Que vous vous dirigiez vers un procès ou que vous conseilliez un client sur une question juridique, le succès dépend de la préparation – une préparation bonne, approfondie et hautement disciplinée, pour être exact. Mieux vous serez préparé, plus vous serez efficace et plus vous serez efficace, plus votre client sera susceptible de rentrer chez lui à la fin de la journée avec un sourire jusqu’aux oreilles.
Il en va de même pour les bases de la cybersécurité. Mieux vous êtes préparé pour contrecarrer les attaques contre les systèmes et appareils électroniques que vous utilisez dans votre pratique du droit, plus il est probable que les données confidentielles de vos clients resteront en sécurité (et donc, plus il est probable que le porteur de cet immense sourire être cette fois).
Il est regrettable que de mauvais acteurs travaillent dur chaque minute de chaque jour dans l’espoir de s’introduire et de piller votre magasin de données. Ainsi, il est impératif que vous mettiez en place des politiques et des procédures de défense efficaces en matière de cybersécurité pour contrecarrer ces criminels.
L’Agence fédérale de la cybersécurité et de la sécurité des infrastructures (CISA) a décrit ces politiques et procédures. De mon point de vue en tant que fournisseur de solutions de cybersécurité, je peux vous dire que les conseils de CISA sont en effet judicieux.
CISA vous invite à créer une “Culture de cyber-préparation au sein de votre cabinet d’avocats”. Cette culture, dit CISA, ne résulte pas d’une grande explosion, mais plutôt du produit d’environ une demi-douzaine de petites étapes. nous allons jeter un coup d’oeil.
Bases de la cybersécurité : tout commence avec vous
Vous, affirme CISA, êtes le fondement de tous les changements culturels affectant votre bureau – et la préparation électronique ne fait pas exception.
Ainsi, vous devez faire rouler la balle. Commencez par évaluer dans quelle mesure votre pratique est dépendante de l’informatique (afin de savoir combien vous devrez investir dans une solution de cybersécurité capable de protéger adéquatement les données confidentielles confiées à votre entreprise).
Ensuite, vous devez développer des relations externes de confiance, surtout celles que vous créez avec une entreprise de cybersécurité. Ces groupes connaissent toutes les astuces sur lesquelles les pirates et les escrocs comptent pour pirater vos défenses ; Avoir une entreprise de cybersécurité à vos côtés s’avérera un peu comme entrer dans un ring de boxe les yeux bandés, les deux mains attachées derrière le dos et la gomme collée au bas de chaque chaussure.
Une autre façon de tirer profit d’une relation avec une entreprise de cybersécurité est que vous n’aurez pas à développer vous-même des politiques. Ces Mes services ont des modèles de politique prêts à être adoptés.
Apprenez à vos employés à être vigilants
Les personnes qui travaillent pour vous risquent d’être la proie de stratagèmes d’hameçonnage et de piratage d’e-mails. La raison en est qu’ils ne savent tout simplement pas ce qu’ils recherchent. Par conséquent, l’éducation est une grande partie de la cyber-préparation au niveau du personnel.
Dans ma solution de cybersécurité, la formation des employés est essentielle car, comme les résultats post-mortem d’une violation de données l’ont prouvé à maintes reprises, le maillon le plus faible des défenses contre les cyberattaques d’un cabinet d’avocats sont généralement les employés qui souffrent d’une mauvaise hygiène des données en raison d’un manque de connaissances ( données bonnes) Soit dit en passant, la propreté comprend des choses comme exiger l’utilisation d’une authentification multifacteur pour se connecter aux ordinateurs et insister pour qu’ils aient des gestionnaires de mots de passe en place pour générer des mots de passe uniques et partagés sécurisés).
Un mot d’avertissement : ne prenez pas la position que la formation des employés est une chose annuelle unique. C’est quelque chose qui devrait durer toute l’année. Et il doit être enraciné dans la narration, ce qui rend l’instruction mémorable (par opposition à l’apprentissage par cœur dispensé via un diaporama PowerPoint).
Apprenez à connaître vos systèmes
Savez-vous combien et quels types de systèmes électroniques sont dispersés dans votre bureau ? Connaissez-vous même l’emplacement exact de ces systèmes ? Si vous avez perdu le compte (ou pire, perdu la trace de leurs allées et venues), vous devez immédiatement faire l’inventaire. Ce n’est qu’alors que vous serez en mesure d’évaluer quels ordinateurs et appareils sont vulnérables aux attaques en raison de logiciels obsolètes ou endommagés – ou même de logiciels qui n’ont aucune activité de chargement dans vos systèmes en premier lieu.
Permettre à une entreprise de cybersécurité de vous aider dans ce domaine simplifiera le processus de surveillance constante de vos systèmes à la recherche de fuites, puis de correction des vulnérabilités sur place.
