Kategoria: Cyberbezpieczeństwo Kancelarii
Persona: właściciel kancelarii prawnej
Cel: uświadomienie problemu i pokazanie, że cyberbezpieczeństwo kancelarii nie jest wyłącznie problemem informatycznym
Powiązane szkolenie: Szkolenie z cyberbezpieczeństwa kancelarii
Główne CTA: Pobierz checklistę bezpieczeństwa kancelarii

Cyberbezpieczeństwo kancelarii zaczyna się nie od informatyka, ale od świadomości

Kancelaria prawna przechowuje coś, co dla cyberprzestępcy może być znacznie cenniejsze niż dane zwykłej firmy.

Informacje o klientach.

Umowy.

Dokumenty finansowe.

Dane osobowe.

Informacje dotyczące sporów.

Dokumentację przedsiębiorstw.

Dane pracowników.

Strategie procesowe.

Korespondencję.

Czasami również informacje, których ujawnienie może mieć dla klienta bardzo poważne konsekwencje.

Dlatego pytanie:

„Czy moja kancelaria jest zabezpieczona?”

nie powinno oznaczać wyłącznie:

„Czy mamy program antywirusowy?”

Cyberbezpieczeństwo kancelarii to znacznie więcej.

Obejmuje ludzi, procedury, urządzenia, pocztę elektroniczną, hasła, kopie zapasowe, dostęp do dokumentów, pracę zdalną, dostawców usług i sposób reagowania na incydent.

Co więcej, coraz częściej dochodzi do tego kolejny element:

sztuczna inteligencja.

Prawnik może dzisiaj korzystać z narzędzi AI do analizy dokumentów, redagowania tekstów czy organizacji pracy. To daje nowe możliwości, ale również stawia dodatkowe pytania dotyczące bezpieczeństwa i poufności informacji.

W tym artykule przyjrzymy się 10 zagrożeniom, które właściciel kancelarii powinien znać.

Nie po to, żeby wzbudzać strach.

Po to, żeby wiedzieć, co sprawdzić.

1. Phishing – wiadomość, która wygląda jak zwykły e-mail

Phishing jest jednym z najbardziej podstępnych zagrożeń, ponieważ nie wymaga włamania do kancelarii w klasycznym znaczeniu tego słowa.

Wystarczy, że ktoś da się przekonać.

Przykładowy scenariusz:

Do kancelarii przychodzi wiadomość wyglądająca jak e-mail od:

• klienta,
• banku,
• operatora płatności,
• dostawcy,
• sądu,
• kancelarii współpracującej,
• administratora systemu.

Wiadomość zawiera link.

Pracownik klika.

Pojawia się strona logowania.

Wpisuje login i hasło.

I właśnie wtedy dane dostępowe mogą trafić w ręce przestępcy.

Co jest szczególnie niebezpieczne?

Phishing nie musi wyglądać jak oczywiste oszustwo.

Wiadomość może być napisana poprawną polszczyzną i zawierać informacje pasujące do rzeczywistej sytuacji kancelarii.

Dlatego pracowników należy uczyć nie tylko:

„Nie klikaj podejrzanych linków.”

ale przede wszystkim:

„Zatrzymaj się i zweryfikuj, zanim wykonasz czynność, która może mieć konsekwencje dla bezpieczeństwa.”

2. Kradzież haseł

Hasło nadal może być jednym z najważniejszych kluczy do kancelarii.

Jeżeli ktoś zdobędzie dane dostępowe do:

• poczty,
• systemu dokumentów,
• platformy księgowej,
• chmury,
• systemu zarządzania kancelarią,
• konta administratora,

może uzyskać dostęp do informacji, których nie powinien widzieć.

Problem pojawia się szczególnie wtedy, gdy pracownik:

• używa tego samego hasła w wielu usługach,
• wybiera łatwe hasła,
• zapisuje hasła w niebezpieczny sposób,
• udostępnia dane logowania innym osobom.

Dlatego jedną z podstawowych zasad bezpieczeństwa powinno być stosowanie unikalnych haseł i odpowiednich mechanizmów zarządzania nimi.

3. Brak uwierzytelniania wieloskładnikowego

Samo hasło może nie wystarczyć.

Dlatego warto stosować MFA, czyli uwierzytelnianie wieloskładnikowe.

W uproszczeniu oznacza to, że oprócz hasła potrzebny jest jeszcze drugi element potwierdzający tożsamość użytkownika.

