אבטחת מידע למשרד עורכי דין: חמש נקודות חשיפה שכדאי לבדוק

מאמר זה הוא מידע כללי לבעלי משרדים, ואינו ייעוץ משפטי או הנחיה מקצועית. בשאלות על חובות הסודיות ועל אמצעי אבטחה נדרשים, יש להיוועץ בלשכת עורכי הדין ובגורם מקצועי.

מידע סודי במקום אחד

משרד עורכי דין מחזיק חוזים, טיוטות, מידע על הליכים, פרטים אישיים, ולעיתים מידע שחשיפתו תזיק ללקוח באופן ישיר. רוב העבודה והתכתובת מתנהלים במייל. מי שמצליח לקרוא את התיבות של המשרד יכול ללמוד הרבה, ומי שמצליח להתחזות אליו יכול לנצל את האמון שלקוחות נותנים בו.

להלן חמש נקודות חשיפה נפוצות, וצעדים פשוטים לכל אחת.

1. תיבת המייל

הסיכון: סיסמה שנגנבה בפישינג, שימוש חוזר בסיסמה, או כניסה בלי אימות דו-שלבי.

מה עושים: אימות דו-שלבי בכל התיבות, סיסמה ייחודית, בדיקה תקופתית של כללי העברה אוטומטית ושל אפליקציות מחוברות. אם כבר קרה משהו: מייל נפרץ, מה עושים.

2. התחזות למשרד והונאת BEC

הסיכון: מישהו שולח ללקוח הודעה שנראית כאילו יצאה מהמשרד, למשל בקשה להעביר כסף נאמנות או לשלוח מסמכים. ההודעה יכולה להגיע מדומיין דומה, משם תצוגה מזויף או מהדומיין עצמו אם הוא לא מוגן.

מה עושים: מגדירים SPF, DKIM ו-DMARC (הסבר), ומיידעים לקוחות שהמשרד לא משנה פרטי חשבון בלי אימות טלפוני. פירוט הסוגים.

3. העברת מסמכים

הסיכון: קבצים שנשלחים לכתובת שגויה, או נשארים בתיקיות משותפות פתוחות.

מה עושים: שימוש באמצעי שיתוף שמאפשר שליטה בהרשאות ובתוקף קישור, בדיקה כפולה של נמען לפני שליחה רגישה, וסקירה תקופתית של מי רואה מה.

4. מכשירים וגישה מרחוק

הסיכון: מחשב נייד שאבד, טלפון בלי נעילה, גישה מרחוק בלי אימות חזק.

מה עושים: הצפנת דיסק, נעילת מסך, אפשרות מחיקה מרחוק, ומדיניות ברורה על שימוש במכשירים אישיים.

5. העובדים

הסיכון: מזכירה, מתמחה או שותף שלוחצים על הודעה משכנעת. במשרד קטן אין צוות אבטחה שיעצור זאת.

מה עושים: הדרכה קצרה לכל הצוות, כולל מי שלא עורך דין, ותרגול מדי פעם. למה זה חשוב.

מה בודקים קודם

אם אין זמן לכל החמש, התחילו בשלושה דברים: אימות דו-שלבי, נוהל לשינוי פרטי תשלום, ובדיקת הגנת הדומיין. על האחרון אפשר לקבל תמונה ראשונית מסריקה חינמית.

מה הסריקה כן ולא נותנת

הסריקה המהירה בודקת את רשומות DMARC, SPF ו-DKIM של דומיין המשרד. היא לא בודקת אם תיבות נפרצו, ולא בודקת דומיינים דומים. אחרי הסריקה אפשר לבקש דוח מלא: את הדוח מכין הצוות שלנו, והוא נשלח לכתובת בדומיין שנסרק. הדוח הראשון ללא עלות.

דבר אחרון: סודיות מקצועית

חובות הסודיות של עורכי דין הן עניין מקצועי ומשפטי, והמאמר הזה אינו מפרט אותן. ההמלצה היא לוודא מול הגורמים המוסמכים אילו אמצעים נדרשים, ולתעד את מה שנעשה.