Ne laissez pas n’importe qui accéder
Une publicité utile à inclure dans le manuel de politique en ligne de votre entreprise indiquerait que seuls les employés jouissant d’une bonne réputation et jugés dignes de confiance peuvent accéder à l’écosystème numérique que vous avez créé. Découvrez qui se trouve sur votre réseau, puis expulsez tous les utilisateurs non autorisés (vous tirerez parti d’une deuxième politique qui définit une procédure pour traiter les utilisateurs qui quittent votre entreprise, se font virer ou se déplacent entre les services). Pour ceux que vous souhaitez atteindre, votre politique doit exiger que l’autorisation soit accordée sur la base du besoin d’en connaître et du moindre privilège.
Établissez également une politique selon laquelle tous ceux qui s’éloignent de leur ordinateur doivent d’abord le mettre en veille sur l’écran verrouillé et utiliser leur mot de passe attribué créé par le gestionnaire de mots de passe pour déverrouiller l’appareil lorsqu’ils y reviennent. La raison en est qu’un écran d’ordinateur grand ouvert sans surveillance est une énorme faille de sécurité – il serait trop facile pour un employé mécontent d’une autre partie du bureau de tomber sur la chaise temporairement vacante de l’utilisateur et de commencer à accéder au les fichiers censés être du spam sont interdits.
Les sauvegardes des données et du système sont vitales
Il est très facile de perdre des données (en particulier à cause d’attaques de logiciels malveillants et de rançongiciels). C’est pourquoi votre plan de veille doit inclure des dispositions pour la sauvegarde de vos données – chaque jour est bon, chaque heure est meilleure et la continuité est parfaite.
Quel que soit votre calendrier de sauvegarde, le processus devrait se dérouler automatiquement – sans qu’un humain ait besoin de se rappeler d’effectuer les tâches à temps (car il est possible qu’un humain oublie à plusieurs reprises).
En plus de sauvegarder vos données, faites-en une politique pour sauvegarder vos systèmes et assurez-vous que toutes ces sauvegardes sont protégées à la fois électroniquement et physiquement (le jeu intelligent consiste à les chiffrer avant de les stocker dans un endroit sûr géographiquement éloigné de votre bureau) .
Élaborer un plan de réponse à la crise
Vous pouvez avoir les meilleures défenses de système et de données sur la planète, mais il y a toujours la possibilité qu’un voleur déterminé à le pirater puisse percer. Dans ce cas, vous devrez basculer en mode de réponse à la crise.
En réponse à une cyberattaque, votre première action devrait être de vous déconnecter d’Internet. La deuxième action doit être de contacter votre e-assureur.
Bien sûr, vous ne pouvez obtenir l’aide de votre entreprise de cybersécurité que si vous faites la démarche, avant l’attaque, d’obtenir une police d’assurance cyber. La beauté de cette couverture est qu’elle peut vous éviter les effets catastrophiques d’un cybervol réussi : ruine financière, atteinte à la réputation et peut-être même la suspension ou la perte de votre licence légale.
Une autre étape pour se préparer à la réponse à la crise consiste à dresser une liste des personnes et des organisations extérieures, ainsi que des forces de l’ordre, que vous devez contacter immédiatement en cas de découverte d’une violation. Une autre étape consiste à compiler une liste qui vous indique quels systèmes restaurer en premier, deuxième et troisième en fonction de la nature et des effets de l’attaque spécifique.
Enfin, vous aurez besoin d’un plan de communication pour vous guider dans la tâche difficile d’informer le public (et votre barreau d’État) que des escrocs en ligne ont réussi à saccager vos données en toute sécurité. Vous voudrez imprimer ce guide et le mettre dans un endroit facile d’accès.
–
Les cyberattaques peuvent vous arriver, que votre cabinet d’avocats soit grand ou petit. Il n’y a pas d’exceptions de volume en ce qui concerne les stratagèmes de vandalisme en ligne – qui, soit dit en passant, sont de plus en plus nombreux et en croissance. En tant que tel, vous devez être préparé à toute tentative de vol de données que vous êtes légalement et éthiquement tenu de protéger.
Je pense que c’est ainsi. Habituellement, celui qui vient combattre le mieux préparé gagne. Les cybervoleurs sont prêts – parfaitement préparés. Vous pouvez les vaincre, mais seulement si vous êtes mieux préparé qu’eux.
Tom Lambot
PDG de Bupa Guard
Cet article a été soumis par Tom Lambotte, un expert en cybersécurité qui travaille dans le secteur du support technique depuis plus d’une décennie. Tom a fondé BobaGuard en 2019, qui fournit des solutions clés en main aux avocats indépendants et aux petits et moyens cabinets d’avocats. En outre, Tom est également PDG et fondateur de GlobalMac IT, un fournisseur de services gérés spécialisé dans le service aux avocats utilisant Mac à l’échelle nationale en mettant en œuvre son processus Proven™.