サイバーセキュリティとデータプライバシー:現代の弁護士のための重要なクレトピック

一般的なサイバー脅威の法的慣行を標的

効果的な防衛策を策定するために、弁護士は最も有価な脅威を認識しなければなりません。

• ランサムウェア:] 復号化キーのファイルと支払いを暗号化するマルウェア。 法定会社は、データの高い値と法定期限の緊急性のために魅力的なターゲットです。
• ビジネスメール侵害(BEC):[攻撃者は、信頼できるパーティー(例えば、パートナーまたはクライアント)を偽装して、スタッフを配線資金や機密データを共有する。 これらの攻撃は、しばしば、スプーフィドドメインまたは侵害された電子メールアカウントを使用します。
• フィッシングとスピアフィッシング:[ 一般的なまたは高度に標的された不正メールは、資格情報を盗むか、マルウェアをインストールするように設計しました。 スピアフィッシングは、信頼性を高めるために継続的な法的事項を参照することができます。
• []インサイダー脅威:[[現在のまたは旧従業員、契約者、またはアクセス権を意図的に誤って誤用するパートナー。 これは、データの盗難、不注意な暴露、または情報を怠った処理を含むことができます。
• サプライチェーン攻撃:[])、サードパーティベンダーから、ソフトウェア、クラウドサービス、またはITサポートを法律事務所に提供する侵害を犯す。ベンダーの違反は、同社のシステムにカスケードすることができます。

主要なデータプライバシー規制 すべての弁護士はマスターする必要があります

データのプライバシー規制は、弁護士が個人情報を収集、保管、使用、共有する方法に直接影響を及ぼす連邦、州、および国際法のパッチワークです。 これらの法律のイグノウンスは責任です。 CLEコースは、法律および実用的なコンプライアンス戦略の手紙の両方をカバーする必要があります。 最も重要な規則は次のとおりです。

• [ GDPR(一般データ保護規則):[[)は、組織の所在地に関係なく、欧州連合の個人データを処理する組織に適用されます。 EUのクライアントまたは従業員の法律事務所は、厳格な同意、データ最小化、侵害通知(72時間以内)、およびデータ主体アクセス権を遵守しなければなりません。
• HIPAA(健康保険の可燃性および説明責任法):[]は、米国で保護された健康情報(PHI)を保護します。 多くの弁護士は、人身傷害、医療的過誤、雇用問題の保健データを処理しているが、それらは、そのプロセスが保護され、許可されている限り開示されていることを確実にしなければなりません。
• [CCPA(カリフォルニアコンシューマープライバシー法)とCPRA:[カリフォルニア住民が、その情報の販売について知って、削除、およびオプトアウトする権利を含む、自分の個人データを権利に付与します。 当事務所自体が他の場所で拠点を拠点とする場合でも、カリフォルニアのクライアントまたは従業員に法律事務所が遵守しなければなりません。
• [ 状態のブレーク通知法: 全50州には、影響を受ける個人への通知と、データ侵害の後に頻繁に規制当局が必要である。 通知要件は、彼らが動作する管轄区域のニュアンスを理解するために、弁護士にとって重要である。
• []連邦プライバシー法:[を提起しました。 アメリカのデータプライバシーと保護法(ADPPA)および他の法案は議論されています。 まだ法律ではありませんが、統一された連邦規格に対する傾向を知らせます。 このような変更を予想することは、破棄されたCLE焦点です。

法的専門家のための影響

コンプライアンスは単なるチェックではなく、単なるチェックではありません。弁護士は、プライバシーの原則を実践する布地に統合しなければなりません。これは、データマッピングの演習を実施し、プライバシーポリシーを更新し、データ保持スケジュールを実行し、サードパーティのサービスプロバイダ(例えば、クラウドストレージ、電子開示業者)が同等の保護を持っていることを確実にすることを含みます。遵守の失敗は、GDPR(グローバル年間売上高の4%まで)、CC(警察は、一般的な行動に対する違反を$ 7,500ドルに上回る)、GDPRの下で深刻な罰則をもたらすことができます。