מה כדאי לכתוב מראש לתקרית

משרד שיודע מראש מה לעשות בפריצה חוסך שעות יקרות. נוהל של עמוד אחד יכול לכלול:

1. מי מנתק גישה ומחליף סיסמאות.
2. מי בודק אילו תיקים או לקוחות נחשפו.
3. מי מייעץ בשאלות הדיווח והחובות כלפי הלקוחות. זו שאלה משפטית, ועדיף שתהיה לה כתובת קבועה.
4. מי מדבר עם הלקוחות, ובאיזה ערוץ.
5. איפה נשמרים הרישומים של מה שנעשה ומתי.

ספקים חיצוניים

משרד מסתמך על ספקים: ענן, מערכת ניהול תיקים, חתימה דיגיטלית, שירותי IT ושירותי דפוס. כל ספק כזה מחזיק או רואה חלק מהמידע. שאלות שכדאי לשאול:

• איזה מידע מועבר לספק ואיפה הוא נשמר?
• האם יש אימות דו-שלבי לכניסה אליו?
• מה קורה לגישה כשעובד עוזב?
• איך הספק מטפל באירוע ומתי הוא יתריע?

חשוב לתעד את התשובות, כדי שאפשר יהיה להסביר ללקוח מה נעשה.

שותפים, מתמחים ועובדי מזכירות

במשרד קטן כל אחד עושה קצת מהכול, ולכן ההרשאות נוטות להיפתח יתר על המידה. שותף שעובד על תיק אחד רואה לפעמים את כל התיקים. כדאי לבחון מי באמת צריך גישה לאיזה תיק, ולהקטין ככל האפשר. כשמתמחה או עובד עוזב, ביטול הגישה מתבצע באותו יום, כולל גישה למייל ולמערכות ענן.

עבודה מחוץ למשרד

פגישות עם לקוחות, דיונים בבית משפט ועבודה מהבית הופכים את המחשב הנייד והטלפון לחלק מנכסי המשרד. חיבור ל-Wi-Fi ציבורי, מחשב משותף וטלפון בלי נעילה הם דוגמאות לסיכונים שקל להקטין: הצפנת דיסק, נעילת מסך ואימות דו-שלבי.

רשימת בדיקה מעשית למשרד עורכי דין

כדי להפוך את חמש הנקודות לפעולות, אפשר לעבור על הרשימה הבאה אחת לרבעון:

• אימות דו-שלבי מופעל לכל השותפים, העובדים והמתמחים, כולל בתיבות משותפות.
• נוהל לפרטי בנק: כל שינוי בפרטי חשבון הנאמנות או בפרטי תשלום מאומת בשיחת טלפון למספר מוכר מראש.
• הגדרות DMARC, SPF ו-DKIM קיימות ומדיניות ה-DMARC אינה "מעקב בלבד". ראו איך מגדירים DMARC, SPF ו-DKIM.
• שיתוף מסמכים: קישורים עם תפוגה והרשאות, ולא צירוף של תיקים שלמים למייל.
• הרשאות לפי תיק: מי שאינו בצוות התיק אינו רואה אותו, וגישה מוסרת כשעובד עוזב.
• מכשירים ועבודה מרחוק: נעילת מסך, הצפנת דיסק והפרדה בין מכשיר אישי למשרדי.
• נוהל תקרית כתוב: מי מקבל דיווח, מי מנתק גישה, ומי מוסמך להחליט אם נדרשת פנייה לייעוץ משפטי או הודעה ללקוח.
• הדרכה קצרה פעם בשנה לכל הצוות, כולל מזכירות ומתמחים, ותרגיל פישינג להשלמה.

חשוב לזכור שהחובות החלות על משרד עורכי דין בנושא סודיות והגנת מידע נקבעות בדין ובכללי האתיקה, ואין בטקסט כללי זה כדי לפרט אותן. לשאלות כאלה פנו ליועץ המתאים.

משרדי רואי חשבון וייעוץ חווים בעיות דומות מצד הכסף: אבטחת מידע לרואי חשבון ומשרדי ייעוץ.