Безпека даних у юрфірмі: сім питань, на які варто відповісти до того, як щось станеться

Юрист звільнився у п'ятницю. У понеділок ви згадуєте, що в нього досі є доступ до спільного диска з договорами, до робочої пошти і до таблиці з контактами всіх клієнтів. А ще в нього на ноутбуці лежить папка, яку він збирав два роки.

Це не історія про хакерів. Це найчастіший сценарій витоку в юридичній фірмі до двадцяти людей, і він узагалі не виглядає як інцидент. Ніхто нічого не зламував. Просто людина пішла і забрала з собою те, до чого мала доступ.

Я ставлю на демо одне й те саме питання: хто у вашій фірмі бачить суми за всіма договорами? Приблизно в половині випадків відповідь така, що власник сам на секунду замислюється. Помічник, який виставляє рахунки, бачить усе. Юрист, який веде три справи, бачить базу на триста клієнтів.

Що каже статистика і чому вона трохи не про нас

За опитуванням ABA, близько 29% фірм повідомляли про інцидент безпеки, і цифра зростає. Серед фірм, які постраждали, більш ніж половина втратила саме конфіденційні дані клієнтів. Середня вартість витоку в професійних послугах оцінюється в мільйони доларів.

Для української фірми на вісім юристів ці суми абстрактні. У нас ціна інша: скарга клієнта, дисциплінарне провадження, втрачений ключовий клієнт, який пішов до конкурента разом з колишнім співробітником. Ніхто не рахує це як «кіберінцидент», і тому ніхто цим не займається.

Локальна частина, яка з'явилася цього року

У серпні 2026 року НААУ випустила матеріал про компрометацію робочого пристрою адвоката, і там дуже конкретно. Інфостілер - це шкідлива програма, яка збирає дані із зараженого пристрою і передає їх у даркнет. В архів із викраденими даними потрапляють збережені паролі, дані банківських карток і криптогаманців, конфігурації месенджерів, перелік встановлених програм, файли з робочого столу і навіть вміст буфера обміну.

Окремо наголошено, що зараження робочого комп'ютера відкриває стороннім доступ до пошти адвоката, правових інформаційних систем, державних сервісів, банківських рахунків, хмарних сховищ, месенджерів і сервісів штучного інтелекту, зокрема до інформації клієнтів, яка в них міститься.

Перечитайте цей перелік ще раз, думаючи про свою фірму. Буфер обміну. Тобто фабула, яку юрист скопіював учора. Файли з робочого столу. Тобто скани паспортів, які хтось завантажив «на хвилинку».

Сім питань для аудиту, який займає годину

Де зараз фізично лежать документи ваших клієнтів. Не «у нас є диск», а чесний список: особистий Google Drive юриста, листування в Telegram, робочий стіл ноутбука, флешка в сейфі, папка на старому комп'ютері, який уже ніхто не вмикає.

Хто бачить фінанси. Суми за договорами, борги клієнтів, зарплати. Якщо відповідь «усі, хто працює в системі», це не розподіл доступів, це спільна папка з іншою назвою.

Що відбувається в день звільнення. Має бути один список того, що відкликається: пошта, диск, CRM, телефонія, спільні акаунти, доступ до банк-клієнта. Якщо списку немає, доступи живуть місяцями.

Скільки у вас спільних паролів на один акаунт. Один логін на всю команду означає, що ви ніколи не дізнаєтесь, хто саме вивантажив базу.

Чи є Telegram вашим сховищем документів. Для більшості фірм, які я бачив, відповідь «так», хоча на словах «ні».

Хто робить резервні копії і коли востаннє їх хтось відновлював. Резервна копія, яку жодного разу не розгортали, це не резервна копія, а припущення.

Чи можете ви дізнатися, хто саме вивантажив список клієнтів минулого вівторка. Якщо ні, у вас немає не тільки захисту, а й самої можливості розслідування.

Мій спірний висновок

Більшість грошей у малих юрфірмах витрачається не на те. Купують антивірус і думають, що закрили питання. Антивірус не має стосунку до сценарію, з якого я почав: там ніхто не зламував систему, там людина просто мала надлишковий доступ і скористалася ним законно.

Безпека в юрфірмі до двадцяти людей на дев'яносто відсотків складається з нудних організаційних речей: хто що бачить, що відбувається при звільненні, де лежать файли. І лише на десять відсотків з технічних. Більшість робить навпаки.

Що з цього закриває CRM, а що ні

У JuristCRM є ролі та права доступу, і це головне. Помічник бачить свої рахунки, а не фінанси всієї фірми. Юрист бачить свої справи. Доступи розподіляються між співробітниками і між організаціями, якщо у вас їх кілька. При звільненні доступ відкликається одним рухом, а дані залишаються у фірмі, а не на особистому диску людини, яка пішла.

Окремо є кнопка екстреної блокування системи. Функція рідкісна, і придумали ми її не для краси: бувають ситуації, коли доступ треба закрити негайно для всіх, не розбираючись по одному.

Тепер те, чого CRM не робить. Вона не лікує заражений ноутбук. Якщо на пристрої юриста працює інфостілер, а юрист залогінений у системі, жодні ролі вас не врятують, і тут потрібні вже інші інструменти та елементарна гігієна з паролями. Ми не проводимо аудит вашої інфраструктури і не замінюємо фахівця з безпеки. CRM прибирає найчастіший сценарій витоку, а не всі сценарії.

І ще. Якщо вашій фірмі потрібна сертифікація за міжнародними стандартами для роботи з конкретним клієнтом, це питання треба ставити нам напряму до підписання договору, а не після.

Почніть з найпростішого. Відкрийте список співробітників у будь-якій системі, де ви ведете роботу, і подивіться, хто з них бачить суми за всіма договорами. Якщо таких більше двох, у вас уже є що виправляти сьогодні.