また、データのプライバシーと法的倫理の交差点は、困難な質問を提起しています。例えば、法律事務所がクラウドにクライアントデータを格納する場合、会社はプロバイダのセキュリティを裁く独立した義務を持っていますか?答えはそうです:モデルルール5.3(非法援助に関する責任)と、多くの州で最近の倫理的な意見の下で、会社は、委託されたサービスは機密性を維持していることを確実にしなければなりません。プライバシー規制に関するCLEは、ベンダーに通知する義務を記述しています。

サイバーセキュリティとデータプライバシーの強化のためのベストプラクティス

堅牢なサイバーセキュリティとプライバシープログラムは、一回限りのプロジェクトではなく、継続的なプロセスではありません。 ソロ開業医から多国籍企業まで、あらゆる近代的な法律慣行に、次のベストプラクティスが標準であるべきです。

定期的なリスク評価を実施

脆弱性が第一段階である場合を理解する。リスク評価は、既存の制御を評価し、ギャップを識別し、是正努力を優先します。技術的、管理、および物理的な保護をカバーする必要があります。評価は、少なくとも毎年更新されるべきであり、新しいプラクティスエリア、合併、または技術導入などの操作に重要な変化がある場合にいつでも更新する必要があります。

強力なアクセス制御を実装

少なくとも特権の原則:各ユーザーは、自分の仕事を遂行するために必要なアクセスのみを持っている必要があります。 しっかりした管理システム、ドキュメント管理プラットフォーム、クライアントポータルのロールベースの権限を使用してください。 すべてのリモートアクセス、電子メール、および管理アカウントでマルチファクター認証(MFA)を実施します。 複雑なパスワードが必要で、安全な習慣を奨励するためにパスワード管理者を使用することを検討してください。

データを残りの部分とトランジットで暗号化する

暗号化は、認証鍵で復号化しない限り、データが読み取れない形式に変換されます。すべてのポータブルデバイス(ラップトップ、携帯電話、USBドライブ)を暗号化し、クラウドストレージサービスが少なくともAES-256暗号化で使用することを保証します。トランジットのデータについては、TLS 1.3を使用して、Webトラフィックとリモート接続用のVPN。暗号化は、物理的な盗難や不正なアクセスの影響を緩和します。

事件対応計画の開発・試験

システムが不可欠ではありません。インシデントレスポンスプラン(IRP)は、侵害から検出、含んだ、消去、および回復するための手順を概説しています。このプランには、明確な役割と責任、通信プロトコル(影響を受けたクライアントや規制当局への通知を含む)、外部専門家(サイバーフォレンジック、法的相談、広報)の関与が含まれるはずです。テーブルトップの演習 - 統合された違反と対応チームは、応答を実践し、弱点を特定するのに役立ちます。

定期的なセキュリティ意識トレーニングを提供

ヒューマンエラーは、データ侵害の主要原因です。パートナーから管理アシスタントまでのすべてのスタッフは、フィッシング、社会工学、安全なインターネット使用を認識し、疑わしい活動報告に関する年次トレーニングを受けなければなりません。現実的なフィッシングシミュレーションは、学習を強化することができます。トレーニングは、物理的なレコード(シュレッディング)の適切な処理とリモート作業の安全な実践をカバーする必要があります。

セキュアバックアップシステム

定期的なバックアップは、ランサムウェア、ハードウェアの故障、または自然災害の場合、データを復元できるようにします。 3 - 2ルール: 2つの異なるメディアタイプ上のデータ3コピー、保存されたオフサイト(できればオフラインまたは不変)のコピー。 バックアップが機能的であることを確認するために定期的にテスト復元。

