Microsoft 365 i Google Workspace w kancelarii: jak skonfigurować chmurę pod tajemnicę zawodową

Kancelaria prawna może bezpiecznie pracować w chmurze. Problem w tym, że sama subskrypcja Microsoft 365 albo Google Workspace nie oznacza jeszcze bezpiecznej kancelarii. Największe ryzyka nie wynikają z tego, że kancelaria korzysta z chmury — wynikają z tego, że chmura jest skonfigurowana przypadkowo: każdy może udostępniać dokumenty linkiem publicznym, byli współpracownicy nadal mają dostęp do plików, konta nie mają MFA, partnerzy używają prywatnych skrzynek, a backup traktowany jest jako coś, co „pewnie robi Microsoft albo Google".

Hasło „kancelaria napędzana chmurą" dobrze wygląda w materiałach marketingowych, ale w praktyce o bezpieczeństwie decyduje konfiguracja, nie slogan. W tym poradniku pokazujemy, jak myśleć o Microsoft 365 i Google Workspace w kancelarii prawnej: co skonfigurować, co ograniczyć, co dokumentować i jak ustawić chmurę tak, żeby wspierała tajemnicę zawodową, a nie tworzyła nowe ryzyka.

Chmura w kancelarii prawnej — czy to w ogóle bezpieczne?

Chmura nie jest problemem. Problemem jest brak konfiguracji

Microsoft 365 i Google Workspace mogą być bezpiecznym fundamentem pracy kancelarii. Chmura zmieniła codzienną pracę prawnika — pozwala pracować z każdego miejsca i w dowolnym momencie, a pandemia tylko przyspieszyła jej adopcję. Kłopot w tym, że możliwości chmury rosną szybciej niż świadomość, jak ją bezpiecznie ustawić. Ryzyko pojawia się, gdy rozwiązania chmurowe są wdrożone „domyślnie", bo domyślna wygoda zwykle wygrywa z bezpieczeństwem. W modelu chmurowym kancelaria nie utrzymuje już własnego serwera w szafie — dane, pliki i bazy są przetwarzane w infrastrukturze dostawcy. Tym ważniejsze jest, by kancelaria miała administratora, polityki dostępu i procedury pracy z dokumentami.

Chmura w kancelarii nie powinna działać jak wspólny dysk z ładniejszym interfejsem. Powinna być kontrolowanym środowiskiem pracy z dokumentami klienta.

Tajemnica zawodowa to nie tylko RODO

Dane osobowe to tylko część problemu. Wymogi RODO i ochrony danych osobowych są ważne, ale tajemnicą zawodową mogą być objęte także dokumenty, strategie, opinie, negocjacje i sam fakt obsługi danego klienta. Poufność trzeba więc chronić jednocześnie organizacyjnie i technicznie — a punktem wyjścia jest prosta wiedza: kto ma dostęp do jakich spraw. To zresztą fundament szerszego bezpieczeństwa IT w kancelarii, którego chmura jest tylko jednym z elementów.

Microsoft 365 czy Google Workspace — które rozwiązanie lepsze dla kancelarii?

To nie jest wojna religijna. Oba ekosystemy potrafią być bezpieczne; różnią się stylem pracy, do którego pasują.

Microsoft 365 w kancelarii

Sprawdza się, gdy kancelaria mocno pracuje w Wordzie, Excelu i Outlooku, chce budować strukturę dokumentów w SharePoint i Teams, potrzebuje etykiet poufności, DLP i zaawansowanych polityk, korzysta z Windows i urządzeń zarządzanych centralnie albo planuje wdrożenie Copilot.

Google Workspace w kancelarii

Sprawdza się, gdy kancelaria pracuje zespołowo w Dokumentach Google, chce prostszego modelu współpracy, ma rozproszony zespół, używa Gmaila jako głównej poczty, opiera strukturę pracy na Shared Drives i potrzebuje szybkiej pracy w przeglądarce.

