Case study Elmax-IT
Obsługa IT kancelarii prawnej z naciskiem na poufność i kontrolę dostępu
Kancelaria prawna przetwarza dokumenty, korespondencję i informacje wymagające szczególnej poufności. W tym projekcie uporządkowaliśmy szyfrowanie urządzeń, dostęp do spraw, ochronę danych, kopie zapasowe, zdalny dostęp oraz procedury odbierania uprawnień po odejściu pracownika.
środowisko IT
Dokumenty, korespondencja i dane klientów
Ochrona przed utratą, kradzieżą i nieuprawnionym dostępem
Szyfrowanie, uprawnienia, backup, firewall i antywirus
Monitoring, audyty dostępów i wsparcie użytkowników
Sytuacja wyjściowa
Poufność danych musi wynikać z konfiguracji, a nie tylko z zaufania
Kancelaria prawna powinna ograniczać ryzyko zarówno ataków z zewnątrz, jak i utraty sprzętu, błędów użytkowników, nieprawidłowo nadanych uprawnień czy pozostawionych kont po zakończeniu współpracy. W praktyce takie zabezpieczenia mogą być elementem kompleksowej obsługi informatycznej firmy , obejmującej zarówno urządzenia i użytkowników, jak i dane, dostęp zdalny oraz bieżące utrzymanie środowiska.
Brak kontroli nad szyfrowaniem komputerów
Samo posiadanie funkcji szyfrowania nie oznacza, że jest ona aktywna i poprawnie skonfigurowana. Potrzebna była kontrola stanu BitLocker, zgodności urządzeń z TPM 2.0 oraz bezpieczne przechowywanie kluczy odzyskiwania.
Zbyt szeroki dostęp do spraw i dokumentów
Nie każdy pracownik powinien widzieć wszystkie foldery i prowadzone sprawy. Kancelaria potrzebowała przejrzystego modelu uprawnień oraz osoby upoważnionej do zatwierdzania zmian w dostępie.
Ryzyko utraty danych przy poważnej awarii
Kopia znajdująca się wyłącznie w siedzibie firmy nie chroni przed pożarem, uszkodzeniem budynku, przepięciem lub innym zdarzeniem obejmującym jednocześnie serwer i lokalny backup.
Nieodebrane dostępy byłych pracowników
Po przejęciu obsługi wykryto aktywne dostępy osób, które nie pracowały już w kancelarii. Taki stan tworzył poważne ryzyko dla poufności spraw, interesu kancelarii oraz danych jej klientów.
Zakres wdrożenia
Zabezpieczenia obejmujące urządzenia, konta, pliki i kopie danych
Ochrona danych kancelarii została zbudowana warstwowo. Każdy element ogranicza inne ryzyko, a jego stan może być okresowo weryfikowany przez firmę IT.
BitLocker chroniący dane również po kradzieży sprzętu
Na komputerach pracowników wdrożono zasady szyfrowania dysków. Ochrona obejmuje nie tylko ataki sieciowe, ale również sytuacje, w których laptop lub dysk zostanie skradziony albo trafi w niepowołane ręce.
- weryfikacja zgodności urządzeń z TPM 2.0,
- uruchomienie i konfiguracja szyfrowania BitLocker,
- monitorowanie, czy szyfrowanie pozostaje aktywne,
- bezpieczne gromadzenie kluczy odzyskiwania,
- kontrola stanu ochrony po aktualizacjach i zmianach sprzętu,
- wdrożenie polityk haseł na komputerach pracowników.
Dostęp do dokumentów wyłącznie dla wyznaczonych osób
Foldery i sprawy zostały podzielone zgodnie z zakresem obowiązków pracowników. Dostęp nie jest nadawany wszystkim automatycznie, a zmiany mogą być zatwierdzane przez osobę upoważnioną przez właściciela lub zarząd kancelarii.
- wydzielenie folderów według spraw, zespołów lub klientów,
- nadawanie dostępu konkretnym użytkownikom i grupom,
- oddzielenie dostępu do odczytu od możliwości modyfikacji,
- prowadzenie listy osób posiadających dostęp,
- zatwierdzanie zmian przez upoważnioną osobę,
- regularny przegląd nadanych uprawnień.
Antywirus i firewall jako stała warstwa zabezpieczeń
Dane kancelarii zostały objęte ochroną na poziomie komputerów i sieci. Ma to szczególne znaczenie przy aktywnych postępowaniach, gdy utrata dostępu do dokumentów lub ich ujawnienie może mieć poważne konsekwencje.
