Trumpai: Advokatų kontoros IT saugoje svarbi kiekviena sistema, per kurią mandantai siunčia ar atsiima dokumentus. Išsiaiškinkite, kurios iš jų veikia ant PHP, paprašykite patvirtinti pataisų būseną ir paleidimą iš naujo, o kiekvieną įtarimo atvejį tvarkykite taip, kad išliktų įrodymai ir konfidencialumas.
Kur kontoros naudoja PHP, dažnai to nežinodamos
Pati kontoros programinė įranga dažniausiai stovi biure arba specializuotame duomenų centre. PHP randamas kitose vietose: kontoros svetainėje su pirminės užklausos forma, dokumentų įkėlimo kelyje, vizitų registracijoje internetu ir savarankiškai eksploatuojamuose duomenų kambariuose. Daug kontorų saugiam dokumentų keitimuisi naudoja savo Nextcloud, kurį įrengė sistemų namai (IT integratorius).
Būtent šiuose duomenų kambariuose yra jautriausia, ką kontora turi: procesiniai dokumentai, įgaliojimai, sutarčių projektai, ekspertizės, įrodymų nuotraukos, baudžiamosiose bylose taip pat tyrimo medžiaga. PHP2Shell leidžia užpuolikams vykdyti kodą be prisijungimo. Stiprus portalo slaptažodis prieš tai nepadeda.
Kontoros, kurių specializacija šeimos, darbo ar medicinos teisė, papildomai tvarko sveikatos duomenis, ekspertizes ir privataus gyvenimo detales. Verslo teisės kontorose laikomi sandorių dokumentai, kurie iki paskelbimo gali daryti įtaką kainai. Kokia medžiaga yra jūsų portaluose, lemia, kaip sunkus yra incidentas.
Profesinė paslaptis ir duomenų apsauga: ką reiškia nutekėjimas
Advokatams galioja profesinė pareiga saugoti paslaptį. Neteisėtas mandanto paslapčių atskleidimas pagal Vokietijos baudžiamojo kodekso (StGB, Vokietijos įstatymas) 203 straipsnį gali užtraukti baudžiamąją atsakomybę. Be to, yra BDAR pareigos, prie kurių sveikatos ar baudžiamojo proceso atvejais priskiriamos specialios duomenų kategorijos.
Todėl duomenų nutekėjimas kontoroms kenkia dvigubai. Jis kelia pavojų vykstančioms bylos, pavyzdžiui, kai deryboms skirtos pozicijos ar taikos sutarčių projektai patenka į netinkamas rankas. Ir jis pažeidžia pasitikėjimą, ant kurio remiasi mandato santykis. Ar ir kaip turite informuoti mandantus bei priežiūros instituciją, įvertinkite su savo duomenų apsaugos pareigūnu ir profesinės teisės konsultacija.
Kontoros svetainė kaip sukčiavimo įrankis
Pažeistas kontoros serveris užpuolikams tarnauja ne tik kaip duomenų šaltinis. Su firminiu blanku, bylos numeriu ir tikrais vardais iš mandantų portalo galima padirbti raštus, kurių beveik neįmanoma atskirti nuo tikrų. Ypač jautrūs yra mokėjimo reikalavimai, pavyzdžiui, dėl taikos sumų ar mokesčių, su pakeista sąskaitos informacija.
Gali būti piktnaudžiaujama ir pirminės užklausos forma: užpuolikas nukreipia užklausas į savo adresą ir kontoros vardu susisiekia su besidominčiais. Todėl po incidento reikėtų ne tik leisti patikrinti serverį, bet ir aktyviai pranešti mandantams, kad sąskaitų rekvizitų niekada nekeičiate el. paštu.
Specialioji elektroninė advokato pašto dėžutė (beA) ir kontoros programinė įranga neveikia jūsų žiniatinklio serveryje. Pavojinga tampa ten, kur žiniatinklio serveryje saugomi prieigos duomenys prie pašto paskyrų ar kitų kontoros sistemų.
Kontoros IT sauga: kas už ką atsakingas?
