Les dades dels teus clients,
sota pany.

Amb tres peces que se sostenen juntes: control d'accessos, xifratge del que és sensible i còpies de seguretat que de debò restauren. Un despatx gestiona expedients amb dades patrimonials, processals i de vegades mèdiques de tercers, així que no n'hi ha prou amb un antivirus i confiar. El primer és saber qui pot obrir cada expedient i per què: no tot l'equip necessita veure tots els casos. El segon és que els portàtils i discos que surten de l'oficina —a un judici, a una reunió amb un client— vagin xifrats, perquè un dispositiu perdut sense xifrar és un incident i el mateix dispositiu xifrat, en general, no ho és. El tercer són les còpies, provades de debò, no només programades. A això s'hi suma una cosa que gairebé ningú té signada: el contracte amb el teu proveïdor informàtic com a encarregat del tractament. Ho expliquem amb més detall a manteniment informàtic i RGPD per a empreses, i al teu despatx fem la revisió completa abans de tocar res.

Que deixis de treballar mentre es resol, si no hi ha còpies fiables al darrere. Un despatx viu d'expedients que no es poden refer a mà: un ransomware que xifra la carpeta de casos actius, o un disc que mor sense avís previ, paralitza la feina del dia i compromet la de mesos anteriors si no hi havia res desat a part. Muntem còpies automàtiques, en un suport diferent del que fas servir cada dia i amb almenys una fora de l'oficina, i les comprovem restaurant-les de debò, no només mirant que el procés hagi acabat sense error. Si a més passa el pitjor, les primeres hores després de detectar un xifratge o un accés estrany són les que decideixen quant se salva: aïllar l'equip afectat, no pagar per impuls, i saber a qui trucar abans que passi. Ho desenvolupem a què fer en les primeres hores d'un ransomware, lectura que convé tenir abans de necessitar-la, no després.

Sí, amb la connexió ben muntada, no amb qualsevol accés remot solt. Un soci que necessita entrar a un expedient des d'un jutjat, des de casa o des de l'oficina d'un client no hauria de dependre de compartir contrasenyes per correu ni d'un escriptori remot obert a internet sense més protecció. Configurem accés remot i VPN xifrades, amb doble factor d'autenticació perquè una contrasenya filtrada no basti per entrar, i deixem els expedients accessibles només des de dispositius i comptes autoritzats, mai des de qualsevol equip que algú tingui a mà. També importa què passa quan el portàtil d'un soci es perd o li roben: si està xifrat i l'accés remot es pot revocar a l'instant, un disgust no es converteix en una bretxa. Ho muntem juntament amb la resta de la infraestructura del despatx, a hosting i cloud, perquè accés remot i còpies visquin del mateix costat i no siguin dos sistemes solts que ningú acaba de coordinar.

Sí, i en un despatx mereix atenció especial perquè el correu mou diners: transferències de clients, pagaments a compte, canvis de compte bancari d'última hora. Configurem correu professional amb el teu propi domini, filtres antiphishing i els registres tècnics que dificulten que algú enviï correu fent-se passar pel teu despatx. Però el filtre mai atura el cent per cent, i el frau que més fa mal sol entrar per telèfon o per un correu que sembla d'un client real demanant canviar el compte de destinació d'un pagament. Per això l'altra meitat és formar l'equip perquè desconfiï de qualsevol canvi urgent en instruccions de pagament i el verifiqui sempre per un canal diferent del que va arribar l'avís, mai responent al mateix missatge. El mateix patró de manipulació apareix amb qui truca dient ser suport tècnic perquè li donis accés a l'equip; ho expliquem a com detectar una trucada falsa de suport tècnic, i convé que tot el despatx ho conegui, no només qui porta la informàtica.

Amb una còpia no n'hi ha prou, i desar-la al mateix disc que fas servir cada dia tampoc compta com a còpia. La referència que seguim és tenir diverses còpies del que no et pots permetre perdre, en suports diferents, amb almenys una fora de l'oficina física: així un incendi, un robatori o un ransomware que xifra tot el que troba connectat no s'emporta també les còpies. En un despatx això vol dir expedients actius, correu i la documentació fiscal i laboral pròpia, no només el que veu el client. La part que de debò demostra que una còpia funciona és restaurar-la i comprovar que el fitxer s'obre; una còpia que mai s'ha provat és una suposició, no una garantia. Ho expliquem amb el mètode complet a la regla 3-2-1 de les còpies de seguretat, i ho deixem configurat perquè es comprovi sol, sense que depengui que algú se'n recordi cada setmana.

Sí, si aquest proveïdor entra en equips on hi ha dades dels teus clients, i per donar suport hi entra. El RGPD anomena aquesta figura encarregat del tractament, i exigeix que la relació estigui regulada per escrit: quines dades toca, amb quina finalitat, amb quina confidencialitat es compromet el seu personal, quines mesures de seguretat aplica i què passa amb les dades quan la relació acaba. És habitual trobar despatxos amb tota la documentació de protecció de dades en ordre i sense aquest contracte signat, precisament amb qui té més accés tècnic als seus sistemes. És de les coses més fàcils de resoldre i de les que més es passen per alt, i funciona en els dos sentits: si un proveïdor s'estranya quan li demanes aquest contracte, això ja diu alguna cosa de com treballa. Ho expliquem amb més detall, inclosa la llista del que ha d'incloure, a què ha d'incloure un contracte de manteniment informàtic.