Jakie kroki mogą podjąć Kancelarie Prawne, aby chronić swoje poufne dane?

Według badania PwC Law Firms’ Survey z 2017 r. większość brytyjskich kancelarii prawnych padła w ubiegłym roku ofiarą cyberataku - prawie 40% firm zgłosiło zakłócenia w ich działalności wynikające z tego powodu. 30% firm twierdzi, że incydenty bezpieczeństwa są wykrywane raz w tygodniu lub raz w miesiącu, a aż 12% firm wykrywa zagrożenia codziennie. Kancelarie prawne są głównym celem cyberprzestępców, ponieważ przechowują duże ilości wrażliwych danych osobowych/biznesowych/finansowych swoich klientów, a dane te są bardzo cenne. Ataki phishingowe - rodzaj ataku socjotechnicznego, w którym osoba atakująca podszywa się pod zaufaną jednostkę w celu kradzieży danych - były najczęstszym rodzajem incydentów związanych z bezpieczeństwem.

16% firm nie ma planu reagowania na incydenty, a spośród tych, które je posiadają, tylko 75% okresowo testuje swoje plany, aby potwierdzić ich skuteczność. Nadchodzące RODO bez wątpienia zachęci firmy do opracowania planu reagowania na incydenty i ustanowienia jasnego, skoordynowanego programu proaktywnego radzenia sobie z zagrożeniami bezpieczeństwa. 70% firm ukończyło już w tym roku ocenę ryzyka RODO - w porównaniu z 13% w 2016 r. Pozostałe 30% firm stwierdziło, że planuje przeprowadzić ocenę ryzyka RODO w ciągu najbliższych sześciu miesięcy.

„większość brytyjskich firm prawniczych padła w ubiegłym roku ofiarą cyberataku.”

Biorąc pod uwagę, że kancelarie prawne często doradzają swoim klientom w kwestiach związanych z ochroną danych, stawka jest bardzo wysoka. Jeżeli kancelaria prawna padnie ofiarą poważnego cyberataku, w wyniku którego nastąpi utrata poufnych danych klientów, może to mieć bardzo szkodliwy wpływ na reputację firmy. Nie zapominajmy też o potencjalnych kosztach. Według raportu Kaspersky Lab: „W 2017 r. średni koszt naruszenia bezpieczeństwa danych w Ameryce Północnej wynosi 1,3 miliona dolarów w przypadku przedsiębiorstw i 117 000 dolarów w przypadku małych i średnich przedsiębiorstw (SMB)”. W obecnej sytuacji kancelarie prawne mają obowiązek przestrzegać zarówno ustawy o ochronie danych (DPA), jak i ustawy o radcach prawnych (SRA), która ma na celu ochronę poufności danych klientów.

Tworzenie kultury bezpieczeństwa

Sama technologia nie wystarczy do ochrony wrażliwych danych firmy. Pierwszym krokiem do rozwiązania tego problemu jest zrozumienie, że błąd ludzki jest największym zagrożeniem dla bezpieczeństwa cybernetycznego, z jakim borykają się organizacje. Według raportu Lloyd’s of London 49% menedżerów IT i 14% organizacji uważa, że insiderzy stanowią największe zagrożenie dla bezpieczeństwa ich sieci. Mimo to tylko 60% organizacji posiada obowiązkowy program szkoleniowy mający na celu edukowanie pracowników w zakresie bezpieczeństwa IT.

Poniżej znajduje się kilka wskazówek, jak firmy prawnicze mogą stworzyć kulturę bezpieczeństwa:

Regularnie rozmawiaj z pracownikami o cyberbezpieczeństwie

Ważne jest, aby zachować świeżość w pamięci pracowników. Musisz wyjaśnić potencjalny wpływ naruszenia bezpieczeństwa i upewnić się, że pracownicy mają obowiązki w zakresie bezpieczeństwa - szczególnie w odniesieniu do korzystania z urządzeń mobilnych. Organizuj spotkania i dyskusje na temat różnych typów cyberataków oraz odwołuj się do artykułów prasowych/studiów przypadków. Jeśli możesz, postaraj się, aby było to zabawne i satysfakcjonujące. Na przykład regularnie sprawdzaj wiedzę swoich pracowników i nagradzaj ich, jeśli osiągają dobre wyniki.