サードパーティベンダーを慎重に管理

法律事務所は、クラウドストレージプロバイダ、電子ディスカバリープラットフォーム、プラクティス管理ソフトウェア、電子メールホスティングなど、多数の第三者に依存しています。 各会社は、障害の潜在的なポイントです。 ベンダーをオンボードする前にデューデリジェンスを実行します。 SOC 2またはISO 27001認証を要求し、その事件履歴を見直し、適切な保険を維持することを検証します。 契約的に、ベンダーは、侵害の会社に通知し、業界標準のセキュリティ対策に従わなければなりません。

安全なリモートワークポリシーを採用

ハイブリッドワークは標準的です。リモート従業員がエンドポイントセキュリティで会社管理デバイスを使用していて、VPNを介してのみ接続し、暗号化なしで公衆Wi-Fiを回避することを確認します。個人デバイス(BYOD)を使用して、自宅で物理的な文書を処理するための明確なルールを確立します。リモートワークポリシーは、デバイスとデータの適切な処理をカバーしるべきです。

脅威とテクノロジーを融合させ、現在を継続

サイバーセキュリティのランドスケープは急速に進化しています。AIが生成したディープファクチャリングオーディオなどの新しい攻撃方法、または、妥協されたソフトウェアのアップデートを使用してサプライチェーン攻撃を生成し、適応防衛を必要とします。 CLE、業界出版物(例:])、ABA Cybersecurity Resources)、およびフォーラム()などのCLE、業界出版物(例::])、および脅威のリスクをゼロに表示するリスクを予測します。

サイバーセキュリティとデータプライバシーの法的教育(CLE)の機会を継続

これらのトピックの深さと複雑さを考えると、専門CLEプログラムが有能なままにするために弁護士にとって不可欠です。 多くの州のバーは現在、サイバーセキュリティや技術の必須継続教育の一環としてCLEを必要とします。 必要ない場合でも、自主的な出席は卓越性とリスク緩和へのコミットメントを示しています。

品質を見つける場所 CLE

• [ 統計とローカルバー協会:[ほとんどのバー協会は、法律の練習技術とデータプライバシーに焦点を当てた定期的なセミナー、ウェビナー、および年次会議を提供しています。 バーの試験官またはローカルバーのCLEカレンダーの国立会議を確認してください。
• 法的技術ベンダー:[ Clio、MyCase、NetDocuments などの企業は、法律事務所に適したサイバーセキュリティのベストプラクティスに関する CLE 認定ウェビナーをホストします。 これらは、実用的、ベンダー固有のアドバイスが含まれます。
• [ 国組織:]] ABAのサイバーセキュリティ法的なタスクフォースは、リソースとトレーニングを提供します。 ]国際プライバシープロフェッショナル協会(IAPP)[]]]]は、CCPA、GDPR、および新興米国州の法律を含むプライバシー法に深いダイブを提供しています。
• オンラインCLEプラットフォーム:[]のようなウェブサイト]ローライン]と[IP法的フロンティア[]]]]データ侵害、倫理的義務、規制遵守をカバーするオンデマンドコースを提供します。
• ロースクール:]] 多くの法律学校は、サイバーセキュリティ法やデータプライバシーの証明書プログラムを提供します。 いくつか、スタンフォードのインターネットと社会のためのセンター、無料のウェビナーと研究論文を提供します。

サイバーセキュリティCLEで探すべきこと

CLEは、すべてのCLEが同じように作成されるわけではありません。値を最大化するには、以下のプログラムを探します。

• 抽象理論ではなく、法的および技術的な側面の両方に対処します。
• すぐに実装できる実用的なチェックリスト、テンプレート、またはフレームワークを提供します。
• 最近のケース法と規制の決済をカバーして、現実世界の結果を示す。
• ベンダー契約のモック違反対応や契約レビューなどの実用的な演習を含める。
• サイバーセキュリティが機密性と能力の職務を直接侵害する可能性がある場合、倫理クレジットを提供します。

