Według badań BlueVoyant, firmy zajmującej się cyberbezpieczeństwem, w I kwartale 2020 roku każda większa kancelaria prawna na świecie zetknęła się z jakąś formą ataku hakerskiego. W wypadku 15% spółek działania te zakończył się powodzeniem i doprowadziły do poważnego naruszenia bezpieczeństwa przechowywanych danych, natomiast w ponad połowie kancelarii zaobserwowano podejrzane aktywności, w tym wykryto obecność złośliwego oprogramowania na wykorzystywanych przez nie serwerach proxy. Dlatego też eksperci ds. cyberbezpieczeństwa z różnych krajów coraz powszechniej wzywają do uznania firm prawniczych za dostawców usług kluczowych dla zapewnienia bezpieczeństwa narodowego.
Problem potwierdzają upublicznione niedawno dane organizacji Solicitors Regulation Authority, która zrzesza firmy prawnicze w Wielkiej Brytanii. Okazało się, że wiosną 2020 roku – w dwóch pierwszych miesiącach po ogłoszeniu lockdownu – liczba oszustw phishingowych w brytyjskich firmach prawniczych wzrosła o 300%. Z kolei w I połowie 2020 roku kancelarie z tego kraju zgłosiły, że cyberprzestępcy skradli im 2,5 mln funtów, czyli ponad trzykrotnie więcej niż w tym samym okresie rok wcześniej.
Kancelarie nie są przygotowane na cyberataki
Kancelarie prawne stały się w ostatnich latach atrakcyjnym celem dla cyberprzestępców, głównie z tego powodu, iż mają one dostęp do wielu wrażliwych informacji oraz pieniędzy swoich klientów. Niestety, wiele z tych organizacji stosuje niewystarczające praktyki i procedury w zakresie bezpieczeństwa IT, uważają przedstawiciele Amberlo, firmy tworzącej oprogramowanie wspomagające zarządzanie kancelarią prawną. I tak według nich, kancelarie dysponują zazwyczaj pakietem dokumentów, które zapewniają im zgodność z RODO, jeśli jednak spytać je, w jaki konkretnie sposób chronią one dane i co muszą zrobić w przypadku naruszenia bezpieczeństwa, prowadzi to najczęściej do kłopotliwego milczenia.
“Po wdrożeniu polityki RODO rzadko dochodzi do zmian w używanej infrastrukturze lub oprogramowaniu. Często prawnicy korzystają ze standardowego sprzętu sieciowego dostarczonego przez ich dostawcę usług internetowych. Ten sprzęt ma znane backdoory, które osoby atakujące mogą łatwo wykorzystać, aby dostać się do sieci firmy prawniczej” – mówi Aidas Kavaliauskas, specjalista Amberlo. „Czasami znajdujemy przestarzałe wersje systemu Windows, niezaszyfrowane dyski na komputerach i wyłączone zapory. Ponadto niektórzy prawnicy używają zewnętrznych dysków twardych jako urządzeń do tworzenia kopii zapasowych. Bardzo często te dyski nie są szyfrowane ani chronione hasłem” – dodaje.
Istotne kwestie związane z bezpieczeństwem
Niepokojącą kwestią jest fakt, iż prawnicy wybierający dedykowane dla ich branży oprogramowanie, praktycznie nie zwracają uwagi na kwestie związane z bezpieczeństwem, wskazują przedstawiciele Amberlo. Jak się okazuje, problem ten nie dotyczy wyłącznie polskich firm prawniczych, ale także i tych z innych krajów UE oraz Ameryki Północnej. Tymczasem – zdaniem ekspertów – regułą powinny być pytania o takie kwestie, jak np. gdzie są przechowywane i w jaki sposób są przetwarzane dane gromadzone w aplikacji? Jaka infrastruktura jest używana i jak jest chroniona? Czy są używane zapory sieciowe? Czy każdy serwer jest odizolowany od innych serwerów? Czy jest używana aktywna ochrona, która ostrzega o nietypowym zachowaniu? Czy wszystkie hasła są zaszyfrowane? Czy dostawca może zagwarantować, że hasła użytkowników końcowych są szyfrowane? Jak często są wykonywane kopie zapasowe? Czy są one zaszyfrowane i przechowywane w oddzielnej fizycznej lokalizacji? Wreszcie, kto z personelu dostawcy może uzyskać dostęp do systemu?
Te pytania nie padają, bo dla znacznej części firm prawniczych nie są to niestety istotne kwestie. „Aby zmienić tę sytuację, musimy mieć standardy bezpieczeństwa dla firm technologicznych i kancelarii prawnych. Powinien istnieć proces certyfikacji i zbiór wskazówek dla firm prawniczych i klientów kancelarii prawnych, który ułatwiłby im wybór odpowiedniego usługodawcy, zadawanie właściwych pytań i upewnianie się, że wrażliwe informacje są odpowiednio zarządzane. I lepiej, żeby stało się to wcześniej, niż później” – wskazuje Aidas Kavaliauskas.
Po upublicznieniu swoich badań dot. wzrostu ataków na firmy prawnicze, z podobnym wezwaniem wystąpiła także firma BlueVoyant. Zaapelowała ona do władz amerykańskich, aby sektor prawny został zdefiniowany jako kluczowy dla zabezpieczenia infrastruktury krajowej. Przedstawiciele firmy podkreślili, że choć z pozoru branża wydaje się mała w porównaniu do operatorów telekomunikacyjnych czy dostawców innej krytycznej infrastruktury, to jednak ujawniane od czasu do czasu wyniki włamań w firmach prawniczych potrafią wstrząsnąć rynkiem.
Jak szybko poprawić poziom bezpieczeństwa?
Eksperci, którzy doradzający małym i średnim kancelariom prawnym, chcącym poprawić szybko poziom bezpieczeństwa przechowywanych danych, proponują, aby przeszły one całkowicie do chmury. Wtedy, nawet jeśli cyberprzestępca dostanie się do sieci wewnętrznej, nie znajdzie w niej nic wartościowego, bo wszystkie ważne dane będą przechowywane w chmurze. Dodatkowo łatwiej będzie zabezpieczyć urządzenia używane przez pracowników kancelarii prawnych, co jest szczególnie ważne w dobie coraz powszechnej pracy zdalnej.
Jak wskazują specjaliści Amberlo, warto także pamiętać, że natychmiast po migracji do chmury, odpowiedzialność za ochronę danych dzielona jest z dostawcą chmury, co oznacza, że w wypadku naruszenia danych firmy ponoszą mniejszą szkodę. Poza tym, najwięksi dostawcy usług chmurowych – jak Amazon, Google czy Microsoft – wydają miliardy na cyberbezpieczeństwo. Większość kancelarii nie może sobie pozwolić nawet na ułamek takich wydatków.