Najważniejsze pytanie nie brzmi: Microsoft czy Google?

Wybór ekosystemu to dopiero początek. Dużo ważniejsze są pytania: kto będzie administratorem, jak będą nadawane uprawnienia, jak powstaną przestrzenie dla poszczególnych spraw, czy w ogóle dopuszczamy linki publiczne, jak będzie wyglądał offboarding i backup, jak kontrolujemy urządzenia i czy kancelaria ma spisaną politykę pracy z dokumentami. To na te pytania odpowiada bezpieczna konfiguracja — niezależnie od tego, czy wybierzesz Microsoft 365, czy Google Workspace. W praktyce doprowadzamy do standardu to, co kancelaria już ma, zamiast wymuszać zmianę ekosystemu.

1. Tożsamość i logowanie: każde konto musi należeć do konkretnej osoby

Bezpieczeństwo zaczyna się od tożsamości. Każda osoba pracująca w kancelarii — od adwokatów i radców prawnych, przez aplikantów i administrację, po zewnętrznych współpracowników — powinna mieć osobne, imienne konto, bez wspólnych loginów i bez pracy na prywatnych adresach e-mail. MFA musi być standardem, a konta administratorów powinny być oddzielone od kont używanych do codziennej pracy.

W Microsoft 365: MFA dla wszystkich użytkowników, osobne role administratorów, ograniczona liczba globalnych adminów oraz dostęp warunkowy (Conditional Access), jeżeli pozwala na to licencja.

W Google Workspace: weryfikacja dwuetapowa dla wszystkich, osobne role administracyjne, ograniczenie liczby super administratorów oraz Context-Aware Access w wyższych pakietach.

Jeżeli kancelaria nie wie, kto loguje się do jakiego konta, nie ma realnej kontroli nad tajemnicą zawodową.

2. Struktura dokumentów: sprawy, klienci i zespoły muszą mieć porządek

Najgorszy model: jeden wielki dysk kancelarii. Jeden ogromny folder, w którym leży wszystko, to przepis na kłopoty: chaos katalogów, brak kontroli dostępu, dziedziczenie uprawnień, którego nikt nie pilnuje, przypadkowe udostępnienia i offboarding, przy którym nie sposób ustalić, kto właściwie ma dostęp do akt.

Lepszy model w Microsoft 365: SharePoint jako główne miejsce dokumentów, z osobnymi witrynami lub bibliotekami dla działów albo typów spraw. Teams pełni rolę warstwy komunikacji, a nie śmietnika na pliki. OneDrive zostaje do pracy osobistej, a nie do trwałego przechowywania akt.

Lepszy model w Google Workspace: Shared Drives jako główne repozytorium dokumentów kancelarii, z osobnymi dyskami dla klientów, zespołów lub obszarów praktyki. „Mój dysk" nie powinien być głównym miejscem na akta, a uprawnienia najlepiej nadawać przez grupy, a nie pojedynczo i przypadkowo.

3. Udostępnianie dokumentów: największe ryzyko siedzi w linkach

Najwięcej incydentów w chmurze nie zaczyna się od włamania, tylko od udostępniania. Linki publiczne, linki „każdy, kto ma link", udostępnianie poza domenę, wysyłka dokumentów do klientów, praca z biegłymi, tłumaczami, księgowymi i doradcami — każdy z tych przypadków to potencjalny wyciek, jeśli nie ma reguł i dat wygaśnięcia dostępu.

Zasady dla kancelarii: domyślnie blokuj publiczne linki, a udostępnianie zewnętrzne dopuszczaj tylko świadomie. Stosuj daty wygaśnięcia dostępu i okresowo audytuj pliki udostępnione poza kancelarię. Do współpracy z klientem twórz osobne przestrzenie i nigdy nie wysyłaj dokumentów przez prywatne konta. Dla najbardziej wrażliwych transakcji — na przykład due diligence — zamiast zwykłego linku warto rozważyć dedykowane środowisko typu virtual data room.