Może to być np.:

• aplikacja uwierzytelniająca,
• klucz bezpieczeństwa,
• inna metoda dostępna w danym systemie.

Wyobraźmy sobie sytuację:

Przestępca zdobył hasło pracownika.

Jeżeli konto nie ma dodatkowego zabezpieczenia, droga do konta może być znacznie prostsza.

Jeżeli MFA jest prawidłowo skonfigurowane, atakujący napotyka kolejną barierę.

Dlatego pytanie właściciela kancelarii powinno brzmieć:

„Czy najważniejsze konta w naszej kancelarii mają włączone MFA?”

A nie:

„Czy wszyscy mają silne hasła?”

Potrzebne są obie rzeczy.

4. Ransomware – dane kancelarii jako zakładnik

Ransomware to rodzaj złośliwego oprogramowania, które może doprowadzić do zaszyfrowania danych lub zablokowania dostępu do systemów.

Dla kancelarii konsekwencje mogą być szczególnie poważne.

Wyobraźmy sobie poniedziałkowy poranek.

Pracownik uruchamia komputer.

Nie może otworzyć dokumentów.

Nie działa dostęp do części systemów.

Pojawia się komunikat żądający zapłaty.

Problem nie ogranicza się wtedy do samego komputera.

Kancelaria może utracić dostęp do danych potrzebnych do bieżącej pracy.

Dlatego kopia zapasowa nie jest luksusem.

Jest jednym z elementów przygotowania kancelarii na sytuację awaryjną.

Ale samo zdanie:

„Mamy backup.”

nie powinno kończyć rozmowy.

Trzeba wiedzieć:

• czego dotyczą kopie,
• gdzie są przechowywane,
• kto ma do nich dostęp,
• jak często są wykonywane,
• czy można je odtworzyć,
• kiedy ostatnio przeprowadzono test odtworzenia.

Backup, którego nie da się odtworzyć, nie daje takiego bezpieczeństwa, jakiego właściciel kancelarii może oczekiwać.

5. Wycieki danych przez pocztę elektroniczną

E-mail jest jednym z podstawowych narzędzi pracy kancelarii.

I właśnie dlatego może być również źródłem problemów.

Wystarczy:

• wysłać wiadomość do niewłaściwego odbiorcy,
• dołączyć niewłaściwy dokument,
• pomylić adresy,
• przesłać dane bez odpowiedniego zabezpieczenia,
• przejąć konto użytkownika.

Czasami nie potrzeba żadnego zaawansowanego ataku.

Wystarczy zwykła pomyłka człowieka.

Dlatego kancelaria powinna mieć jasne zasady dotyczące wysyłania informacji i dokumentów.

Szczególnie tych zawierających dane klientów.

6. Nieaktualne oprogramowanie i urządzenia

Cyberbezpieczeństwo często kojarzy się z hakerem siedzącym przed komputerem.

Tymczasem problem może być znacznie bardziej banalny.

Nieaktualny:

• system operacyjny,
• przeglądarka,
• program,
• aplikacja,
• firmware urządzenia,

może zawierać znane podatności bezpieczeństwa.

Nie oznacza to, że każda nieaktualna aplikacja automatycznie prowadzi do włamania.

Oznacza jednak, że kancelaria nie powinna ignorować aktualizacji zabezpieczeń.

Właściciel powinien wiedzieć:

Kto w kancelarii odpowiada za aktualizacje?

Jeżeli odpowiedź brzmi:

„Nie wiem.”

to jest to już informacja, którą warto potraktować poważnie.

7. Praca zdalna na niezabezpieczonym urządzeniu

Praca z domu, hotelu czy innego miejsca stała się dla wielu kancelarii normalnością.

To wygodne.

Ale bezpieczeństwo nie powinno kończyć się wraz z opuszczeniem biura.

Ryzyko może pojawić się, gdy pracownik:

• korzysta z prywatnego komputera,
• używa niezabezpieczonej sieci,
• zostawia komputer bez blokady,
• korzysta ze współdzielonego urządzenia,
• zapisuje dokumenty lokalnie bez odpowiednich zabezpieczeń.

Dlatego kancelaria powinna posiadać jasne zasady dotyczące pracy poza biurem.

Nie wystarczy powiedzieć:

„Pracujcie z domu, tylko uważajcie.”

Potrzebne są konkretne reguły.

8. Zbyt szeroki dostęp pracowników do danych

To zagrożenie jest często pomijane.

Załóżmy, że kancelaria ma 10 pracowników.

Czy każdy z nich rzeczywiście powinien mieć dostęp do wszystkich dokumentów?

