Fil-qosor: Fis-sigurtà tal-IT ta' uffiċċju legali jgħodd kull sistema li permezz tagħha l-klijenti jibagħtu jew jaqraw dokumenti. Stabbilixxu liema minnhom jaħdmu fuq PHP, ħallu l-istat tal-patch u r-restart jiġu kkonfermati u ttrattaw kull każ ta' suspett b'mod li l-provi u l-kunfidenzjalità jinżammu.
Fejn l-uffiċċji legali jużaw PHP, ħafna drabi mingħajr ma jafu
Is-softwer tal-uffiċċju nnifsu ġeneralment jinsab fl-uffiċċju jew f'ċentru tad-data speċjalizzat. PHP jinstab f'postijiet oħra: fil-websajt tal-uffiċċju bil-formola għall-ewwel talba, fil-linji ta' upload tad-dokumenti, fil-prenotazzjonijiet online tal-appuntamenti u fid-data rooms imħaddma mill-uffiċċju stess. Ħafna uffiċċji legali jużaw għall-iskambju sigur tad-dokumenti Nextcloud proprju li stabbilixxa dar tas-sistemi (Systemhaus).
Eżattament dawn id-data rooms fihom l-aktar affarijiet sensittivi li għandu uffiċċju legali: atti, prokuri, abbozzi ta' kuntratti, opinjonijiet esperti, ritratti bħala provi u, f'kawżi kriminali, anke atti ta' investigazzjoni. PHP2Shell jippermetti lill-attakkanti jesegwixxu kodiċi mingħajr login. Password b'saħħitha fuq il-portal ma tgħin xejn kontra dan.
L-uffiċċji legali b'enfasi fuq id-dritt tal-familja, tax-xogħol jew mediku jipproċessaw barra minn hekk dikjarazzjonijiet dwar is-saħħa, opinjonijiet esperti u dettalji mill-ħajja privata. Fl-uffiċċji tad-dritt kummerċjali jinsabu dokumenti dwar tranżazzjonijiet li qabel il-pubblikazzjoni tagħhom jistgħu jkunu rilevanti għall-prezzijiet tas-suq. Liema materjal jinsab fil-portals tagħkom jiddetermina kemm inċident ikun gravi.
Segretezza professjonali u protezzjoni tad-data: x'tfisser tnixxija
Għall-avukati japplika obbligu professjonali ta' kunfidenzjalità. Żvelar mhux awtorizzat ta' sigrieti tal-klijenti jista' jkun punibbli skont il-§ 203 StGB. Barra minn hekk hemm l-obbligi tal-GDPR, li meta jkun hemm rabta mas-saħħa jew ma' proċedimenti kriminali jinkludu kategoriji speċjali ta' data.
Għalhekk tnixxija ta' data tolqot l-uffiċċji legali darbtejn. Tpoġġi f'periklu l-mandati li għaddejjin, pereżempju meta pożizzjonijiet ta' negozjar jew abbozzi ta' ftehim jaqgħu f'idejn żbaljati. U tgħaddi ħsara lill-fiduċja li fuqha hu bbażat ir-rapport ma' kull klijent. Jekk u kif għandkom tinfurmaw lill-klijenti u lill-awtorità, tevalwawh mal-uffiċjal tal-protezzjoni tad-data u b'konsulenza dwar id-dritt professjonali.
Il-websajt tal-uffiċċju bħala għodda għall-frodi
Server kompromess ta' uffiċċju legali jservi lill-attakkanti mhux biss bħala sors ta' data. B'ittra, numri tal-każijiet u ismijiet reali minn portal tal-klijenti jistgħu jiġu falsifikati ittri li bilkemm jiddistingwu mill-veri. Partikolarment delikati huma t-talbiet għal ħlas, pereżempju għal ammonti ta' ftehim jew spejjeż, b'kont bankarju mibdul.
Anke l-formola għall-ewwel talba tista' tiġi abbużata: attakkant jirridirezzja t-talbiet lejn indirizz tiegħu u jikkuntattja lil dawk interessati f'isem l-uffiċċju. Wara inċident għalhekk m'għandkomx tillimitaw ruħkom għall-verifika tas-server, imma twissu wkoll lill-klijenti b'mod attiv li qatt ma tbiddlu dettalji bankarji bl-email.
Il-kaxxa postali elettronika speċjali tal-avukati (beA) u s-softwer tal-uffiċċju ma jaħdmux fuq is-server tal-web tagħkom. Isir perikoluż fejn fuq is-server tal-web hemm maħżunin aċċessi għal kontijiet tal-posta jew għal sistemi oħra tal-uffiċċju.
Sigurtà tal-IT tal-uffiċċju legali: min huwa responsabbli għal xiex?
