Ασφάλεια γραφείου: αντίγραφα ασφαλείας και κωδικοί

Για ένα δικηγορικό γραφείο, η βασική ασφάλεια στηρίζεται σε τέσσερα πράγματα: αντίγραφα ασφαλείας που δοκιμάζονται, μοναδικοί ισχυροί κωδικοί σε διαχειριστή κωδικών, έλεγχος ταυτότητας δύο παραγόντων παντού, και εκπαίδευση όλων στο ηλεκτρονικό ψάρεμα. Δεν χρειάζεται τμήμα πληροφορικής· χρειάζεται πειθαρχία και μια λίστα ελέγχου. Το άρθρο αποτελεί μέρος του οδηγού Ψηφιακό δικηγορικό γραφείο.

Αντίγραφα ασφαλείας: ο κανόνας 3-2-1

• 3 αντίγραφα των δεδομένων (το πρωτότυπο και δύο αντίγραφα).
• 2 διαφορετικά μέσα (π.χ. cloud και εξωτερικός δίσκος).
• 1 αντίγραφο εκτός γραφείου και αποσυνδεδεμένο ή αμετάβλητο, ώστε να μην το κρυπτογραφήσει ένα ransomware.

Αν χρησιμοποιείτε λογισμικό cloud, ο πάροχος κρατά αντίγραφα της βάσης του. Ρωτήστε όμως: πόσο συχνά, για πόσο διάστημα, και μπορώ να ανακτήσω ένα έγγραφο που διέγραψα κατά λάθος; Επιπλέον, κάντε περιοδικά δική σας εξαγωγή.

Η δοκιμή επαναφοράς

Ένα αντίγραφο που δεν έχει δοκιμαστεί δεν είναι αντίγραφο. Κάθε τρίμηνο, επαναφέρετε ένα τυχαίο φάκελο και ελέγξτε ότι τα αρχεία ανοίγουν. Σημειώστε ημερομηνία και αποτέλεσμα· είναι και αποδεικτικό λογοδοσίας κατά τον GDPR (βλ. GDPR για δικηγορικά γραφεία).

Κωδικοί

1. Διαχειριστής κωδικών για όλους στο γραφείο.
2. Μοναδικός κωδικός ανά υπηρεσία· μακριές φράσεις αντί για σύνθετες λέξεις.
3. Κανένας κοινόχρηστος λογαριασμός· κάθε χρήστης με το όνομά του.
4. Ο κύριος κωδικός του διαχειριστή κωδικών δεν αποθηκεύεται πουθενά ψηφιακά.
5. Αλλαγή κωδικών αμέσως σε περίπτωση υποψίας διαρροής, όχι με ημερολογιακή ρουτίνα.

Έλεγχος ταυτότητας δύο παραγόντων

Η 2FA είναι το μέτρο με τη μεγαλύτερη απόδοση. Προτεραιότητα: email (από εκεί επαναφέρονται όλοι οι άλλοι κωδικοί), λογισμικό γραφείου, τράπεζα, TAXISnet και οι υπηρεσίες της ΑΑΔΕ, λογαριασμός cloud. Προτιμήστε εφαρμογή επαλήθευσης ή κλειδί ασφαλείας αντί για SMS όπου υπάρχει η επιλογή.

Phishing: η πιο συχνή απειλή

Σενάρια που στοχεύουν δικηγόρους: email «από τη γραμματεία» με συνημμένο, ψεύτικο τιμολόγιο, ή το πιο επικίνδυνο, μήνυμα που ζητά αλλαγή IBAN για την απόδοση ποσού σε πελάτη. Κανόνες:

• Αλλαγή τραπεζικών στοιχείων επιβεβαιώνεται πάντα τηλεφωνικά, σε γνωστό αριθμό.
• Ελέγχετε τον πραγματικό αποστολέα, όχι το εμφανιζόμενο όνομα.
• Δεν εισάγετε κωδικό σε σελίδα που ανοίξατε από σύνδεσμο email.

Ρόλοι και αποχώρηση συνεργατών

Ο ασκούμενος, η γραμματεία και ο συνεργάτης δεν χρειάζονται τα ίδια δικαιώματα. Ορίστε ρόλους και ελέγχετε κάθε εξάμηνο ποιος έχει πρόσβαση. Όταν φεύγει κάποιος: απενεργοποίηση λογαριασμού την ίδια ημέρα, μεταβίβαση εκκρεμών εργασιών, αλλαγή κοινών κωδικών αν υπήρχαν. Για την οργάνωση αναθέσεων δείτε Ανάθεση εργασιών στους συνεργάτες.