Największym zagrożeniem w chmurze często nie jest haker. Jest nim link wysłany w pośpiechu do niewłaściwej osoby.

4. Klasyfikacja dokumentów: kancelaria powinna wiedzieć, co jest poufne

Prosty model klasyfikacji dla kancelarii wystarczy oprzeć na kilku poziomach: Publiczne, Wewnętrzne, Poufne, Tajemnica zawodowa oraz Dane szczególnej kategorii / wysokie ryzyko. Im prostszy model, tym większa szansa, że zespół faktycznie będzie go używał.

Microsoft 365: klasyfikację realizują sensitivity labels (etykiety poufności). Pozwalają oznaczać dokumenty, szyfrować wybrane pliki, ograniczać dostęp i integrować się z DLP — automatycznie albo ręcznie.

Google Workspace: odpowiednikiem są classification labels oraz reguły ochrony danych. Razem z DLP dla Gmaila i Dysku pozwalają oznaczać dokumenty i budować osobny workflow dla materiałów o podwyższonej poufności.

5. DLP: jak ograniczyć przypadkowy wyciek danych?

DLP (Data Loss Prevention) to mechanizmy wykrywania i blokowania ryzykownego udostępniania danych. Taki system może ostrzec użytkownika, zablokować wysyłkę albo powiadomić administratora. Nie zastępuje zdrowego rozsądku i procedur, ale wyłapuje błędy, zanim staną się incydentem. Przykładowe reguły DLP dla kancelarii:

• ostrzeżenie przy wysyłce dokumentu oznaczonego jako „Tajemnica zawodowa" poza domenę,
• blokada wysyłki plików z danymi szczególnej kategorii na prywatne adresy,
• alert przy masowym udostępnieniu dokumentów,
• blokada udostępniania folderu sprawy linkiem publicznym,
• ostrzeżenie przy wysyłce do domen spoza listy zaufanych.

6. Poczta kancelarii: SPF, DKIM, DMARC i ochrona przed podszywaniem

Poczta to główny kanał kontaktu z klientem — i jeden z najczęstszych wektorów ataku. Phishing, podszywanie się pod kancelarię, fałszywe faktury, przejęcie skrzynki, wysyłka dokumentów do złego adresata: większości z tych problemów przeciwdziała połączenie MFA, reguł antyphishingowych, banerów oznaczających wiadomości zewnętrzne i poprawnie ustawionej domeny.

Minimalna konfiguracja domeny to SPF, DKIM i DMARC — razem z monitoringiem odrzuceń, ochroną przed spoofingiem oraz aliasami i grupami pocztowymi pod kontrolą administratora. To one sprawiają, że nikt nie podszyje się łatwo pod adres kancelarii. Rozkładamy te trzy rekordy na czynniki pierwsze w checkliście bezpieczeństwa IT kancelarii.

Jeżeli klient nie może ufać, że mail z kancelarii naprawdę pochodzi z kancelarii, problem nie jest techniczny. Jest reputacyjny.

7. Urządzenia: chmura nie zabezpieczy laptopa pozostawionego w pociągu

Najlepiej skonfigurowana chmura nie pomoże, jeśli akta wyciekną ze zgubionego, niezaszyfrowanego laptopa. Dlatego do obrazu trzeba dołożyć urządzenia: szyfrowanie dysków, blokadę ekranu, aktualizacje, możliwość zdalnego wymazania, zarządzanie telefonami oraz zasady pracy zdalnej i dostępu z urządzeń prywatnych lub niezaufanych.

Microsoft 365: Intune do zarządzania urządzeniami, Defender, wymóg zgodności urządzenia z polityką, dostęp warunkowy oraz wymuszanie szyfrowania i aktualizacji.

Google Workspace: endpoint management, zatwierdzanie urządzeń, Context-Aware Access i kontrola dostępu do usług wyłącznie z określonych, zaufanych urządzeń.

