De kwetsbaarheid zit vaak in de basis
Een kantoor investeert in goede juristen, een representatief pand en een degelijk dossiersysteem. De technische basis eronder krijgt minder aandacht. Mr. Online berichtte onlangs dat ruim een derde van de advocatenkantoren verouderde software op de website heeft. Dat zegt iets over hoe digitale veiligheid in de praktijk vaak wordt behandeld: als iets dat werkt zolang er niets misgaat. Hetzelfde geldt voor de manier waarop stukken worden verstuurd. Veel kantoren gebruiken een standaardpakket dat ooit is ingericht en sindsdien weinig is aangepast. Updates worden uitgesteld, oude accounts blijven bestaan en niemand weet precies wie nog toegang heeft tot de gedeelde mailbox van het secretariaat. Zolang er geen incident is, valt dat niemand op. Pas als een cliënt belt omdat hij een vreemd bericht uit naam van het kantoor heeft ontvangen, blijkt hoe weinig zicht er eigenlijk is op wie wat kan inzien.
Communicatie die past bij het beroepsgeheim
Wie vertrouwelijke stukken uitwisselt, wil zeker weten dat alleen de beoogde ontvanger ze kan lezen. Bij gewone berichten is dat niet vanzelfsprekend, want die worden onderweg en op servers vaak onversleuteld opgeslagen. Kantoren die daar bewust over nadenken, kiezen voor een beveiligde mail met versleuteling van begin tot eind. Dan staan processtukken, medische rapporten en financiële overzichten niet leesbaar op een server van een derde partij. Voor de cliënt verandert er weinig: die ontvangt een bericht zoals hij gewend is. Voor het kantoor betekent het dat de zorgvuldigheid die in het dossier zit, ook doorloopt tot in de verzending. Dat sluit aan bij wat cliënten van hun advocaat of notaris verwachten, ook als ze er zelf nooit naar vragen. Het geeft het kantoor bovendien een helder antwoord op de vraag van een zakelijke cliënt die wil weten hoe er met zijn gegevens wordt omgegaan.
Als er toch iets misgaat
Het meest voorkomende incident is geen hack, maar een vergissing. Een bericht met persoonsgegevens dat naar de verkeerde ontvanger gaat, een bijlage die niet bij het dossier hoort of een doorgestuurde reeks waarin te veel informatie zit. Op dat moment telt elk uur. Het Nationaal Cyber Security Centrum legt uit hoe het melden van een datalek werkt: binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens, en waar nodig ook bij de mensen van wie de gegevens zijn gelekt. Het loont om zo’n plan klaar te hebben liggen voordat het nodig is. Spreek binnen het kantoor af wie de eerste melding ontvangt, wie beoordeelt en wie de cliënt informeert. Een vast aanspreekpunt voorkomt dat een incident dagen blijft liggen omdat iedereen denkt dat een ander het al heeft opgepakt.
Kleine stappen voor een veiliger kantoor
Een veilige werkomgeving vraagt geen grootschalig project. Het begint met een paar gewoontes die iedereen op kantoor kan aanleren. Controleer bij elk bericht met gevoelige inhoud de ontvanger nog een keer, zeker als de adresbalk zichzelf automatisch aanvult. Zet tweestapsverificatie aan op alle accounts en ruim toegang op van medewerkers die zijn vertrokken. Laat updates niet maandenlang liggen. Zo bescherm je de cliënt en de reputatie van het kantoor in één beweging. De inbox hoort in dit beroep gewoon bij de zorgvuldigheid die je toch al betracht. Juist voor kleinere kantoren zonder eigen ICT-afdeling is het de moeite waard om die afspraken eens op papier te zetten en jaarlijks langs te lopen. Een uur per jaar is weinig vergeleken met de schade van één verkeerd verstuurd dossier.
