Kancelarie zarządzają bardzo wrażliwymi danymi klientów i są związane tajemnicą zawodową – udany atak to nie tylko problem IT, ale kwestia odpowiedzialności prawnej. Dobra wiadomość: najskuteczniejsze zabezpieczenia to nie wielkie projekty. Oto pięć rzeczy, które u klientów z kancelarii wdrażam w pierwszej kolejności. Potem pokazuję, jakie obowiązki IT nakładają na kancelarię niemieckie prawo zawodowe i RODO.
1. Włącz wszędzie uwierzytelnianie dwuskładnikowe
Skradzione hasła to najczęstsza droga ataku. Z drugim składnikiem – potwierdzeniem w aplikacji lub kluczem sprzętowym – skradzione hasło staje się praktycznie bezwartościowe. Priorytet: konta e-mail, Microsoft 365, oprogramowanie kancelaryjne i VPN. To kilka godzin pracy, a zysk bezpieczeństwa jest ogromny.
Chcesz zająć się tym w swojej firmie?
Napisz krótko albo zadzwoń. Odezwę się w dni robocze w ciągu 24 godzin.
2. Instaluj aktualizacje konsekwentnie i szybko
Większość udanych ataków wykorzystuje luki, na które od dawna istnieją poprawki. Windows, oprogramowanie kancelaryjne, przeglądarki, routery i systemy NAS potrzebują stałego rytmu aktualizacji – najlepiej zautomatyzowanego i monitorowanego, aby żadne urządzenie nie zostało pominięte.
3. Kopie zapasowe według reguły 3-2-1
Nowoczesny ransomware celowo szyfruje także dostępne kopie zapasowe. Dlatego: trzy kopie danych, na dwóch różnych nośnikach, z czego jedna poza siedzibą i odłączona od sieci. Równie ważne: regularnie testuj odtwarzanie. Kopia zapasowa, której nigdy nie przetestowano, to tylko nadzieja.
4. Szkol zespół z rozpoznawania phishingu
Najlepsza technologia nie pomoże, jeśli łudząco prawdziwy 'e-mail od klienta' skłoni do kliknięcia. Krótkie, regularne szkolenia na prawdziwych przykładach drastycznie obniżają liczbę kliknięć. Kluczowa jest kultura, w której podejrzane wiadomości zgłasza się od razu i bez obwiniania.
5. Sprawdź szyfrowanie i uprawnienia dostępu
Laptopy i smartfony powinny być w pełni zaszyfrowane (BitLocker jest częścią Windows Pro), a komunikacja z klientami e-mailem – przynajmniej z szyfrowaniem transportowym. Wewnątrz obowiązuje zasada need-to-know: nie każda osoba w kancelarii potrzebuje dostępu do każdej sprawy. Czyste uprawnienia ograniczają szkody, gdyby jednak doszło do przejęcia konta.
Jakie obowiązki IT ma kancelaria w Niemczech?
Pięć działań opisanych wyżej to dobra praktyka. Część z nich jest jednak dla kancelarii po prostu obowiązkiem, bo niemieckie prawo zawodowe, prawo karne i przepisy o ochronie danych stawiają IT konkretne wymagania. Poniższy przegląd omawia najważniejsze przepisy z perspektywy praktyki IT i nie zastępuje oceny prawnej w konkretnym przypadku.
- Tajemnica zawodowa (§ 43a ust. 2 BRAO, § 203 StGB): obowiązek zachowania tajemnicy obejmuje wszystko, czego dowiadujesz się, wykonując zawód, a więc także wszystkie akta na serwerze i każdy e-mail w skrzynce. Pracowników musisz zobowiązać do zachowania tajemnicy w formie tekstowej i pouczyć o karnych skutkach jej naruszenia. Nieuprawnione ujawnienie tajemnicy klienta jest przestępstwem z § 203 niemieckiego kodeksu karnego (StGB).
