamenti solo tramite terminali hardware che fanno parte di una soluzione di crittografia punto a punto (P2PE) convalidata e inclusa nell’elenco del PCI Council. Circa 33 domande. I dati delle carte vengono crittografati all’interno del lettore prima ancora che i tuoi sistemi li vedano, quindi quasi nulla nel tuo ristorante rientra nell’ambito di applicazione.
Il SAQ B-IP si applica ai terminali autonomi approvati come PTS (Point-of-Sale) collegati tramite IP, senza dati delle carte memorizzati elettronicamente. Circa 80 domande; è molto comune per i piccoli ristoranti indipendenti.
L’SAQ C si applica nei casi in cui un’applicazione di pagamento su un sistema collegato gestisca i dati delle carte, il terminale comunichi tramite il vostro POS e nulla venga memorizzato. Circa 160 domande. È qui che rientrano di default molti ristoranti.
Il SAQ A si applica esclusivamente alle attività con pagamenti senza presentazione della carta, in cui tutte le funzioni di pagamento sono completamente esternalizzate a una terza parte conforme. Se il vostro sistema di ordinazione online reindirizza a una pagina di pagamento ospitata, questo copre tale aspetto.
Il SAQ A-EP si applica all’e-commerce in cui il proprio sito non riceve i dati delle carte ma influenza la pagina di pagamento, ad esempio tramite un iframe incorporato sotto il proprio controllo.
Il SAQ D copre tutte le altre situazioni ed è piuttosto lungo. Se vi viene indicato che è necessario il SAQ D, consideratelo un segnale per modificare la vostra configurazione piuttosto che per iniziare a compilare moduli.
La maggior parte dei ristoranti accetta pagamenti attraverso più di un canale: terminali in loco, ordini online e prenotazioni telefoniche che richiedono una carta per garantire la prenotazione. Ogni canale viene valutato, quindi potresti dover compilare più di un questionario. Il canale telefonico è quello che gli operatori tendono a trascurare, ed è spesso quello che presenta le maggiori lacune.
Riducete l’ambito di applicazione prima di compilare qualsiasi cosa
Il concetto centrale del moderno PCI è che lo standard si applica ai sistemi che memorizzano, elaborano o trasmettono i dati delle carte. Se si rimuovono i dati delle carte da un sistema, tale sistema esce dall’ambito di applicazione. Se lo si fa in modo accurato, l’esercizio annuale si riduce da un progetto a un semplice modulo da compilare.
Crittografia punto a punto (P2PE). Con una soluzione P2PE convalidata, il lettore di carte crittografa i dati nel momento stesso in cui la carta viene avvicinata o inserita, utilizzando chiavi che i vostri sistemi non possiedono. Ciò che transita attraverso la vostra rete e il vostro POS è un testo cifrato illeggibile. Il vostro registratore di cassa, il router e il back office esulano tutti dall’ambito di applicazione per quanto riguarda i dati stessi. Richiedete specificatamente una soluzione certificata dal PCI Council, poiché molti fornitori descrivono la propria crittografia come «end-to-end» senza possedere tale certificazione.
Tokenizzazione. Anziché un numero di carta, il vostro sistema memorizza un token privo di significato che solo il vostro processore è in grado di ricollegare alla carta originale. È questo che rende sicura la gestione delle carte salvate per i clienti abituali, dei conti al bar, della protezione contro le mancate presentazioni e degli abbonamenti. Il numero della carta non viene mai memorizzato nel vostro database.
EMV e contactless. Le transazioni con chip e contactless non possono essere clonate come invece avviene per i dati della banda magnetica. Al di là della sicurezza, lo standard EMV è importante dal punto di vista commerciale per via del trasferimento di responsabilità: in caso di frodi con carta presente, la parte che utilizza la tecnologia meno sicura si fa carico della perdita; pertanto, un ristorante che continua a strisciare le bande magnetiche sceglie di assumersi i chargeback che avrebbe potuto evitare.
Segmentazione della rete. Collocate i dispositivi di pagamento su un proprio segmento di rete, separato dal Wi-Fi per gli ospiti, dalle telecamere, dall’impianto musicale e dai computer dell’ufficio. Questo singolo cambiamento limita sia la portata del problema che il raggio d’azione di qualsiasi malfunzionamento che si verifichi altrove.
Se si applicano correttamente queste quattro misure, un ristorante che si trovava nella categoria SAQ C o D può spesso passare invece alla categoria SAQ P2PE o B-IP. Questa è la differenza tra un pomeriggio di lavoro e la fattura di un consulente.
Cosa chiedere al fornitore del POS e al gestore dei pagamenti
I fornitori vi diranno che il loro prodotto è conforme allo standard PCI. Questa frase di per sé non significa molto, perché la conformità è una proprietà dell’intero ambiente, non di un singolo dispositivo. Ponete domande più approfondite e ottenete le risposte per iscritto.