8. Backup: Microsoft i Google to nie jest pełna strategia backupu

To jedno z najczęstszych nieporozumień. Retencja i kosz to nie to samo co backup, a synchronizacja backupem nie jest w ogóle. Ransomware potrafi zaszyfrować lub usunąć dane zsynchronizowane w chmurze, a zwykły błąd użytkownika rozlewa się po całym środowisku. Dlatego odtwarzanie danych trzeba realnie testować, a nie zakładać, że „dostawca to ma".

Backupem powinny być objęte: poczta, pliki, SharePoint i Shared Drives, kalendarze, kontakty, konfiguracje, strona internetowa oraz kluczowe systemy kancelarii — w tym oprogramowanie prawnicze czy integracje z systemami zewnętrznymi, jak Krajowy System e-Faktur (KSeF). Minimalne zasady backupu to: kopia niezależna od głównego dostawcy, szyfrowanie, retencja dopasowana do kancelarii, regularny test odtworzenia oraz dokumentacja — co backupujemy, jak często i kto za to odpowiada. Niezależny backup danych z chmury może być częścią hostingu i kopii zapasowych LegalCloud albo szerszej obsługi IT kancelarii.

9. Retencja, archiwizacja i eDiscovery

Kancelaria powinna świadomie ustalić, jak długo trzyma pocztę i dokumenty spraw, jak archiwizuje materiały po zakończeniu sprawy i jak działa legal hold. To rozstrzyga konflikt między podejściem „trzymamy wszystko na zawsze" a zasadą minimalizacji danych.

Microsoft 365: retention policies, Microsoft Purview, archiwizacja oraz eDiscovery do wyszukiwania i eksportu danych na potrzeby postępowań.

Google Workspace: Google Vault, zasady retencji, wyszukiwanie i eksport danych oraz archiwizacja kont byłych pracowników.

10. Offboarding: najczęściej zapomniany element bezpieczeństwa

Odejście prawnika, koniec współpracy z aplikantem, zewnętrzny współpracownik, klient z dostępem do folderu, były administrator, rotacja personelu — każda z tych sytuacji wymaga uporządkowanego offboardingu. Inaczej dostęp do danych zostaje długo po tym, jak zniknął powód, by go mieć. Checklista offboardingu:

• blokada konta,
• wylogowanie aktywnych sesji,
• zmiana haseł do kont współdzielonych, jeśli istnieją,
• odebranie dostępu do dokumentów,
• przekazanie właścicielstwa plików,
• archiwizacja skrzynki,
• usunięcie z grup,
• odebranie dostępu do urządzeń,
• weryfikacja zewnętrznych udostępnień,
• wpis do rejestru offboardingu.

Dostęp do tajemnicy zawodowej nie powinien trwać dłużej niż relacja, która ten dostęp uzasadnia.

11. Teams, Meet, Chat i komunikatory: rozmowy też zawierają tajemnicę

Łatwo zabezpieczyć dokumenty i zapomnieć o rozmowach. Tymczasem czat z klientem, pliki wrzucane na kanał, nagrania spotkań, transkrypcje i automatyczne notatki również zawierają informacje objęte tajemnicą. Do tego dochodzi dostęp gości i kanały zewnętrzne.

Zasady dla kancelarii: nie nagrywaj spotkań bez wyraźnej potrzeby, kontroluj dostęp gości i ustal z góry, gdzie trafiają nagrania. Nie wrzucaj dokumentów sprawy do przypadkowych kanałów, a przestrzenie po zakończonych sprawach usuwaj lub archiwizuj.

