Bezpieczeństwo IT dla firm Kraków

Co w kancelarii ma chronić zabezpieczenie techniczne

Nie sprzęt i nie ciągłość pracy, choć jedno i drugie też. Rzeczą, której utrata kończy współpracę z klientem, jest materiał powierzony pod ochroną tajemnicy zawodowej. Nie ma dla niego kopii zapasowej w sensie reputacyjnym: dokument, który wypłynął, wypłynął, a rozmowa z klientem odbędzie się niezależnie od tego, jak sprawnie poszło odtwarzanie środowiska.

Z tego wynika inna kolejność wydatków niż w firmie handlowej. Tam pierwsze pieniądze idą na ciągłość, bo doba bez systemu to policzalna strata. Tutaj pierwsze pieniądze idą na zawężenie dostępu i na zapis, kto z niego skorzystał, ponieważ to jedyne dwie rzeczy, które odpowiadają na pytanie zadane po zdarzeniu.

Druga różnica dotyczy dowodu. Kancelaria pracująca dla spółek publicznych albo dla instytucji finansowych bywa pytana o swoje zabezpieczenia w formie pisemnej, często raz do roku. Warstwa, która działa, a nie zostawia śladu, jest w takiej rozmowie warta tyle, co warstwa, której nie ma.

Co która warstwa zapisuje i na jakie pytanie odpowiada później

Warstwa	Co zapisuje na bieżąco	Na jakie pytanie odpowiada po zdarzeniu
Kontrola dostępu do spraw	kto ma wgląd w którą sprawę i od kiedy	czy materiał był w zasięgu osoby, której nie powinien
Rejestrowanie operacji na dokumentach	otwarcia, pobrania i udostępnienia plików	kto sięgnął po akta i o której godzinie
Drugi składnik przy logowaniu	udane i nieudane próby wejścia na konto	czy ktoś logował się spoza znanych urządzeń
Konsola ochrony komputerów	wykrycia, stan agenta, historia procesu	co uruchomiło się na sprzęcie i skąd przyszło
Filtr poczty	zatrzymane wiadomości i wynik reguł domeny	czy wiadomość naprawdę wyszła od tego nadawcy
Repozytorium kopii	zadania, punkty odtworzenia, próby powrotu	do którego momentu da się cofnąć stan dokumentów
Praca z zespołem	udział w zajęciach i zgłoszenia od ludzi	czy ktoś zauważył to wcześniej i komu powiedział

Prawa kolumna jest powodem, dla którego przy każdej warstwie ustawiamy retencję dłuższą niż domyślna. Zdarzenie w kancelarii ujawnia się rzadko tego samego dnia. Ujawnia się wtedy, gdy druga strona sporu pokazuje dokument, którego nie powinna mieć, a to bywa kilka miesięcy później.

Jak wygląda zawężanie dostępu, gdy wszyscy zawsze widzieli wszystko

Punkt wyjścia jest w tej branży powtarzalny. Na dysku współdzielonym leży katalog spraw, a wgląd ma cały zespół prawny, ponieważ tak było najprościej i przez lata nikomu to nie przeszkadzało. Sam katalog niczego nie rejestruje, więc pytanie o to, kto otworzył konkretną teczkę, nie ma dziś odpowiedzi.

Zaczynamy od rzeczy, która nie zmienia nikomu sposobu pracy, czyli od włączenia zapisu. Przez pierwszy miesiąc nie ograniczamy niczego, tylko patrzymy, kto faktycznie z czego korzysta. Ten materiał jest później najmocniejszym argumentem w rozmowie z zespołem, bo pokazuje, że zawężenie dotknie znacznie mniejszej liczby osób, niż wszyscy zakładali.

Potem idą uprawnienia nadawane przy przypisaniu do sprawy, osobna przestrzeń na sprawy zamknięte, węższa rola dla aplikantów i osób współpracujących oraz termin przy każdym dostępie wydanym kancelarii współpracującej. Prace prowadzimy w Microsoft 365 i w Entra ID, a tam, gdzie sprawami zarządza system kancelaryjny, korzystamy z jego własnych ról i pilnujemy, żeby nie omijał ich dostęp do plików na dysku.

Co zostaje po naszej stronie, a co u dostawcy systemu kancelaryjnego

Producent oprogramowania odpowiada za swoją aplikację, za jej aktualizacje i za wsparcie dla użytkowników. Nasza część zaczyna się tam, gdzie kończy się jego umowa, i obejmuje konta wraz ze sposobem logowania, kopię bazy, wykrycia na komputerach, filtr poczty oraz drogę, którą jego serwis wchodzi zdalnie.

Podział spisujemy przed startem i pokazujemy obu stronom. Powód jest zupełnie praktyczny. W dniu, w którym coś nie działa, każdy wykonawca zgodnie z prawdą mówi, że u niego wszystko odpowiada, a kancelaria nadal nie ma dostępu do akt sprawy z terminem sądowym w tym tygodniu.

Za co płacicie co miesiąc, a co liczymy raz

W stałej kwocie jest praca powtarzalna. Nadzór nad konsolą i obsługa wykryć, utrzymanie reguł filtra oraz rekordów domeny, pilnowanie zadań kopii razem z próbą powrotu, kwartalny przegląd uprawnień, aktualizacje oraz zestawienie kończące się listą decyzji do podjęcia.

Raz liczymy to, co dzieje się raz. Uporządkowanie uprawnień narosłych przez lata, przeniesienie archiwum spraw do przestrzeni z osobnym wglądem, zakup z montażem urządzenia brzegowego, zbudowanie repozytorium kopii oraz pierwsze zajęcia dla całego zespołu. Zestawienie tych pozycji pokazujemy przed podpisaniem umowy, razem z propozycją rozłożenia ich na kwartały.

Licencje producentów rozliczacie u nas po cenie zakupu albo bierzecie je wprost od dostawcy. Trzymamy je poza abonamentem, żeby przy przedłużeniu dało się osobno ocenić cenę narzędzi i cenę pracy.

Gdzie kończy się zakres tej umowy

Nie obiecujemy, że żadna próba się nie powiedzie, bo cała konstrukcja stoi na odwrotnym założeniu. Nie obiecujemy też człowieka przy konsoli o każdej porze. Blokada rozpoznanego zagrożenia działa niezależnie od godziny, ocenę sytuacji niejednoznacznej wykonuje inżynier w dni robocze między 8:00 a 18:00, a dyżur poza tym oknem kupuje się osobno.

Nie oceniamy zgodności z zasadami wykonywania zawodu ani z obowiązkami wynikającymi z tajemnicy zawodowej, bo to sprawa dla samorządu i dla prawnika. Nie bierzemy odpowiedzialności za oprogramowanie kancelaryjne, którego kodu nie znamy, i mówimy to na pierwszym spotkaniu.

Zaświadczeń o zgodności nie wydajemy. Doprowadzamy kancelarię do stanu, w którym badanie na zgodność z ISO/IEC 27001, ISO 22301 albo z wymaganiami NIS 2 ma sens, a sam dokument wystawia akredytowana jednostka po własnym postępowaniu.

Punkt wyjścia pokazuje audyt bezpieczeństwa IT, korespondencję w obie strony porządkuje ochrona poczty i filtrowanie treści, a nawyk zespołu buduje program szkoleń i testów. Koszt stałej opieki nad całym IT policzycie w kalkulatorze.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026