Incydent w kancelarii prawnej: plan reakcji 0-72 h
Jeśli to dzieje się teraz, zacznij od sekcji 1. W kancelarii najpierw trzeba zatrzymać atak, a potem ustalić, czy mogła zostać naruszona tajemnica zawodowa.
Spis treści
1. Zatrzymaj atak i zabezpiecz ślady
- Odłącz zainfekowane urządzenia od sieci (kabel, Wi-Fi, VPN). Wstrzymaj zdalny dostęp (RDP, SSL-VPN) do czasu wyjaśnienia sprawy.
- Zachowaj dowody: nie formatuj dysków i nie czyść logów. Informatyk powinien wykonać kopie najważniejszych logów i obrazy dysków.
- Zmień hasła, najpierw kont administratorów, potem pozostałych użytkowników. Zablokuj konta, które wyglądają na przejęte.
- Unieważnij klucze i tokeny dostępu (API, SSH), certyfikaty oraz sesje w przeglądarkach, a listy zaufanych urządzeń zaktualizuj.
- Zacznij prowadzić dziennik działań: kto, co i kiedy zrobił. Przyda się do raportu i ewentualnych czynności prawnych.
Uwaga: im szybciej odłączysz zaatakowane urządzenia, tym mniejsza szansa, że atak rozprzestrzeni się dalej lub dane wyciekną w większej liczbie.
2. Ustal, co się stało
- Ustal, jak atakujący wszedł (phishing, niezałatana luka, słabe lub użyte ponownie hasło) i które systemy oraz dane dotyczy naruszenie.
- Podziel dane według rodzaju: dane osobowe, tajemnica zawodowa, dokumenty spraw, dane finansowe, korespondencja.
- Ustal, ilu osób dotyczą dane, jakich rodzajów i jakie mogą być skutki dla ich praw i wolności.
- Sprawdź, czy dane zostały wyniesione z kancelarii i czy ich kopie mogły trafić do osób trzecich.
- Zapisz oś czasu incydentu i podjęte działania. Zabezpiecz logi serwerów, poczty i ochrony komputerów.
3. Zgłoszenia i informowanie klientów
- UODO: RODO wymaga zgłoszenia naruszenia do UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia. Zgłoszenia nie trzeba składać, gdy jest mało prawdopodobne, że naruszenie spowoduje ryzyko dla osób, których dane dotyczą. W razie wątpliwości skonsultuj to z inspektorem ochrony danych lub prawnikiem. Zgłoszenie opisuje zdarzenie, skutki i podjęte działania.
- Klienci: gdy ryzyko dla nich jest wysokie, napisz jasno, jakie dane mogły wyciec i jak się chronić (np. zmienić hasła, uważać na fałszywe wiadomości).
- Policja lub prokuratura: rozważ zawiadomienie, szczególnie przy wymuszeniu okupu i kradzieży danych.
- Kontrahenci i dostawcy IT: jeśli incydent dotyka ich systemów lub umów, uruchom ustalone procedury.
- Obowiązki zawodowe: sprawdź z prawnikiem lub samorządem zawodowym, czy poza RODO nie masz dodatkowych obowiązków wynikających z zasad wykonywania zawodu.
Warto mieć wcześniej przygotowany wzór zgłoszenia i list do klientów. Przy kolejnym incydencie skrócisz czas reakcji.
4. Komunikacja kryzysowa
Komunikuj prosto i transparentnie, bez żargonu technicznego. Przed publikacją uzgodnij treść z właścicielem kancelarii i osobą ds. ochrony danych.
Szablon komunikatu do klientów
Szanowni Państwo,
w dniu [DATA] wykryliśmy nieuprawniony dostęp do części systemów kancelarii. Dane części klientów mogły zostać ujawnione.
Niezwłocznie odłączyliśmy zainfekowane systemy, zgłosiliśmy naruszenie do UODO i wdrażamy dodatkowe zabezpieczenia.
Zalecamy zmianę haseł do kont powiązanych z usługami kancelarii oraz ostrożność wobec nietypowych wiadomości.
W razie pytań prosimy o kontakt: [ADRES E-MAIL / TELEFON].
Z poważaniem,
[NAZWA KANCELARII]
5. Odbudowa systemów i zmiany na przyszłość
- Przywróć usługi z czystych kopii zapasowych, wcześniej sprawdzonych i przetestowanych. Przed podłączeniem do sieci przeskanuj komputery programem antywirusowym.
- Włącz dodatkowe potwierdzanie logowania (MFA) wszędzie, gdzie to możliwe. Zmień hasła, klucze, certyfikaty i inne tajne dane w aplikacjach.
- Załataj luki: zaktualizuj systemy, podziel sieć na osobne części, wzmocnij ustawienia poczty (SPF, DKIM i DMARC) i ogranicz dostęp zdalny.
- Przeszkol zespół z rozpoznawania phishingu i bezpiecznego obchodzenia się z danymi. Uzupełnij plan reagowania na incydenty o wnioski z tego zdarzenia.
- Zleć przegląd zabezpieczeń po włamaniu i przetestuj odtwarzanie danych z kopii.
1-dniowy przegląd cyberbezpieczeństwa kancelarii
Po incydencie warto upewnić się, że wszystkie luki zostały zamknięte i systemy są gotowe na przyszłe zagrożenia. Mój 1-dniowy audyt IT dla kancelarii prawnych obejmuje:
- Przegląd infrastruktury IT (routery, sieć, Wi-Fi, serwery, stacje robocze)
- Weryfikację konfiguracji poczty, VPN i dostępu zdalnego
- Ocenę procedur tworzenia kopii zapasowych i planu awaryjnego
- Szkolenie zespołu z rozpoznawania zagrożeń i bezpiecznych praktyk
- Raport z zaleceniami do wdrożenia „od zaraz”
Chcesz checklistę reagowania po incydencie?
Zostaw e-mail: wyślę praktyczne materiały: wzory zgłoszeń do UODO, komunikaty do klientów i listę działań „pierwszej godziny”.
Opracowanie: AudytBiura.pl, bezpieczeństwo IT dla małych firm. Aktualizacja: 13.08.2025.
Zobacz też
Potrzebujesz szybkiej oceny ryzyka?
W 1 dzień pokażę, gdzie firma może stracić dane i pieniądze i co zrobić najpierw (bez lania wody).