12. AI w Microsoft 365 i Google Workspace: Copilot, Gemini i dane kancelarii

AI wchodzi dziś bezpośrednio do poczty, dokumentów i spotkań. To zmienia stawkę: problemem nie jest już sam chatbot, lecz dostęp AI do całego środowiska kancelarii. Jeżeli uprawnienia w SharePoint czy na Dysku są chaotyczne, asystent AI tylko szybciej ten chaos ujawni — pokazując użytkownikowi dokumenty, których w teorii nie powinien zobaczyć. Co sprawdzić przed włączeniem Copilot lub Gemini:

• kto ma dostęp do jakich dokumentów,
• czy dokumenty są poprawnie sklasyfikowane,
• czy istnieją linki publiczne,
• czy konta byłych osób są zamknięte,
• czy są zasady korzystania z AI i jakie dane mogą trafiać do promptów,
• czy istnieje polityka AI.

AI nie tworzy porządku w dokumentach. AI pokazuje, czy ten porządek naprawdę istnieje.

To dlatego uporządkowanie chmury jest warunkiem wstępnym całego wdrożenia AI w kancelarii — a granicę między bezpiecznym a ryzykownym użyciem modeli rozbieramy w tekście ChatGPT a tajemnica zawodowa. Gdy potrzebne jest środowisko AI pod pełną kontrolą, wchodzi własny system AI dla kancelarii.

13. Audyt konfiguracji chmury w kancelarii — co sprawdzić?

Poniższa lista kontrolna pozwala szybko ocenić, gdzie kancelaria stoi. Każde „nie wiem" to obszar do uporządkowania.

1. Czy każda osoba ma własne konto?
2. Czy MFA jest włączone dla wszystkich?
3. Czy liczba administratorów jest ograniczona?
4. Czy istnieją osobne konta administratorów?
5. Czy pliki spraw są w SharePoint/Shared Drives, a nie na prywatnych dyskach?
6. Czy linki publiczne są zablokowane albo ograniczone?
7. Czy udostępnienia zewnętrzne są okresowo sprawdzane?
8. Czy kancelaria ma klasyfikację dokumentów?
9. Czy działa DLP?
10. Czy skonfigurowano SPF, DKIM i DMARC?
11. Czy urządzenia są zarządzane?
12. Czy istnieje niezależny backup?
13. Czy backup był testowany?
14. Czy istnieje procedura offboardingu?
15. Czy są logi i alerty bezpieczeństwa?
16. Czy Teams/Meet/Chat mają zasady dla gości i nagrań?
17. Czy AI w chmurze ma ustalone reguły użycia?
18. Czy kancelaria ma politykę pracy z dokumentami?
19. Czy wiadomo, kto odpowiada za konfigurację?
20. Czy kancelaria potrafi wykazać swoje zabezpieczenia klientowi?

Najczęstsze błędy kancelarii przy Microsoft 365 i Google Workspace

1. Korzystanie z prywatnych skrzynek — dane wychodzą poza kontrolę kancelarii.
2. Brak MFA — jedno wykradzione hasło wystarcza do przejęcia konta.
3. Jeden administrator „od wszystkiego" — brak rozdziału ról i pojedynczy punkt awarii.
4. Dokumenty spraw na prywatnych dyskach użytkowników — akta poza wspólną, kontrolowaną strukturą.
5. Linki „każdy z linkiem" — dostęp, którego nikt nie odwołuje.
6. Brak audytu udostępnień zewnętrznych — nie wiadomo, co i komu jest udostępnione.
7. Brak procedury offboardingu — dostęp zostaje po byłych osobach.
8. Mylenie synchronizacji z backupem — pozorne bezpieczeństwo danych.
9. Brak klasyfikacji dokumentów — nie wiadomo, co właściwie jest poufne.
10. Włączanie AI przed uporządkowaniem dostępów — automatyzacja chaosu zamiast porządku.

Jak LegalByte pomaga skonfigurować chmurę kancelarii?

