Чему юридические фирмы могут научиться из утечки из Панамских документов

Самая крупная утечка в истории исходит от юридической фирмы.

Все 11,5 миллионов файлов поступили из базы данных четвертой по величине офшорной юридической фирмы в мире Mossack Fonseca. Тот факт, что Mossack Fonseca является юридической фирмой, а не банком, легко забыть, поскольку самые громкие обвинения пока связаны с финансами. Утечки указывают на то, что фирма помогала политикам использовать секретные офшорные налоговые режимы и уклоняться от законов об отмывании денег.

Mossack Fonseca решительно защищает свое поведение в целом, заявляя, что соблюдает законы о борьбе с отмыванием денег и проводит тщательную комплексную проверку всех своих клиентов, при этом ссылаясь на конфиденциальность клиентов, чтобы отказаться обсуждать конкретные случаи предполагаемых правонарушений. В нем говорится, что он пытается предотвратить неправомерное использование своих услуг и не может быть обвинен в деятельности посредников, таких как банки, юридические фирмы и бухгалтеры.

Хотя об этой утечке только что попали в новости, в 2014 году VICE была частью истории .

Как произошла эта утечка?

Некоторая предыстория: отмывание денег часто связано с фиктивными компаниями или компаниями, которые создают дистанцию ​​между деньгами и их владельцем. Компаниям-оболочкам необходим зарегистрированный агент для подачи необходимых учредительных документов, офис которого обычно служит адресом оболочки. Этот агент часто является адвокатом или юридической фирмой, как, по всей видимости, в случае с Mossack Fonseca.

По данным VICE, Mossack Fonseca подала документы, а затем выступила в качестве адреса для отмывателя денег президента Башара аль Асада с 4 июля 2000 года до конца 2011 года. Это тот же период времени, когда Асад способствовал гибели сотен тысяч своих собственных людей. граждане.

Источник репортера Кена Сильверстайна на Mossack Fonseca, кажется, довольно окольным.

В 2006 году New Statemen сообщили, что ни одна иностранная компания не может вести бизнес в Сирии без одобрения и участия Рами Махлуфа, самого богатого и влиятельного бизнесмена в Сирии.

Затем WikiLeaks опубликовал секретную телеграмму из американского посольства в Дамаске от 2008 года, в которой Махлуф был назван «олицетворением коррупции в Сирии».

Затем министерство финансов США запретило американским компаниям вести дела с Махлуфом. Затем в 2011 году США и Европейский союз включили Махлуфа в список лиц, чьи международные активы должны быть отслежены и арестованы.

В июле 2012 года министерство финансов определило Дрекса - фиктивную организацию с адресом на Британских Виргинских островах - в качестве корпоративного механизма, который Махлуф тайно контролировал и использовал «для облегчения и управления своими международными финансовыми холдингами».

Как произошла эта утечка?

VICE сообщает, что немецкая газета Suddeutsche Zeitung (SZ) утверждает, что анонимный источник связался с ее журналистами более года назад, чтобы предоставить им 2,6 терабайта данных из Mossack Fonseca.

До сих пор неясно, действует ли один лидер по утечке информации самостоятельно или скоординированными усилиями.

Уроки для юридических фирм

Хотя Mossack Fonseca имеет более 40 офисов по всему миру, здесь есть уроки для юридических фирм любого размера. Вот несколько вещей, о которых следует помнить, читая о Панамских документах.

Сотрудники, а не хакеры - ваша угроза номер один.

Помните взлом Эшли Мэдисон? Группа хакеров, называющая себя «The Impact Team», взяла на себя кредит, но аналитик по ИТ-безопасности Джон Макафи утверждает, что данные были украдены женщиной, работавшей самостоятельно, которая работала на Avid Life Media.

Хотя все сосредоточены на предотвращении доступа внешних хакеров к данным юридических фирм, правда в том, что многие ведущие эксперты по ИТ-безопасности считают, что большинство утечек данных происходит изнутри .

Самая большая угроза безопасности данных вашей компании - это не хакеры и даже не информаторы. Это сотрудники облажались. В большинстве небольших фирм каждый сотрудник имеет доступ ко всем данным. Это означает, что один потерянный и незащищенный телефон, планшет или ноутбук может обернуться гибелью для безопасности ваших данных. Один человек, попавшийся на поддельную страницу входа в систему, может сделать ваши пароли бесполезными.

Хотя настоящие провалы более распространены, вы не можете игнорировать возможность должностных преступлений.

В начале 2015 года компания Proctor & Gamble подала иск против четырех бывших сотрудников компании Gillette, обвинив их в разглашении конфиденциальной информации и коммерческих секретов прямому конкуренту с целью получения личной выгоды. Позже в том же году Merit Health Northwest Mississippi обвинила сотрудника в краже имен пациентов, адресов, дат рождения, номеров социального страхования, информации о плане медицинского страхования и клинической информации с целью кражи личных данных.  

Помимо получения прибыли, многие сотрудники крадут и распространяют данные, чтобы отомстить своим работодателям за реальное или мнимое пренебрежение.

И тогда, конечно, мы не можем игнорировать информаторов.

Итак, что фирмы могут сделать, чтобы защитить свои данные? Лучше всего сочетать обучение сотрудников и ограниченный доступ. Другими словами, научите их, как правильно обрабатывать данные, и предоставьте им доступ только к тем данным, которые им нужны для выполнения их работы.

Вот несколько советов из 5 обязательных правил кибербезопасности юридических фирм за 2016 год .

1. Получите страховку от киберрисков.

