Microsoft 365 i Google Workspace w kancelarii: jak skonfigurować chmurę pod tajemnicę zawodową

Pytanie „czy kancelaria może korzystać z chmury" jest już w praktyce rozstrzygnięte — zdecydowana większość kancelarii pracuje na Microsoft 365 lub Google Workspace, bo poczta, kalendarz i dyski to dziś fundament codziennej pracy. Prawdziwe pytanie brzmi inaczej: czy Twoja chmura jest skonfigurowana tak, jak wymaga tego praca na danych objętych tajemnicą zawodową — czy stoi na ustawieniach domyślnych z dnia założenia konta?

Z audytów wiemy, że niemal zawsze to drugie. Poniżej przechodzimy przez to, co trzeba zmienić — niezależnie od tego, czy jesteś w ekosystemie Microsoftu, czy Google.

Czy kancelaria może legalnie trzymać dane klientów w chmurze?

Tak — przy spełnieniu warunków. Korzystanie z M365 czy Google Workspace to powierzenie przetwarzania danych w rozumieniu art. 28 RODO, a w przypadku kancelarii dochodzi do tego obowiązek zachowania tajemnicy zawodowej, który wymaga należytej staranności w doborze i konfiguracji narzędzi. W praktyce oznacza to trzy rzeczy:

1. Umowa powierzenia — obaj wielcy dostawcy oferują standardowe postanowienia o przetwarzaniu danych w ramach umów dla firm (nie kont prywatnych!); trzeba je świadomie zaakceptować i udokumentować.
2. Lokalizacja danych — plany biznesowe pozwalają ograniczyć przechowywanie danych do regionu UE; w kancelarii to powinno być ustawione, a nie pozostawione losowi.
3. Konfiguracja bezpieczeństwa — i tu jest sedno, bo umowa nie zabezpieczy danych, do których prowadzi konto bez MFA.

Wniosek: problemem kancelarii prawie nigdy nie jest „chmura jako taka", tylko konto firmowe traktowane jak prywatne — bez umów, bez konfiguracji, bez nadzoru.

Konfiguracja minimum: co musi być włączone

Uwierzytelnianie wieloskładnikowe — dla wszystkich

MFA na każdym koncie, łącznie ze wspólnikami i sekretariatem. Przejęta skrzynka wspólnika to dostęp do całej korespondencji kancelarii — i ulubiony scenariusz ataków „na zmianę numeru konta". To pojedyncze ustawienie eliminuje większość najpoważniejszych incydentów.

Zabezpieczenia domeny pocztowej: SPF, DKIM, DMARC

Trzy rekordy DNS, które decydują o tym, czy ktoś może bezkarnie podszywać się pod maile Twojej kancelarii — wysyłane np. do Twoich klientów. Konfiguruje się je raz; ich brak to otwarte drzwi do fraudów na Twoją markę. Pisaliśmy o tym szerzej w checkliście bezpieczeństwa IT kancelarii.

Kontrola udostępniania plików

Domyślne ustawienia dysków chmurowych bywają liberalne: „każdy z linkiem może wyświetlić". W kancelarii zasady muszą być odwrotne — udostępnianie zewnętrzne domyślnie ograniczone, linki z terminem ważności, a dostęp do akt sprawy tylko dla osób, które przy niej pracują. Struktura uprawnień powinna odwzorowywać strukturę spraw i klientów, nie „wspólny dysk dla wszystkich".

Urządzenia: firmowe i prywatne

Telefon z firmową pocztą i laptop z aktami to punkty dostępu do tajemnicy zawodowej. Oba ekosystemy dają centralne zarządzanie: wymuszenie blokady ekranu i szyfrowania, zdalne wymazanie danych firmowych ze zgubionego urządzenia, odcięcie sprzętu byłego pracownika. Bez tego polityka bezpieczeństwa kończy się na drzwiach biura.

Retencja, archiwizacja i logi

Ile lat przechowujecie korespondencję w sprawach? Czy potraficie odtworzyć skrzynkę osoby, która odeszła dwa lata temu? Czy w razie incydentu sprawdzicie, kto logował się do konta i skąd? Plany biznesowe M365 i Google Workspace mają te mechanizmy — domyślnie skonfigurowane pod „zwykłą firmę", nie pod podmiot z obowiązkami zawodowymi i terminami przedawnienia roszczeń.

Kopie zapasowe — tak, chmura też ich potrzebuje

Chmura chroni przed awarią dysku, ale nie przed człowiekiem: omyłkowym (lub złośliwym) usunięciem, nadpisaniem, ransomware szyfrującym pliki przez synchronizację. Niezależny backup danych z M365/Workspace to standard, nie paranoja.

Microsoft 365 czy Google Workspace — co wybrać?

Krótko: oba da się skonfigurować do standardu kancelarii i oba można skonfigurować fatalnie. Z naszego doświadczenia decydują kwestie praktyczne: na czym zespół już pracuje, z czym integruje się Wasze oprogramowanie kancelaryjne, jak wygląda praca na dokumentach (ciężkie formatowanie pism → Word ma przewagę; praca równoległa i prostota → Google). Migracja między ekosystemami jest możliwa, ale to projekt — dlatego nie wymuszamy zmiany: zarządzamy tym, co już masz, i doprowadzamy to do standardu tajemnicy zawodowej.

Kiedy chmura publiczna to za mało

Dla większości kancelarii dobrze skonfigurowany M365 lub Workspace w UE jest wystarczający. Są jednak sytuacje — szczególnie wrażliwe sprawy, wymagania klientów korporacyjnych, własne aplikacje i AI — w których kancelaria potrzebuje środowiska w pełni pod kontrolą: prywatnej chmury w UE, z własnymi aplikacjami, danymi i modelami AI w jednym miejscu. Do tego zbudowaliśmy hosting LegalCloud — to naturalny kolejny krok, gdy kancelaria wyrasta z pakietu biurowego.