Σχέδιο για περιστατικό

1. Απομόνωση: αποσύνδεση της συσκευής από το δίκτυο.
2. Αλλαγή κωδικών και τερματισμός ενεργών συνεδριών.
3. Καταγραφή: τι συνέβη, πότε, ποια δεδομένα αφορά.
4. Εκτίμηση αν πρόκειται για παραβίαση που γνωστοποιείται στην ΑΠΔΠΧ (κατά κανόνα εντός 72 ωρών) και αν πρέπει να ενημερωθούν οι πελάτες.
5. Επαναφορά από καθαρό αντίγραφο.

Για τα κινητά ειδικά, δείτε Εργασία από το κινητό, και για τον πάροχο cloud Επαγγελματικό απόρρητο και cloud.

Λίστα ελέγχου ανά τρίμηνο

• Δοκιμή επαναφοράς ενός φακέλου από αντίγραφο.
• Έλεγχος λίστας χρηστών και ρόλων· αφαίρεση όσων δεν χρειάζονται πρόσβαση.
• Έλεγχος ότι όλοι οι χρήστες έχουν ενεργή 2FA.
• Ενημερώσεις λειτουργικού και εφαρμογών σε όλες τις συσκευές.
• Έλεγχος του διαχειριστή κωδικών για επαναλαμβανόμενους ή αδύναμους κωδικούς.
• Σύντομη υπενθύμιση στην ομάδα για τα πρόσφατα σενάρια phishing.

Το δίκτυο του γραφείου

Αλλάξτε τον προεπιλεγμένο κωδικό διαχείρισης του router, χρησιμοποιήστε κρυπτογράφηση WPA2 ή WPA3, και δημιουργήστε ξεχωριστό δίκτυο επισκεπτών για πελάτες στην αίθουσα αναμονής. Ο εκτυπωτής και το πολυμηχάνημα σάρωσης είναι συχνά παραμελημένες συσκευές με αποθηκευμένα έγγραφα· ελέγξτε τις ρυθμίσεις τους και διαγράψτε με ασφάλεια τον δίσκο τους όταν αποσύρονται.

Η ασφάλεια του email

Το email παραμένει το βασικό κανάλι επικοινωνίας με πελάτες και συναδέλφους, και το πιο συχνό σημείο επίθεσης. Χρησιμοποιήστε επαγγελματικό λογαριασμό με το δικό σας όνομα τομέα αντί για δωρεάν διεύθυνση, ζητήστε από τον πάροχο να ρυθμίσει τα πρωτόκολλα επαλήθευσης αποστολέα (SPF, DKIM, DMARC) ώστε να είναι δυσκολότερη η πλαστοπροσωπία του γραφείου σας, και απενεργοποιήστε την αυτόματη προώθηση σε εξωτερικές διευθύνσεις.

Συχνές ερωτήσεις

Αρκεί το cloud ως αντίγραφο ασφαλείας;

Ο συγχρονισμός αρχείων δεν είναι αντίγραφο: αν διαγραφεί ή κρυπτογραφηθεί ένα αρχείο, η αλλαγή συγχρονίζεται. Χρειάζεστε εκδόσεις αρχείων και τουλάχιστον ένα ανεξάρτητο αντίγραφο.

Πόσο συχνά πρέπει να κρατώ αντίγραφα;

Τόσο συχνά όσο η ποσότητα δουλειάς που αντέχετε να χάσετε. Για ενεργό γραφείο, ημερήσια αντίγραφα είναι λογικό ελάχιστο.

Είναι αρκετό το antivirus;

Βοηθά, αλλά δεν αντικαθιστά τις ενημερώσεις λογισμικού, την 2FA και την προσοχή στο phishing.

Το NomikApp εφαρμόζει κρυπτογράφηση, ρόλους χρηστών και ιστορικό ενεργειών, και σας επιτρέπει να εξάγετε τα δεδομένα σας όποτε θέλετε. Αν θέλετε να το αξιολογήσετε, δοκιμάστε δωρεάν.