Niekoniecznie.

Bezpieczniejszym podejściem jest zasada:

Użytkownik powinien mieć dostęp tylko do tych informacji i systemów, których potrzebuje do wykonywania swoich obowiązków.

Jeżeli konto pracownika zostanie przejęte, ograniczenie uprawnień może ograniczyć również skalę potencjalnego problemu.

Warto więc regularnie sprawdzać:

• kto ma dostęp,
• do czego ma dostęp,
• dlaczego go ma,
• czy nadal go potrzebuje.

Szczególnie ważne jest to przy:

• zmianie stanowiska,
• odejściu pracownika,
• zakończeniu współpracy z zewnętrznym współpracownikiem.

9. Niebezpieczne korzystanie z narzędzi AI

To zagadnienie zasługuje dzisiaj na osobne miejsce.

Prawnik może chcieć wykorzystać AI do:

• streszczenia dokumentu,
• analizy umowy,
• przygotowania projektu pisma,
• uporządkowania informacji,
• researchu,
• przygotowania pytań.

I właśnie tutaj może pojawić się pytanie:

Czy mogę wkleić do narzędzia AI informacje dotyczące mojego klienta?

Nie należy odpowiadać automatycznie:

„tak” albo „nie”.

Trzeba sprawdzić konkretne narzędzie, sposób jego konfiguracji, zasady przetwarzania danych, warunki dostawcy oraz charakter informacji.

Szczególną ostrożność należy zachować przy:

• danych osobowych,
• informacjach poufnych,
• tajemnicy zawodowej,
• dokumentach klientów,
• informacjach dotyczących trwających spraw.

AI może być bardzo użytecznym narzędziem.

Ale:

„AI jest bezpieczna” nie jest wystarczającą informacją.

Pytanie powinno brzmieć:

„Czy ten konkretny sposób użycia tego konkretnego narzędzia jest odpowiedni dla tej konkretnej informacji?”

To zupełnie inny poziom myślenia o bezpieczeństwie.

10. Brak planu działania po incydencie

To jeden z najważniejszych problemów.

Kancelaria może posiadać:

• antywirusa,
• backup,
• MFA,
• dobre hasła,
• zabezpieczoną pocztę.

A mimo to może dojść do incydentu.

Co wtedy?

Kto podejmuje decyzję?

Kto kontaktuje się z administratorem IT?

Kto zabezpiecza urządzenie?

Kto ocenia zakres zdarzenia?

Kto dokumentuje incydent?

Kto sprawdza obowiązki prawne?

Kto odpowiada za komunikację?

Jeżeli odpowiedź brzmi:

„Zastanowimy się, kiedy coś się wydarzy.”

to właśnie jest problem.

W sytuacji kryzysowej ludzie działają pod presją.

Dlatego procedury warto przygotować zanim wydarzy się incydent.

10 zagrożeń — szybka checklista

Sprawdź swoją kancelarię:

Jeżeli przy kilku pytaniach zaznaczyłeś „NIE”, nie oznacza to automatycznie, że kancelaria jest zagrożona.

Oznacza natomiast, że znalazłeś obszary, które warto przeanalizować.

Największym zagrożeniem może być przekonanie, że „nas to nie dotyczy”

Właściciel małej kancelarii może pomyśleć:

„Przecież nie jesteśmy dużą korporacją. Kto miałby nas atakować?”

To zrozumiałe.

Ale bezpieczeństwo nie powinno opierać się na założeniu, że kancelaria jest zbyt mała, żeby zainteresować cyberprzestępcę.

Kancelaria może posiadać informacje wartościowe niezależnie od swojej wielkości.

Co więcej, przestępca nie zawsze musi wcześniej „wybrać kancelarię”.

Atak może być częścią większej kampanii, w której automatycznie wyszukiwane są podatne konta, urządzenia czy systemy.

Dlatego lepsze pytanie brzmi:

„Co stanie się, jeżeli jutro ktoś uzyska dostęp do naszego najważniejszego konta?”

A następnie:

„Czy jesteśmy przygotowani na taki scenariusz?”

Cyberbezpieczeństwo to nie tylko technologia

To chyba najważniejszy wniosek z całego artykułu.

Można kupić bardzo dobre rozwiązania techniczne i nadal mieć słabo zabezpieczoną kancelarię.

Dlaczego?

Bo bezpieczeństwo tworzą trzy elementy:

LUDZIE

Czy wiedzą, jak rozpoznać zagrożenie?