Zapewnij przeszkolenie kadry kierowniczej/menedżerów

Jak można się spodziewać, kadra kierownicza i menedżerowie są głównym celem cyberprzestępców, ponieważ mają większy dostęp do dużych ilości wrażliwych danych. Mają władzę wprowadzania krytycznych zmian w sieci, a potencjalne korzyści finansowe związane z dotarciem do dyrektora będą prawdopodobnie większe.

Wyjaśnij swoim pracownikom, że system jest tak bezpieczny, jak najsłabsze ogniwo

Ważne jest, aby zrozumieć, że ludzie popełniają błędy. Będziesz zatem musiał zachęcać pracowników do współpracy w zapewnianiu bezpieczeństwa systemu i stworzyć politykę obejmującą wszystkie możliwe wektory ataków. Pracownicy powinni być dobrze poinformowani o tym, jak zarządzać swoimi hasłami i dbać o ich bezpieczeństwo.

Dlaczego ważne jest rozpoznanie inżynierii społecznej?

Należy uświadomić pracownikom zagrożenia związane z niechcianymi wiadomościami e-mail, mediami społecznościowymi i linkami do nieznanych blogów/stron internetowych. Wiele ataków rozpoczyna się od rozmowy telefonicznej od osoby atakującej udającej pracownika, która próbuje zebrać informacje o firmie, personelu i operacjach.

Szkolej pracowników, jak rozpoznawać ataki i reagować na nie

Będziesz potrzebować planu reagowania na incydenty, który będzie zawierał jasne instrukcje krok po kroku dla pracowników, których powinni przestrzegać w przypadku podejrzenia naruszenia. Przeciętny pracownik nie może łatwo zidentyfikować wielu ataków wewnętrznych. Bez dostępu do dzienników serwera nie będą w stanie wykryć niewłaściwego użycia uprawnień, podejrzanej aktywności plików i folderów, nieudanych prób logowania, modyfikacji/usunięcia konta i innych.

Jednakże przeszkolenie personelu w zakresie wykrywania inżynierii społecznej byłoby kluczowym krokiem w kierunku zabezpieczenia systemu. Na przykład, aby wykryć wiadomości e-mail phishingowe, pracownicy będą musieli wykryć fałszywą nazwę wyświetlaną, sprawdzić nieznane linki, najeżdżając na nie kursorem, zwracać uwagę na błędy ortograficzne i sprawdzać podpisy w wiadomościach e-mail. Powinni także zwracać uwagę na słowa takie jak „pilne” lub bezosobowe zwroty, takie jak „Szanowny Kliencie”. Muszą unikać podawania danych osobowych i pobierania załączników i ogólnie podchodzić do wszystkiego bardzo sceptycznie!

Szkolenie powinno informować pracowników o szczegółowych zasadach dotyczących poczty, przeglądania stron internetowych, mediów społecznościowych i innych. Jeśli pracownik zauważy coś podejrzanego lub zgubi urządzenie mobilne, na którym znajdują się poufne dane, ma obowiązek natychmiast powiadomić administratora. Szczegóły dotyczące zgłaszanych incydentów również muszą być łatwo dostępne. Pracownicy mogą być zmuszeni fizycznie odłączyć swoją maszynę od sieci, jeśli czują, że mogą zostać zaatakowani. Nie kpij ani nie zniechęcaj pracownika do nadmiernej ostrożności podczas podnoszenia czerwonej flagi. W końcu zawsze lepiej się zabezpieczyć, niż żałować.

Miej wdrożoną strategię PR

Jeśli zdarzy się incydent, nie chcesz, aby Twoi pracownicy komunikowali się ze społeczeństwem lub prasą, dopóki nie zostaną w pełni poinformowani o szczegółach zdarzenia. Oczywiście nie chcesz tuszować incydentów, ale nie chcesz też, aby krążyły fałszywe informacje, ponieważ mogłoby to poważnie zaszkodzić reputacji Twojej organizacji. Będziesz musiał odpowiednio przeszkolić swój personel. Dodatkowo powinieneś posiadać jakąś formę cyberubezpieczenia.