- centralnie zarządzana ochrona antywirusowa,
- monitorowanie stanu ochrony i aktualności sygnatur,
- firewall ograniczający niepotrzebny ruch sieciowy,
- aktualizacje systemów i aplikacji,
- kontrola zdarzeń wymagających reakcji,
- ograniczenie dostępu administracyjnego.
Kopia dokumentów również poza siedzibą kancelarii
Backup został zaprojektowany tak, aby awaria jednego urządzenia lub całej lokalizacji nie oznaczała utraty dokumentów. Wykorzystano zasadę 3-2-1, obejmującą kilka kopii na różnych nośnikach i jedną kopię poza siedzibą. Taki model może być realizowany jako część backupu danych dla firm .
- co najmniej trzy kopie najważniejszych danych,
- wykorzystanie co najmniej dwóch rodzajów nośników,
- jedna kopia przechowywana poza siedzibą kancelarii,
- monitorowanie wykonania zadań backupu,
- alerty o błędach i nieukończonych kopiach,
- okresowa weryfikacja możliwości odtworzenia danych.
Szyfrowany dostęp do plików kancelarii przez VPN
Pracownicy otrzymują zdalny dostęp do zasobów kancelarii przez szyfrowane połączenie VPN. Dzięki temu dokumenty nie muszą być przesyłane przez przypadkowe usługi ani przechowywane na prywatnych nośnikach.
- szyfrowanie komunikacji pomiędzy urządzeniem i kancelarią,
- dostęp wyłącznie dla uprawnionych użytkowników,
- ograniczenie widocznych zasobów zgodnie z rolą pracownika,
- możliwość szybkiego zablokowania dostępu,
- monitorowanie dostępności połączenia,
- centralna konfiguracja zamiast ręcznych obejść użytkowników.
Służbowy komputer objęty szyfrowaniem, polityką haseł i ochroną antywirusową.
Dokumenty i foldery dostępne wyłącznie zgodnie z nadanymi uprawnieniami.
Audyt kont po przejęciu obsługi i odejściu pracownika
Po przejęciu środowiska wykonano przegląd kont, dostępów do folderów i możliwości logowania zdalnego. Wykryto uprawnienia pozostawione byłym pracownikom, które następnie zostały zablokowane i uporządkowane. Więcej o samym procesie opisujemy w poradniku jak bezpiecznie odebrać pracownikowi dostępy po zakończeniu współpracy .
- identyfikacja kont osób niepracujących już w kancelarii,
- blokowanie dostępu do plików, poczty i połączeń VPN,
- odbieranie uprawnień do konkretnych spraw,
- weryfikacja urządzeń i zapisanych poświadczeń,
- utworzenie procedury odejścia pracownika,
- okresowy audyt aktywnych kont i uprawnień.
Efekty współpracy
Większa kontrola nad tym, kto i z jakiego urządzenia ma dostęp do danych
Najważniejszym efektem było uporządkowanie zabezpieczeń oraz stworzenie procedur, które można powtarzać przy nowych urządzeniach, nowych pracownikach i zakończeniu współpracy.
Zaszyfrowane urządzenia
Dane pozostają chronione również w przypadku kradzieży laptopa lub fizycznego dostępu do dysku.
Wydzielone dostępy do spraw
Pracownicy widzą wyłącznie dokumenty i foldery, które są potrzebne do wykonywania ich obowiązków.
Kontrolowana ochrona urządzeń
Stan antywirusa, szyfrowania i zgodności urządzeń może być regularnie sprawdzany.
Backup odporny na awarię lokalizacji
Kopia poza siedzibą ogranicza ryzyko utraty danych w przypadku poważnego zdarzenia w budynku.
Bezpieczna praca zdalna
Dostęp do dokumentów odbywa się przez szyfrowane połączenie VPN i zgodnie z nadanymi uprawnieniami.
Odebrane stare dostępy
Konta byłych pracowników zostały zweryfikowane, a procedura odejścia ogranicza ryzyko powtórzenia problemu.
Zakres technologiczny
Zabezpieczenia dopasowane do sposobu pracy kancelarii
Konkretne rozwiązania zależą od liczby pracowników, urządzeń, lokalizacji, sposobu przechowywania dokumentów oraz wykorzystywanych usług.
Obsługa IT dla kancelarii prawnych
Poufność danych powinna być wsparta technologią i procedurami
Pomagamy kancelariom uporządkować szyfrowanie urządzeń, dostęp do dokumentów, backup, ochronę komputerów, pracę zdalną i procedury odbierania uprawnień.
Case study opisuje rzeczywiste problemy i wdrożone rozwiązania bez ujawniania nazwy klienta, prowadzonych spraw ani szczegółów umożliwiających identyfikację infrastruktury kancelarii.