La vostra soluzione di pagamento è elencata come soluzione P2PE convalidata dal PCI Council e potete inviarmi il riferimento dell’elenco? Quale tipo di SAQ mi permette di compilare la configurazione da voi raccomandata? I numeri delle carte sono tokenizzati e dove si trova il deposito dei token? I dati delle carte transitano o vengono memorizzati su hardware all’interno del mio ristorante? Come gestite l’accesso per l’assistenza remota? Si tratta di un sistema a autenticazione multifattoriale con account individuali anziché una password condivisa? Come vengono distribuite le patch per il software e il sistema operativo, e qual è la tempistica prevista? Fornirete un Attestato di Conformità per il vostro ruolo di fornitore di servizi? Cosa succede ai dati di pagamento archiviati se decido di interrompere la collaborazione con voi?
Due risposte dovrebbero destare preoccupazione. Un fornitore che non è in grado di specificare quale SAQ sia supportato dalla propria configurazione non ha tenuto conto dei vostri obblighi. E un fornitore che mantiene un tunnel di accesso remoto permanente con credenziali condivise sta descrivendo il vettore di violazione più comune nel settore.
Chiedete separatamente al vostro gestore quali sono i costi applicati in caso di non conformità, se include un portale di conformità e scansioni trimestrali, e se offre una copertura dei costi derivanti da violazioni. Molti includono un fornitore di scansione senza costi aggiuntivi, e gli operatori lo pagano due volte semplicemente perché nessuno ha chiesto chiarimenti. Vale anche la pena leggere come il fornitore gestisce la sicurezza dei dati e l’hosting in senso più ampio, poiché le stesse pratiche che proteggono i dati delle carte proteggono anche i dati dei vostri ospiti e delle vendite.
La rete che nessuno controlla
Nella maggior parte dei ristoranti l’anello più debole è un router nascosto in un armadietto dietro scatole di tovaglioli, installato anni fa, che utilizza il firmware preinstallato e con la password scritta su un adesivo.
Risolvi i problemi più evidenti. Modifica le credenziali predefinite dell’amministratore sul router, sugli access point e su ogni terminale. Aggiorna il firmware, poi pianifica gli aggiornamenti trimestrali. Colloca la rete Wi-Fi per gli ospiti su una rete realmente separata, anziché utilizzare una password con un nome diverso sulla stessa rete, e non lasciare mai che un dispositivo di pagamento rimanga connesso alla rete degli ospiti. Disattivate l’amministrazione remota da Internet a meno che non abbiate un motivo valido per mantenerla attiva. Tenete un inventario scritto di ogni dispositivo che gestisce i pagamenti, compresi tablet e dispositivi portatili, perché non è possibile proteggere ciò che nessuno ha elencato.
Prestate attenzione al computer del back office. Di solito è la macchina più vecchia dell’edificio, viene utilizzata per la pianificazione, le fatture, la posta elettronica e la navigazione personale, e spesso si trova sulla stessa rete piana dei registratori di cassa. Se un membro del personale apre un allegato infetto su quella macchina e i vostri registratori di cassa sono a un passo di distanza, la rete non ha fatto nulla per aiutarvi. Segmentatelo o sostituitelo.
I sistemi operativi obsoleti meritano una menzione a parte. I terminali POS che utilizzano versioni di Windows che hanno smesso di ricevere aggiornamenti di sicurezza anni fa sono ancora molto diffusi nel settore dell’ospitalità, e nessuna quantità di documentazione li rende conformi. Se il vostro fornitore di POS continua a fornire sistemi su un sistema operativo non più supportato, questo è un motivo per cambiare fornitore, non per definire un controllo compensativo.
Personale, skimmer e il problema degli ordini telefonici
Il requisito 9 riguarda la sicurezza fisica e, in un ristorante, si traduce in una breve routine che funziona davvero.
Tenete un inventario dei dispositivi con marca, modello e numero di serie, e controllate i terminali confrontandoli con esso. Un controllo settimanale alla ricerca di numeri di serie non corrispondenti, accessori sconosciuti, involucri allentati o cavi nuovi richiede due minuti e individua la stragrande maggioranza dei tentativi di skimming. Formate il personale affinché nessuno tocchi, sostituisca o effettui interventi di manutenzione su un terminale senza un appuntamento programmato che un responsabile abbia verificato chiamando il fornitore a un numero noto. Gli aggressori travestiti da tecnici rappresentano un metodo documentato ed efficace proprio perché il personale del settore ricettivo è addestrato a essere disponibile.
Anche il pagamento al tavolo è importante in questo contesto. Consegnare a un cliente un terminale wireless invece di allontanarsi con la sua carta elimina un’intera categoria di rischi, compreso lo skimming da parte del personale, e gli ospiti lo interpretano come un segno di professionalità piuttosto che di sospetto.