Poznaj swoje dane!

Kancelarie prawne będą musiały zainwestować pieniądze w zaawansowane rozwiązanie audytowe, takie jak Lepide Data Security Platform, aby skutecznie monitorować zagrożenia wewnętrzne. To szczególne rozwiązanie umożliwia organizacjom automatyczne wykrywanie, ostrzeganie i reagowanie na podejrzane zdarzenia w czasie rzeczywistym. Kluczowe jest utrzymanie dostępu „najmniejszych uprawnień” poprzez wyświetlanie bieżących uprawnień do udostępnionych plików i folderów oraz przynależności do grup bezpieczeństwa w wybranym momencie, a także pokazywanie zmian uprawnień. Organizacje będą musiały otrzymywać powiadomienia o dodaniu użytkowników do uprzywilejowanych grup zabezpieczeń i mieć możliwość dostarczania kompleksowego zestawu raportów w razie potrzeby.

Zarządzaj użytkownikami

Ponadto będą musieli mieć możliwość wykrywania, ostrzegania i reagowania na podejrzaną aktywność w plikach i folderach - na podstawie pojedynczego zdarzenia lub warunku progowego. Muszą być w stanie wykryć modyfikację/usunięcie konta użytkownika, aby mieć pewność, że konta użytkowników nie są tworzone bez powodu lub nie otrzymują nadmiernych uprawnień. Pomocne może być także wyświetlenie historii uprawnień konta użytkownika.

Zarządzaj nieaktywnymi kontami

Jeśli pracownik odejdzie z firmy lub po prostu przeniesie się do innego działu, bardzo ważna będzie możliwość automatycznego wykrywania i zarządzania nieaktywnymi kontami użytkowników. Umożliwi firmom automatyzację działań, takich jak usuwanie, przenoszenie czy modyfikacja.

Alerty i reakcja

Jak wspomniano wcześniej, ataki phishingowe były najczęstszym rodzajem incydentów związanych z bezpieczeństwem. Dlatego ważne jest śledzenie dostępu do uprzywilejowanych skrzynek pocztowych i używanie alertów progowych w celu wykrycia wszelkich działań, które mogą stanowić atak oprogramowania ransomware. Na przykład, jeśli w wybranym przedziale czasu zostanie dokonanych predefiniowana liczba Y zmian, możesz wyzwolić alert i wykonać niestandardowy skrypt. Możesz użyć niestandardowego skryptu, aby wyłączyć konto użytkownika, zatrzymać określony proces, zmienić ustawienia zapory lub całkowicie zamknąć system. Nie zapobiegnie to uruchomieniu oprogramowania ransomware, ale przynajmniej zminimalizuje szkody, jakie może spowodować. Podobnie alarmowanie progowe może zostać wykorzystane do zidentyfikowania nieprawidłowego niepowodzenia logowania użytkownika. Na koniec warto zautomatyzować proces przypominania użytkownikom o konieczności zresetowania hasła, gdy zbliża się termin jego wygaśnięcia. Jeśli hasła nie będą regularnie zmieniane, nieuchronnie zwiększy to powierzchnię ataku.

Naturalnie, kancelaria prawna, która ma swój dom w porządku, będzie w stanie lepiej doradzać swoim klientom w kwestiach związanych z cyberbezpieczeństwem. Musisz zacząć od wyjaśnienia swoim klientom ich kluczowych obowiązków i zaoferowania praktycznych porad, jak wdrożyć rozwiązania bezpieczeństwa. Powinieneś poprosić swoich klientów o przeprowadzenie kompleksowego audytu ich obecnego systemu zarówno pod kątem przepisów DPO, jak i RODO. Poinformuj ich o znaczeniu szkoleń w zakresie zagadnień związanych z ochroną danych i upewnij się, że dysponują wyrafinowanym zestawem narzędzi audytowych, które pozwolą im określić, „kto, co, gdzie i kiedy” wprowadzane są zmiany w ich kluczowych danych.