モデル規則に基づく倫理的な義務

サイバーセキュリティと法的倫理の交差点は、過小評価できません。 2018年、ABAはモデルルール1.6(情報の機密性)を改正し、弁護士がクライアント情報の不変または不正な開示を防ぐための合理的な措置を講じなければならないことを明らかにしました。 弁護士は、異なるタイプの通信に必要なセキュリティのレベルを考慮するべきであると明示的に述べた18。 CLEプログラムは、以下の訓練を行う必要があります。

• モデルルール1.1:]]]] 能力の義務には、理解技術と使用の危険性が含まれます。 基本的なセキュリティ対策を採用する失敗は、不快感と考えられる可能性があります。
• [モデルルール1.6:]]]] 機密性義務は、暗号化、安全な通信チャネル、およびプルデントベンダー管理を含むクライアントデータを保護するための肯定的な手順が必要です。
• [モデルルール5.3:[]]]]) 弁護士を監督することは、クライアントデータにアクセスしている非法的なスタッフとサードパーティのベンダーを担当しています。 これは、セキュリティプロトコルを賭け、契約保護を確実にする必要があります。
• モデルルール8.4(c):[]] 関与する不意、不正、または虚偽の行為に従事する。 クライアントデータを無視して、セキュリティ基準に従うための体系的な失敗から結果が生じた場合は、クライアントデータを懲戒処分に直面する可能性がある。

州の倫理観は、クラウドコンピューティング、電子メール暗号化、およびデジタルデータの保持の使用など、特定のシナリオにますます対処しています。例えば、ニューヨーク州バー協会の意見書1151 (2021)は、弁護士がクラウドサービスを使用するかもしれないことを確認していますが、機密性を確保するために合理的な措置を講じなければならない。倫理とサイバーセキュリティに関するCLEは、弁護士がこれらの迷惑な要件をナビゲートするのに役立ちます。

ソロと小規模の企業のための特別な配慮

大規模な企業は、ITとセキュリティチームを専任していることが多い一方で、ソロ開業医や小規模企業が予算や専門知識が限られている。しかし、彼らは同じ脅威に直面しています。多くの場合、侵害から回復するリソースが不足しています。小規模な企業のための重要な戦略は次のとおりです。

• 暗号化、MFA、自動バックアップなどのセキュリティ機能を含む包括的なプラクティス管理ソフトウェアを使用して。
• ITセキュリティを管理されたサービスプロバイダ(MSP)に委託し、法的慣行を専門としています。
• 侵害対応コスト、法的な防衛、規制罰金をカバーするサイバーセキュリティ保険を購入します。
• ピアグループやバーの組織のサイバーセキュリティのラウンドテーブルに参加して、ベストプラクティスと脅威インテリジェンスを共有します。

未来に向けて準備:AI、IoT、拡大攻撃面

法律事務所は、文書のレビュー、契約分析、および法的研究のための人工知能ツールを採用しているため、新しいプライバシーとセキュリティの課題が現れます。AIシステムは、多くの場合、トレーニングのための大きなデータセットを必要とし、それらのデータセットには機密クライアント情報が含まれる場合があります。弁護士は、AIベンダーが十分なデータ保護を提供し、AIの使用が機密性に反するわけではありません。同様に、スマートオフィス機器、カメラ、音声アシスタントを含むIoT(IoT)は、攻撃面を拡張する可能性があることを確認しなければなりません。セキュリティ対策は、CRESTAの重要な会議にとどまる可能性があります。

コンテンツ

サイバーセキュリティとデータのプライバシーは、現代の弁護士にとってもはやオプションのトピックではありません。彼らは有能で倫理的な慣行に不可欠です。GDPRとCCPAの規制の迷路を理解し、暗号化、MFA、および事件対応計画などの実用的な防衛を実施し、法律の専門家に対する要求は実質的です。継続的な法律教育は、これらの課題を効果的に満たすために必要な構造化された最新の知識を提供します。継続的な学習に投資することによって、弁護士は、クライアントや企業を保護するだけでなく、法的専門家が、法律上のセキュリティを強化し、規制当局は、より厳しい状況を継続し、サイバーセキュリティを強化し、セキュリティを強化します。