Прежде чем я присоединился к моей коллеге Рэйчел Бургер из Platforms , она написала «Выживание в кибервойне: угроза инфляции в информационную эпоху». Как эксперт по кибербезопасности, она рекомендует компаниям оформлять страховку от киберрисков. «Когда ущерб от одной кибератаки составляет в среднем 5,5 миллиона долларов (и часто это приводит к закрытию компании), киберстрахование окупается».

«До недавнего времени американские компании не спешили вкладывать средства в страхование кибер-ответственности», - сказал Бургер. Она сравнила этот рост со страхованием ответственности по найму, которое было введено в 1990-х годах, но не стало основной статьей расходов до середины 2000-х годов. Ожидайте переломного момента для страхования киберрисков в 2016 году.

Если вы боитесь стоимости, помните, что цитата бесплатна, и ваша стоимость должна быть соизмерима с вашим уровнем риска.

2. Не используйте электронную почту

Это может вас удивить, но электронная почта по умолчанию не очень безопасна . Хотя стало лучше . Также очень легко пересылать и скрывать. Если вы собираетесь использовать электронную почту для общения с клиентами, шифрование электронной почты является «незаменимым инструментом для юристов», по словам эксперта по правовым технологиям и блоггера Роберта Амброджи.

Virtru - одно из самых простых решений для шифрования писем и их файлов. Ambrogi обзор Virtru, писать, «Как и другие приложения шифрования я уже рассмотрел, в нижней строке на Virtru является то , что она делает шифрование так же легко , как отправка электронной почты.»

Virtru позволяет компаниям отключать пересылку электронной почты и даже устанавливать даты истечения срока действия электронной почты, буквально «Это сообщение самоуничтожится». Одним из недостатков Virtru является то, что для этого требуется согласие обеих сторон.

Тем не менее, не используйте электронную почту. Общайтесь с клиентами через клиентский портал вместо электронной почты. Это лучший способ общения с клиентами. Многие программные продукты для управления юридической практикой предлагают клиентский портал, и большинство из них по умолчанию зашифрованы. Помимо шифрования, обмен данными и файлы на клиентском портале более безопасны, поскольку их труднее пересылать. Кроме того, пока учетные данные не передаются, другие люди не могут получить к ним доступ без ведома и разрешения фирмы.

Вы также должны быть уверены, что программное обеспечение вашей юридической фирмы предлагает многоуровневый доступ. Пользователи должны иметь разные уровни разрешений в зависимости от их ролей.  

И убедитесь, что ваш портал использует двухфакторную аутентификацию, предупреждает Николь Блэк, директор по развитию бизнеса и связям с общественностью MyCase. Это означает, что для входа в систему с нового компьютера или устройства требуются две формы проверки личности. Это может быть телефонный звонок, текстовое сообщение или альтернативный адрес электронной почты. Блэк также советует фирмам тщательно исследовать поставщиков. MyCase предлагает двухфакторную аутентификацию в качестве дополнительной функции, как и Clio и Time Matters .

3. Убедитесь, что ваши телефоны так же безопасны, как и компьютеры.

Повсюду работают юристы и другие сотрудники юридических фирм. Это означает, что их телефоны теперь так же подключены к конфиденциальным данным юридических фирм, как и их компьютеры. Но так ли они безопасны? Потерянный телефон - это не столько вопрос о том, действительно ли, а скорее вопрос о том, когда. Убедитесь, что это не катастрофа.

Независимо от того, есть ли у вас политика BYOD ( приносите собственное устройство ) или выдает телефоны сотрудникам, важно, чтобы они были защищены очень надежными паролями , в идеале вместе с утилитой управления паролями . Пароли следует менять регулярно, и в идеале они должны состоять из случайного набора цифр, прописных и строчных букв и символов.

Последние мысли о Mossack Fonseca

Возможно, это не история о том, какие сверхбогатые люди делали все, что в их силах, законных и незаконных, чтобы избежать налогов, сохранить свою финансовую анонимность и в целом сохранить свое богатство. «В конце концов, это то, что они делают, и неудивительно, что они всегда будут это делать, особенно после прошлогоднего раскрытия информации тем же ICIJ, который раскрыл список из 100 000 клиентов HSBC, которые покорно уклонялись от уплаты налогов. , - сообщает ZeroHedge.

Может быть, по крайней мере для юридических фирм, это рассказ о том, что ждет следователей. «В последние годы правительственные расследования были сосредоточены на том, как крупные банки используются для перемещения, сокрытия и отмывания денег богатыми», - заявляет специалист по Fusion . «Но новый сборник« Панамских документов »показывает роль в этом процессе часто упускаемых из виду юристов и инкорпорационных агентов».

Много раз Mossack Fonseca не имела ни малейшего представления о том, какие гнусные персонажи и что делали с компаниями, созданными фирмой - например, когда Юрген обнаружил в 2005 году, согласно внутренней электронной почте, что он был зарегистрированным агентом и указан в качестве директора компании, контролируемой Мексиканский наркобарон Рафаэль Каро Кинтеро. Соучредитель картеля Гвадалахара был осужден в Мексике в 1985 году за жестокое убийство агента Управления по борьбе с наркотиками США Энрике «Кики» Камарена. (Сегодня Кинтеро снова считается скрывающимся от правосудия в США после того, как он вышел из тюрьмы в 2013 году по формальным причинам).

Вот полный официальный ответ Mossack Fonseca.

Может быть, главный урок для юридических фирм состоит в том, что отсутствие подсказки не является оправданием.

Что ваша фирма делает для защиты ваших данных? Дай мне знать в комментариях.