F'uffiċċji legali mingħajr dipartiment tal-IT proprju, ix-xogħol ġeneralment jinqasam hekk:
| Sistema | Min jieħu ħsiebha | Mistoqsija miftuħa dwar PHP2Shell |
|---|---|---|
| Softwer tal-uffiċċju, workstations | Dar tas-sistemi | ġeneralment mhux affettwat |
| Nextcloud jew data room | Dar tas-sistemi jew hoster | Min jipatchja lil PHP u jerġa' jibdieh? |
| Websajt bi formoli | Aġenzija tal-web | Taħdem għand il-hoster fuq PHP attwali? |
| Prenotazzjoni online tal-appuntamenti | fornitur estern jew plugin | Fejn jinsabu l-ħtiġijiet tal-klijenti? |
Il-lakuna tinqala' fejn id-dar tas-sistemi tqis il-websajt bħala kwistjoni tal-aġenzija u l-aġenzija tqis is-server bħala kwistjoni tal-hoster. Żommu bil-miktub għal kull sistema min jaġġorna lil PHP u jerġa' jibda l-proċessi.
Tnaddfux server suspettat bla ħsieb. Min jerġa' jwaqqfu mill-ġdid qabel ma jinżammu t-traċċi, aktar tard ma jistax jipprova jekk u liema data tal-klijenti ħarġet.
L-ewwel sigħat: tagixxu b'mod kunfidenzjali u traċċabbli
- Imblukkaw il-portals u d-data rooms affettwati għall-klijenti, u kompli x-xogħol intern permezz tas-softwer tal-uffiċċju.
- Żommu l-logs mill-20/10/2026 'il quddiem u ħallu l-istat tas-server intatt qabel ma jitħassru fajls.
- Staqsu lill-operatur bil-miktub dwar l-istat tal-patch u r-restart. In-numru tal-verżjoni murija waħdu mhuwiex biżżejjed, għax il-backports jistgħu iħalluh bla ma jinbidel.
- Iddeterminaw grupp żgħir li jitkellem dwar l-inċident u ħejju l-komunikazzjoni lejn barra.
- Involvu lill-uffiċjal tal-protezzjoni tad-data u żommu f'moħħkom it-terminu ta' notifika tal-GDPR.
Kif tgħin PHP SOS b'mod konkret?
- Qabel l-ewwel aċċess nirregolaw il-kunfidenzjalità bil-miktub u nillimitaw l-aċċess għal dak li huwa meħtieġ.
- Nivverifikaw l-istat tal-patch, il-modalità tat-tħaddim u r-restart tas-sistemi kollha tal-PHP tal-uffiċċju li jistgħu jintlaħqu mill-internet.
- F'każ ta' suspett insalvaw it-traċċi b'mod forensiku, biex aktar tard ikun jista' jiġi ppruvat x'ġie aċċessat. Id-dettalji fil-paġna tagħna dwar l-IT-forensika.
- Ninnaddfu u nsaħħu s-sistemi u niddokumentaw kull pass għad-direzzjoni tal-uffiċċju, għall-uffiċjal tal-protezzjoni tad-data u għall-assiguratur.
- Jekk tixtiequ, niehdu f'idejna l-manutenzjoni kontinwa tal-portals, biex il-lakuna ta' PHP li jmiss ma terġax tibqa' bejn id-dar tas-sistemi u l-aġenzija.
Mistoqsijiet frekwenti
Is-softwer tal-uffiċċju tagħna huwa affettwat minn PHP2Shell?
Is-softwer attwali tal-uffiċċju legali ġeneralment ma jaħdimx fuq server tal-web tal-PHP. Jistgħu jkunu affettwati l-websajt, il-formoli tal-upload, data rooms imħaddma mill-uffiċċju stess bħal Nextcloud u portals ibbażati fuq PHP. Inventarju tas-sistemi kollha li jistgħu jintlaħqu mill-internet jagħmel ir-realtà ċara.
Fornitur estern tal-IT jista' jaċċessa data tal-klijenti f'inċident?
Id-dritt professjonali u l-§ 203 StGB (il-Kodiċi Kriminali Ġermaniż) jippermettu li jiġu involuti fornituri li jikkooperaw taħt ċerti kundizzjonijiet, b'mod partikolari obbligu ta' kunfidenzjalità. Liema rekwiżiti japplikaw b'mod konkret għall-uffiċċju tagħkom tivverifikawh skont id-dritt professjonali. Aħna nirregolaw il-kunfidenzjalità bil-miktub qabel l-ewwel aċċess.
Irridu nżommu lill-klijenti infurmati dwar attakk?
Meta jkun hemm riskju għad-drittijiet tal-persuni kkonċernati, il-GDPR jista' jeħtieġ notifika, u barra minn hekk hemm kunsiderazzjonijiet ta' dritt professjonali. Id-deċiżjoni hija f'idejn id-direzzjoni tal-uffiċċju u tal-uffiċjal tal-protezzjoni tad-data. Komunikazzjoni kkoordinata tevita dikjarazzjonijiet kontradittorji.