LegalByte łączy prawo, IT i bezpieczeństwo, dlatego patrzymy na chmurę kancelarii jako na całość, a nie zestaw przełączników. Możemy:

• przeprowadzić audyt Microsoft 365 lub Google Workspace,
• uporządkować strukturę plików i uprawnień,
• skonfigurować MFA i role administratorów,
• ograniczyć linki publiczne i wdrożyć polityki udostępniania zewnętrznego,
• przygotować klasyfikację dokumentów i skonfigurować DLP,
• ustawić backup i testy odtworzenia,
• przygotować procedurę offboardingu i zabezpieczyć urządzenia,
• przygotować kancelarię do wdrożenia Copilot lub Gemini,
• pełnić rolę zewnętrznego działu technologicznego kancelarii.

Efekt: chmura, która chroni dane klientów kancelarii i wspiera pracę zespołu, zamiast generować kolejne ryzyka. Bieżące zarządzanie chmurą i pocztą zaczynamy zawsze tak samo — od bezpłatnej rozmowy i płatnego audytu z planem, odliczanego od wdrożenia.

Podsumowanie: bezpieczna chmura w kancelarii to konfiguracja, nie deklaracja

Microsoft 365 i Google Workspace mogą być bardzo dobrym fundamentem pracy kancelarii prawnej — ale tylko wtedy, gdy są wdrożone świadomie. Bezpieczna chmura dla kancelarii to nie tylko poczta i dysk. To kontrola tożsamości, dostępów, dokumentów, linków, urządzeń, backupów, retencji, offboardingu i narzędzi AI.

Najważniejsze pytanie nie brzmi: „czy chmura jest bezpieczna?", ale: „czy nasza chmura jest skonfigurowana pod sposób pracy kancelarii i ochronę tajemnicy zawodowej?". A gdy kancelaria wyrasta z pakietu biurowego — przy szczególnie wrażliwych sprawach, wymaganiach klientów korporacyjnych czy własnych aplikacjach i AI — naturalnym kolejnym krokiem jest prywatna chmura w UE, czyli hosting LegalCloud.

FAQ: Microsoft 365 i Google Workspace w kancelarii

Czy kancelaria prawna może korzystać z Microsoft 365 albo Google Workspace?

Tak, ale korzystanie z chmury powinno być poprzedzone analizą konfiguracji, zasad dostępu, ochrony danych, tajemnicy zawodowej, backupu i udostępniania dokumentów. To powierzenie przetwarzania danych w rozumieniu art. 28 RODO — z odpowiednią umową i konfiguracją.

Czy Google Drive albo OneDrive wystarczą do przechowywania akt kancelarii?

Nie powinny być używane przypadkowo jako zwykły dysk. Dokumenty kancelarii należy przechowywać w uporządkowanej strukturze (SharePoint / Shared Drives), z kontrolą dostępów, zasadami udostępniania i niezależnym backupem.

Co jest największym ryzykiem chmury w kancelarii?

Najczęściej nie sama chmura, lecz błędna konfiguracja: brak MFA, publiczne linki, zbyt szerokie dostępy, brak offboardingu, brak backupu i brak kontroli nad urządzeniami.

Czy Microsoft 365 albo Google Workspace robią backup danych kancelarii?

Zapewniają określone mechanizmy retencji, wersjonowania i odzyskiwania, ale kancelaria powinna osobno ocenić, czy potrzebuje niezależnego backupu i regularnych testów odtworzenia. Synchronizacja i kosz to nie to samo co backup.

Czy kancelaria powinna blokować linki publiczne?

W większości przypadków tak — albo przynajmniej istotnie je ograniczyć. Dokumenty objęte tajemnicą zawodową nie powinny być udostępniane przez linki dostępne dla każdego, kto je posiada.

Czy przed wdrożeniem Copilot albo Gemini trzeba uporządkować chmurę?

Tak. AI działające w środowisku kancelarii korzysta z istniejących uprawnień. Jeżeli dostęp do dokumentów jest chaotyczny, wdrożenie AI może zwiększyć ryzyko ujawnienia informacji osobom, które nie powinny ich widzieć.