Kontorose be savo IT skyriaus užduotys paprastai pasiskirsto taip:
| Sistema | Kas ją prižiūri | Atviras klausimas esant PHP2Shell |
|---|---|---|
| Kontoros programinė įranga, darbo vietos | Sistemų namai | dažniausiai neveikia |
| Nextcloud ar duomenų kambarys | Sistemų namai arba hostingo teikėjas | Kas pataiso PHP ir paleidžia iš naujo? |
| Svetainė su formomis | Interneto agentūra | Ar ji pas hostingo teikėją veikia su naujausiu PHP? |
| Vizitų registracija internetu | išorinis teikėjas arba įskiepis | Kur saugomi mandantų prašymai? |
Spraga atsiranda ten, kur sistemų namai laiko svetainę agentūros reikalu, o agentūra serverį hostingo teikėjo reikalu. Kiekvienai sistemai raštu užfiksuokite, kas atnaujina PHP ir paleidžia procesus iš naujo.
Neišvalykite įtartino serverio skubotai. Kas jį įdiegia iš naujo, kol pėdsakai neišsaugoti, vėliau nebegalės įrodyti, ar ir kokie mandantų duomenys nutekėjo.
Pirmosios valandos: veikti konfidencialiai ir atsekamai
- Užblokuokite paveiktus portalus ir duomenų kambarius mandantams, vidinį darbą tęskite per kontoros programinę įrangą.
- Išsaugokite žurnalus nuo 2026-10-20 ir išlaikykite serverio būseną, kol niekas neištrynė failų.
- Pataisų būseną ir paleidimą iš naujo raštu paklauskite eksploatuotojo. Vien rodomo versijos numerio nepakanka, nes backport gali palikti jį nepakeistą.
- Nustatykite siaurą ratą, kuris kalbės apie incidentą, ir paruoškite komunikaciją į išorę.
- Įtraukite duomenų apsaugos pareigūną ir stebėkite BDAR pranešimo terminą.
Kaip konkrečiai padeda PHP SOS?
- Prieš pirmą prieigą raštu sutvarkome konfidencialumo pareigą ir apribojame prieigą iki būtinos.
- Tikriname visų iš interneto pasiekiamų kontoros PHP sistemų pataisų būseną, veikimo režimą ir paleidimą iš naujo.
- Įtarimo atveju forensiškai išsaugome pėdsakus, kad vėliau būtų galima įrodyti, kas buvo pasiekta. Daugiau apie tai mūsų puslapyje IT forensika.
- Išvalome ir sutvirtiname sistemas bei dokumentuojame kiekvieną žingsnį kontoros vadovybei, duomenų apsaugos pareigūnui ir draudikui.
- Pageidaujant perimame nuolatinę portalų priežiūrą, kad kita PHP spraga nebeliktų tarp sistemų namų ir agentūros.
Dažni klausimai
Ar PHP2Shell veikia mūsų kontoros programinę įrangą?
Pati kontoros programinė įranga dažniausiai neveikia PHP žiniatinklio serveryje. Paveikti gali būti svetainė, įkėlimo formos, savarankiškai eksploatuojami duomenų kambariai, tokie kaip Nextcloud, ir portalai, pastatyti ant PHP. Aiškumo suteikia visų iš interneto pasiekiamų sistemų inventorizacija.
Ar išorinis IT paslaugų teikėjas incidento metu gali pasiekti mandantų duomenis?
Profesinė teisė ir Vokietijos baudžiamojo kodekso (StGB, Vokietijos įstatymas) 203 straipsnis tam tikromis sąlygomis, visų pirma esant pareigai saugoti paslaptį, leidžia pasitelkti padedančius paslaugų teikėjus. Kokie reikalavimai konkrečiai galioja jūsų kontorai, patikrinkite pagal profesinę teisę. Pareigą saugoti paslaptį prieš pirmą prieigą sureguliuojame raštu.
Ar turime informuoti mandantus apie ataką?
Esant rizikai susijusių asmenų teisėms, BDAR gali reikalauti pranešti, be to, atsižvelgiama į profesinės teisės aspektus. Sprendimas priklauso kontoros vadovybei ir duomenų apsaugos pareigūnui. Suderinta komunikacija apsaugo nuo prieštaringų pareiškimų.