Sicurezza informatica: se la minaccia arriva dagli studi legali esterni

Se un criminale informatico volesse mettere le mani sui dati più sensibili e preziosi di una società potrebbe provare a violarne la rete aziendale. Oppure potrebbe scegliere un’altra via. Quella che passa attraverso i computer e le banche dati dei loro consulenti esterni. Spesso, infatti, questa opzione potrebbe rivelarsi più semplice della prima visto che molti studi legali non adottano adeguate misure di sicurezza.

Il problema della cybersecurity degli studi legali è stato affrontato durante l’Alm’s Mid-year cybersecurity and data protection legal summit. Dal convegno è emerso – come riporta un articolo pubblicato su Corporate Counsel – che le aziende, e i loro general counsel, hanno tutto il diritto di verificare se gli studi legali con cui stanno lavorando utilizzano forme di protezione dei dati sensibili o se invece li lasciano esposti a potenziali violazioni. Un rischio che comporterebbe costi – non solo economici – molto alti per i clienti . 

“Che gli avvocati se ne rendano conto o meno, il punto è che stanno maneggiano dati di grande valore che i criminali potrebbero monetizzare” ha dichiarato Mark Sangster, vice presidente marketing di Esentire, società di sicurezza informatica. Dal summit è emerso però che il problema non si limita a una questione di “consapevolezza”. Spesso la vera difficoltà riguarda il fattore tempo e quello costi. Sembra infatti che gli studi facciano poco per la protezione delle loro banche dati perché non possono permettersi di spendere ore di lavoro e denaro nelle questioni “tecnologiche”. 

Un’altro relatore, Vincent Polley, responsabile It di Know Connect, e co-autore del Cybersecurity handbook dell’American bar association, ha spiegato che “anche se nessuna impresa ha ancora ammesso violazioni, non c’è alcun dubbio che questo sia già successo più e più volte”. Per questo motivo – e anche alla luce del fatto che le minacce informatiche sono cresciute molto negli ultimi anni – i relatori del summit hanno sottolineato che le aziende dovrebbero iniziare a considerare la possibilità di inserire tra i criteri che utilizzano per scegliere i propri consulenti esterni, anche la loro capacità di proteggere le proprie banche dati. “Se oggi io fossi un general counsel e dovessi ingaggiare uno studio legale, mi piacerebbe rivolgergli qualche domanda sulla sicurezza informatica che sono in grado di offrire. Gli chiederei, ad esempio: ‘Chi è il responsabile della vostra cybersecurity?’. E se come risposta ottenessi solo esitazione o uno sguardo perso nel vuoto, questo implicherebbe la fine di ogni mio interesse verso quello studio come possibile consulente esterno per la mia azienda” ha detto Polley. 

La grande attenzione rivolta dal mondo legale americano al tema della cybersecurity è testimoniata anche da una recente modifica, voluta dall’America bar association, alle norme che regolano la corretta relazione tra clienti e  legali. Secondo questa nuova versione gli avvocati hanno l’obbligo etico di garantire la sicurezza dei dati del cliente. “Gli studi legali, dopo queste modifiche al regolamento, sono diventati direttamente responsabili della sicurezza informatica e della corretta gestione delle informazioni che stanno raccogliendo sui loro clienti”, ha dichiarato Polley, chiarendo che “se non sono in grado di farlo devono assumere o ingaggiare personale in grado di consigliarli o di svolgere qusesto compito al posto loro”.

L’Aba ha inoltre stabilito, con una nuova modifica del regolamente sul codice etico, che gli avvocati, oltre ad essere responsabili della divulgazione delle informazioni riservate dei loro clienti, devono anche proteggerle “attivamente”. Questo significa che se gli studi legali non fanno tutti gli sforzi necessari per difendere le loro banche dati da possibili attacchi di hacker, non rientreranno più negli standard Aba.  

Polley, tra le altre misure, ha raccomandato agli studi legali di affidare a un senior partner la responsabilità della sicurezza informatica e svolgere corsi di formazione dei dipendenti sul tema della cybersecurity. Inoltre ha consigliato di adottare misure per garantire che i dati dei clienti vengano crittografati e protetti con password per impedire il libero accesso degli altri professionisti dello studio che non stanno seguendo quel cliente. Importante anche non utilizzare mai reti wifi libere.