PROCEDURY

Czy wiedzą, co zrobić?

TECHNOLOGIA

Czy systemy pomagają ograniczyć ryzyko?

Jeżeli zabraknie któregoś z tych elementów, powstaje luka.

Dlatego szkolenie pracowników nie jest dodatkiem do cyberbezpieczeństwa.

Jest jego częścią.

Co właściciel kancelarii może zrobić już dzisiaj?

Nie trzeba od razu tworzyć wielkiego projektu informatycznego.

Zacznij od pięciu pytań:

1. Kto odpowiada za cyberbezpieczeństwo kancelarii?

2. Czy najważniejsze konta są zabezpieczone MFA?

3. Czy mamy sprawdzone kopie zapasowe?

4. Czy pracownicy wiedzą, jak reagować na podejrzaną wiadomość?

5. Czy wiemy, co zrobimy, jeżeli jutro dojdzie do incydentu?

Jeżeli na któreś pytanie nie znasz odpowiedzi, właśnie znalazłeś obszar do sprawdzenia.

Pobierz checklistę bezpieczeństwa kancelarii

Cyberbezpieczeństwo trudno ocenić wyłącznie na podstawie ogólnego wrażenia.

Dlatego przygotowaliśmy checklistę bezpieczeństwa kancelarii, która może pomóc uporządkować podstawowe obszary wymagające sprawdzenia.

Możesz przejść przez nią razem z osobą odpowiedzialną za IT albo wykorzystać ją jako punkt wyjścia do wewnętrznej rozmowy w kancelarii.

[POBIERZ BEZPŁATNĄ CHECKLISTĘ BEZPIECZEŃSTWA KANCELARII]

Nie chodzi o to, aby zaznaczyć wszystkie pola na zielono.

Chodzi o to, aby wiedzieć:

co jest zabezpieczone,

co wymaga poprawy,

i kto powinien się tym zająć.

Chcesz przygotować kancelarię na realny incydent?

Sama checklista to dopiero początek.

Bezpieczeństwo kancelarii wymaga również wiedzy o tym:

• jak rozpoznawać zagrożenia,
• jak reagować na phishing,
• jak zabezpieczać konta,
• jak przygotować kopie zapasowe,
• jak postępować po incydencie,
• jak szkolić pracowników,
• jak bezpiecznie pracować zdalnie,
• jak podejść do korzystania z narzędzi AI,
• jak ograniczać ryzyko wycieku informacji.

Dlatego Partner Prawny przygotował szkolenie z cyberbezpieczeństwa kancelarii, którego celem jest przełożenie zasad bezpieczeństwa na codzienną praktykę kancelarii.

[ZOBACZ SZKOLENIE Z CYBERBEZPIECZEŃSTWA KANCELARII]

Podsumowanie: 10 zagrożeń, o których warto pamiętać

Jeżeli mielibyśmy skrócić cały artykuł do jednej listy, wyglądałaby ona tak:

1. Phishing

2. Kradzież haseł

3. Brak MFA

4. Ransomware

5. Wycieki przez pocztę elektroniczną

6. Nieaktualne oprogramowanie

7. Niezabezpieczona praca zdalna

8. Zbyt szerokie uprawnienia

9. Niebezpieczne korzystanie z AI

10. Brak planu reakcji na incydent

Ale jest jeszcze 11. zagrożenie, którego nie umieściłem na początku listy celowo:

brak świadomości.

Bo nawet najlepsze zabezpieczenia techniczne nie zastąpią człowieka, który potrafi rozpoznać podejrzaną wiadomość, wie, że nie powinien przekazywać poufnych informacji przypadkowemu narzędziu i wie, co zrobić, kiedy wydarzy się coś nietypowego.

Cyberbezpieczeństwo kancelarii nie zaczyna się więc od zakupu kolejnego programu.

Zaczyna się od wiedzy, zasad i przygotowania.

Partner Prawny

Praktyczna wiedza dla nowoczesnej kancelarii.

AI • Cyberbezpieczeństwo • Technologie • Nowoczesna kancelaria • Produktywność

Materiał ma charakter edukacyjny i informacyjny. Nie stanowi audytu bezpieczeństwa, porady prawnej ani indywidualnej oceny zabezpieczeń konkretnej kancelarii. W przypadku rzeczywistego incydentu bezpieczeństwa należy skorzystać z odpowiedniej pomocy specjalistycznej oraz ocenić obowiązki wynikające z właściwych przepisów i charakteru zdarzenia.