Bezpieczeństwo danych – czyli jak chronić informacje, ciągłość pracy i zaufanie klientów?
Kancelaria przechowuje wyjątkowo wrażliwe informacje: dane klientów, korespondencję objętą tajemnicą zawodową, dokumenty procesowe, informacje o transakcjach, dane finansowe, KYC i AML oraz rozliczenia. Dlatego bezpieczeństwo systemu nie może sprowadzać się do hasła „zgodny z RODO” czy „dane są szyfrowane”.
Liczą się trzy elementy: poufność, integralność i dostępność danych. Informacje powinny być dostępne wyłącznie dla uprawnionych osób, pozostawać kompletne i niezmienione oraz być dostępne wtedy, gdy kancelaria ich potrzebuje. Awaria systemu może przecież oznaczać nie tylko dyskomfort, ale także problem z terminem procesowym, obsługą klienta czy wystawieniem faktur.
Bezpieczeństwo zaczyna się od infrastruktury
Advisor247 wykorzystuje dwa środowiska hostingowe: centrum danych Stack Infrastructure OSL02A w Oslo oraz Microsoft Azure Norway East. Dane są redundantnie przechowywane, a infrastruktura podstawowa została zaprojektowana tak, aby awaria pojedynczego serwera, dysku czy urządzenia sieciowego nie zatrzymała pracy systemu.
Dostęp do Advisor247 odbywa się przez szyfrowane połączenie SSL. System obsługuje również uwierzytelnianie dwuskładnikowe oraz SSO poprzez Microsoft Azure AD, co pozwala centralnie zarządzać dostępem użytkowników.
Każdy powinien widzieć tylko to, czego potrzebuje
Centralizacja informacji nie oznacza, że wszyscy użytkownicy powinni mieć dostęp do wszystkiego.
Innych danych potrzebuje partner, innych prawnik, księgowość czy administracja. Szczególnej ochrony mogą wymagać np. transakcje, konflikty wspólników, postępowania wewnętrzne czy sprawy compliance.
Dlatego bezpieczeństwo powinno opierać się na zasadzie najmniejszych uprawnień – użytkownik otrzymuje dostęp tylko do informacji potrzebnych do wykonywania swojej pracy.
Rozproszone dane również są zagrożeniem
Niebezpieczeństwo nie zawsze zaczyna się od cyberataku.
Dokument zapisany jednocześnie na komputerze, w skrzynce e-mail, folderze sieciowym, prywatnej chmurze i kilku systemach tworzy kolejne niekontrolowane kopie. Trudniej wtedy ustalić, która wersja jest aktualna i kto nadal ma do niej dostęp.
Advisor247 łączy dane o klientach, sprawach, dokumentach, korespondencji, terminach, czasie pracy i rozliczeniach w jednym środowisku, ograniczając ich niekontrolowane rozproszenie.
Backup to nie wszystko
Pytanie „czy robicie backup?” jest niewystarczające.
Warto wiedzieć:
- jak często wykonywane są kopie,
- gdzie się znajdują,
- jak długo są przechowywane,
- czy są odseparowane od podstawowego środowiska,
- czy odtwarzanie danych jest testowane,
- ile może potrwać przywrócenie działania.
W Advisor247 kopie wykonywane są co 24 godziny i przechowywane przez 14 dni. Procedury odtwarzania są regularnie testowane.
Bo backup, którego nigdy nie próbowano odtworzyć, jest tylko deklaracją bezpieczeństwa.
System musi być przygotowany na awarię
Problemy nie zdarzają się wyłącznie od poniedziałku do piątku między 9:00 a 17:00.
Środowisko Advisor247 jest monitorowane całodobowo. Dostawca posiada również Business Continuity Plan obejmujący hosting i wsparcie techniczne, który jest regularnie aktualizowany i poddawany zewnętrznym audytom.
Dlatego przy wyborze systemu warto pytać nie tylko:
„Czy system jest bezpieczny?”
ale również:
„Co wydarzy się, jeśli jutro rano przestanie działać podstawowe centrum danych?”
Audyty są ważniejsze od deklaracji
Każdy dostawca może napisać, że jego system jest bezpieczny.
Znacznie więcej mówią niezależne audyty, testy podatności i sposób reagowania na wykryte problemy.
Procedury Advisor obejmujące m.in. backup, zarządzanie zmianami, incydentami, bezpieczeństwem haseł oraz aktualizacjami podlegają corocznej ocenie zewnętrznego audytora. Prowadzone są również kontrole podatności platformy.
AI tworzy nowe ryzyko
Prawnik może w kilka sekund przekazać publicznemu narzędziu AI treść poufnej umowy czy strategii procesowej.
Dlatego wraz z rozwojem AI coraz ważniejsze jest kontrolowanie:
- do jakich danych AI ma dostęp,
- czy respektuje uprawnienia użytkownika,
- gdzie trafiają przekazywane informacje,
- czy mogą zostać wykorzystane do trenowania modelu.
Rozwijane integracje Advisor247 z narzędziami AI i protokołem MCP mają umożliwiać przekazywanie kontrolowanego kontekstu, zgodnego z uprawnieniami użytkownika.
O co zapytać dostawcę systemu?
Przed wyborem systemu warto sprawdzić przede wszystkim:
- Gdzie przechowywane są dane?
- Jak wygląda redundancja infrastruktury?
- Czy dostępne są 2FA i SSO?
- Jak zarządzane są uprawnienia?
- Gdzie znajdują się backupy?
- Czy odtwarzanie danych jest regularnie testowane?
- Czy istnieje plan ciągłości działania?
- Czy infrastruktura jest monitorowana całodobowo?
- Czy prowadzone są zewnętrzne audyty i testy podatności?
- Jak zabezpieczone są integracje i dostęp narzędzi AI?
Bezpieczeństwo powinno być warunkiem wyboru
Advisor247 łączy bezpieczeństwo aplikacji z redundantną infrastrukturą, całodobowym monitoringiem, 2FA i SSO, codziennymi kopiami zapasowymi, testami odtwarzania, procedurami ciągłości działania oraz zewnętrznymi audytami i ocenami podatności.
Bo bezpieczeństwo systemu kancelarii nie oznacza tylko ochrony przed hakerem.
Oznacza również, że dane nie zaginą, właściwe osoby mają do nich dostęp, awaria nie zatrzyma kancelarii, a organizacja przez cały czas zachowuje kontrolę nad swoją informacją.