- Zewnętrzni usługodawcy IT (§ 43e BRAO, § 203 ust. 3 i 4 StGB): od reformy z 2017 roku § 43e niemieckiej ustawy o adwokaturze określa, kiedy możesz dać usługodawcom, takim jak obsługa IT, zdalny serwis czy dostawca chmury, dostęp do tajemnic klientów: tylko w zakresie potrzebnym do wykonania usługi. Usługodawcę trzeba starannie wybrać, a umowa z nim wymaga formy tekstowej. Musi ona zobowiązywać go do zachowania tajemnicy wraz z pouczeniem o skutkach karnych, ograniczać dostęp do niezbędnego minimum i określać, czy może angażować kolejne osoby, np. podwykonawców. Jeśli usługa jest świadczona za granicą, ochrona tajemnicy musi tam być porównywalna z niemiecką. Jeśli tego zobowiązania zabraknie, a osoba współpracująca później ujawni tajemnicę, na podstawie § 203 ust. 4 StGB odpowiedzialność karna może grozić także Tobie.
- Bezpieczeństwo przetwarzania (art. 32 RODO): RODO wymaga środków technicznych i organizacyjnych odpowiednich do ryzyka i uwzględniających stan wiedzy technicznej. Wprost wymienia m.in. szyfrowanie, zdolność do szybkiego przywrócenia danych po incydencie oraz regularne testowanie skuteczności tych środków. Jeśli usługodawca IT podczas serwisu lub zdalnej pomocy może mieć dostęp do danych osobowych, niemieckie organy ochrony danych traktują to jako powierzenie przetwarzania. Wtedy potrzebna jest także umowa powierzenia zgodna z art. 28 RODO.
- beA (§ 31a ust. 6 BRAO, § 130d ZPO): od 2018 roku musisz utrzymywać sprzęt i oprogramowanie potrzebne do obsługi specjalnej elektronicznej skrzynki adwokackiej (beA) i zapoznawać się z doręczeniami, które do niej trafiają. Od 2022 roku adwokaci co do zasady składają pisma do sądów elektronicznie, w procesie cywilnym na podstawie § 130d niemieckiego kodeksu postępowania cywilnego, w innych postępowaniach według podobnych zasad. Gdy technika chwilowo zawodzi, można złożyć pismo tradycyjną drogą, ale awarię trzeba uprawdopodobnić. Czytnik kart, który przestaje działać w dniu upływu terminu, to więc coś więcej niż problem IT.
Co to oznacza dla codziennej pracy IT w kancelarii
Z tych obowiązków wynika kilka stałych rutyn. Dużą część pokrywa już pięć działań opisanych wyżej, reszta to organizacja i dokumentacja, która i tak należy do stałej opieki nad bezpieczeństwem IT.
- Z każdym usługodawcą IT, który ma dostęp do Twoich systemów, zawrzyj umowę o zachowaniu tajemnicy zgodną z § 43e BRAO oraz umowę powierzenia przetwarzania danych. Dotyczy to także zdalnego serwisu, przechowywania danych w chmurze i wsparcia oprogramowania kancelaryjnego.
- Zobowiąż wszystkich pracowników do zachowania tajemnicy w formie tekstowej, także praktykantów i osoby pomagające dorywczo, i przechowuj te oświadczenia.
- W przypadku usług chmurowych sprawdź, gdzie przetwarzane są dane i jacy podwykonawcy biorą w tym udział.
- Przetestuj beA na każdym stanowisku, na którym pracuje się z terminami: karta lub certyfikat programowy, czytnik kart, aktualna wersja beA Client Security, uprawnienia pracowników i zastępców. Ustal też, kto codziennie sprawdza skrzynkę odbiorczą.
- Udokumentuj środki techniczne i regularnie je weryfikuj, na przykład raz w roku; art. 32 RODO wprost wymienia taką procedurę. Pierwszy przegląd daje bezpłatny test bezpieczeństwa IT z dziesięcioma pytaniami.
W większości kancelarii te pięć działań można wdrożyć w kilka dni – pokrywają one najczęstsze drogi ataku. Jeśli chcesz wiedzieć, na jakim etapie jest Twoja kancelaria, przeprowadzam zwięzły audyt i priorytetyzuję działania według ryzyka i nakładu.