Poi c’è il problema del telefono. I ristoranti raccolgono costantemente i numeri delle carte al telefono, per prenotazioni di grandi importi, depositi, catering e protezione contro i no-show, e il numero viene scritto su un foglio di prenotazione, digitato in una nota di prenotazione o ripetuto ad alta voce in una stanza dotata di telecamera. I numeri delle carte scritti su un’agenda costituiscono una violazione delle norme PCI e una vera e propria responsabilità. La memorizzazione del codice di sicurezza a tre cifre dopo l’autorizzazione è vietata in modo assoluto, senza eccezioni. Sostituite questa pratica: inviate un link di pagamento sicuro, utilizzate una pre-autorizzazione ospitata dal vostro sistema di prenotazione oppure tokenizzate la carta nel momento stesso in cui viene registrata. Questo singolo cambiamento elimina più rischi reali nella maggior parte dei ristoranti rispetto a tutte le altre misure dell’elenco.
È inoltre obbligatorio un corso annuale di sensibilizzazione alla sicurezza, che non deve necessariamente essere complesso. Quindici minuti durante una riunione del personale dedicati a parlare di skimmer, a non condividere mai le credenziali di accesso, a non annotare mai i numeri delle carte e a chi avvisare immediatamente se qualcosa sembra sospetto, seguiti da un foglio di presenza firmato, soddisfano sia lo standard che il buon senso.
Quanto costa effettivamente la mancata conformità
Il costo visibile è esiguo, ed è proprio per questo che viene ignorato. I gestori dei pagamenti applicano una penale per la mancata conformità di circa 20-50 dollari al mese, quindi un gestore che non compila mai il questionario paga forse 400 dollari all’anno e la considera una voce di spesa fastidiosa.
Il costo a seguito di una violazione rientra in una categoria completamente diversa. Le valutazioni dei circuiti di carte, addebitate tramite il vostro acquirente, vanno comunemente da 5.000 a 100.000 dollari, in base al volume e alla durata dell’esposizione. Un’indagine forense condotta da un investigatore autorizzato è obbligatoria al superamento di determinate soglie e costa in genere da 10.000 a 50.000, a vostro carico. A ciò si aggiungono i costi di riemissione delle carte addebitati per ogni singola carta, le perdite dovute alle frodi e i costi operativi legati alla limitazione dell’utilizzo dei terminali durante la risoluzione del problema. Nell’UE e nel Regno Unito, occorre considerare anche l’obbligo di notifica previsto dal GDPR entro 72 ore e le conseguenti responsabilità normative.
Vale la pena stipulare un’assicurazione di responsabilità civile informatica e vale la pena leggerne le condizioni. Molte polizze contengono una clausola che richiede la conformità PCI, il che significa che un assicuratore può rifiutare una richiesta di risarcimento da parte di un commerciante che abbia firmato un’attestazione non veritiera. Un’autovalutazione non veritiera è peggiore della mancata autovalutazione, perché trasforma un errore tecnico in una falsa dichiarazione documentata.
C’è anche un costo meno evidente. Una violazione presso un ristorante di quartiere fa notizia a livello locale, e la fiducia che ci sono voluti anni a costruire con i clienti abituali non sopravvive a una lettera della loro banca che spiega dove la loro carta è stata compromessa.
La routine annuale e cosa fare questa settimana
Una volta che la configurazione è corretta, mantenere la conformità è un ciclo breve e ricorrente. Annualmente: compilare il SAQ corretto, firmare l’Attestazione di Conformità, caricarla sul portale del proprio gestore, rivedere e aggiornare la politica di sicurezza ed effettuare la formazione del personale. Ogni trimestre: esegui scansioni esterne delle vulnerabilità tramite un fornitore di scansione approvato (Approved Scanning Vendor) se disponi di sistemi esposti a Internet nell’ambito di applicazione, controlla il firmware e le patch e verifica chi ha accesso a cosa. Ogni settimana: verifica i terminali confrontandoli con l’inventario dei dispositivi. Ogni volta che un dipendente lascia il lavoro: rimuovi i suoi account lo stesso giorno; questo è il controllo in cui la maggior parte dei ristoranti fallisce e il più facile da correggere.
Se state partendo da zero, procedete in questo ordine. Chiamate il vostro gestore dei pagamenti e chiedete quale SAQ vi è stato assegnato e se i vostri terminali fanno parte di un elenco P2PE convalidato, poiché quella singola chiamata potrebbe far fallire l’intero processo. Redigete l’inventario dei dispositivi. Separate la rete Wi-Fi per gli ospiti dai dispositivi di pagamento. Modificate le password predefinite ovunque e assegnate a ogni persona le proprie credenziali di accesso. Smettete di annotare i numeri delle carte su carta e configurate invece link di pagamento o prelievi tokenizzati. Quindi compilate il questionario in modo onesto e considerate ogni domanda a cui non potete rispondere in modo veritiero come un’attività da svolgere piuttosto che una casella da spuntare.
Se fatto in questo ordine, si tratta di un pomeriggio di lavoro e di un profilo di rischio effettivamente più basso, piuttosto che di un semplice esercizio burocratico che non protegge nessuno. I ristoranti che subiscono danni sono raramente quelli che hanno letto lo standard e lo hanno trovato difficile. Sono quelli che hanno firmato il modulo senza nemmeno leggerlo.
Leggi anche: gestione dei chargeback nei ristoranticommissioni di elaborazione dei pagamenti e passaggio ai pagamenti senza contanti.
