Īsi sakot: Nodokļu konsultantu IT drošībā izšķiroši ir tas, kādas sistēmas birojs darbina pats. Programmatūras sniedzēju lielie portāli ir viņu atbildībā, bet paša vietne, augšupielāžu veidlapas un datu telpas ir jūsējā. Tām tagad jābūt uz ielāpota PHP, ar pārstartēšanu un rakstisku apliecinājumu.
Kādas sistēmas nodokļu birojos darbojas uz PHP
Finanšu grāmatvedībai un algām lielākā daļa biroju izmanto specializētu programmatūru un tās portālus. Līdzās tam gadu gaitā rodas paša risinājumi: augšupielādes veidlapa vietnē dokumentiem, ienākuma nodokļa anketas, lapa klientu jaunajiem darbiniekiem algu pamatdatu ievadei, pieteikumu portāls vai paša darbināts Nextcloud lieliem failiem.
Šīs sistēmas gandrīz vienmēr darbojas uz PHP, un tās uztur aģentūra, IT sistēmu uzņēmums vai hostinga sniedzējs. Tieši mazās veidlapas tiek aizmirstas, jo tās reiz iestatītas un kopš tā laika vienkārši darbojas. Bieži augšupielādētie dokumenti tad gadiem ilgi atrodas tīmekļa servera augšupielāžu mapē, kaut gan biroja programmatūrā jau sen ir apstrādāti.
Kādi dati ir uz spēles
Nodokļu biroji apstrādā datus tādā blīvumā, ko sasniedz tikai nedaudzas citas nozares: IBAN un konta izraksti, nodokļu identifikācijas numuri (Steuer-ID, Vācijas nodokļu identifikācijas numurs), ienākumu apliecinājumi, dalībnieku saraksti un algu aprēķini. Algu dati dažkārt satur arī īpašās kategorijas saskaņā ar VDAR 9. pantu, piemēram, piederību reliģiskai kopienai baznīcas nodokļa vajadzībām.
Klāt nāk profesionālais noslēpums: nodokļu konsultantiem ir klusēšanas pienākums, neatļauta izpaušana saskaņā ar Vācijas Krimināllikuma (StGB) 203. pantu var būt sodāma. Un daudzi skartie vispār nav jūsu klienti, bet viņu darbinieki. Noplūdes gadījumā skarto loks tādējādi strauji aug.
Nodokļu konsultantu IT drošība: ko incidents konkrēti izraisa
Uzbrukumam nodokļu birojam ir tipiskas sekas, kas atšķiras no citām nozarēm:
- Krāpšana ar īstiem datiem: Kas zina rēķinus, konta rekvizītus un kontaktpersonas, var klientiem sūtīt maldinoši īstus maksājuma pieprasījumus.
- Termiņu spiediens: Ja augšupielādes portāls iesniegšanas laikā nedarbojas, dokumenti krājas, un klienti pāriet uz nedrošiem ceļiem, piemēram, nešifrētiem e-pastiem.
- Uzticība: Klienti paļaujas, ka viņu finanses paliek konfidenciālas. Incidents, par kuru viņi uzzina no preses, ir smagāks nekā tāds, par ko birojs pats informē lietišķi.
Ja jūsu augšupielādes portāls atrodas serverī, kura PHP ielāpa stāvokli neviens nevar apstiprināt, atvienojiet to no tīkla, līdz ielāps un pārstartēšana ir pierādīti. Tā to serveriem, kurus nevar atjaunināt nekavējoties, iesaka BSI (Vācijas Federālais informācijas drošības birojs).
Atbildības sprauga starp IT sistēmu uzņēmumu un aģentūru
IT sistēmu uzņēmums kopj biroja programmatūru un darba vietas, aģentūra vietni, hostinga sniedzējs serveri. Kurš atbild par PHP tīmekļa serverī, līgumā reti ir skaidri minēts. Noskaidrojiet to tagad un likiet apstiprināt pakotnes stāvokli. Kā šīs ziņas izvērtēt, izskaidro instrukcija PHP versijas un ielāpa stāvokļa pārbaude.
Novērstās versijas ir PHP 8.5.12, 8.4.27, 8.3.36 un 8.2.35. Ja saskarne rāda vecāku stāvokli, tomēr var būt ieviests backport. Un otrādi, atjauninājums bez PHP procesu pārstartēšanas nepietiek.
Ko klientiem tagad vajadzētu zināt no jums
Klienti uz ziņām par drošības ievainojamībām reaģē ar nenoteiktību, jo īpaši, ja regulāri augšupielādē dokumentus. Īsa, lietišķa informācija tad veido uzticību: kuri ceļi dokumentu apmaiņai pašlaik ir spēkā, ka birojs konta rekvizītus nekad nemaina pa e-pastu un ka aizdomīgi maksājumu pieprasījumi jāapstiprina pa tālruni.
Uzņēmumu klientiem noder vēl viena norāde: algu grāmatvedībām un personāla nodaļām jābūt īpaši vērīgām pieprasījumos par algu datiem vai darbinieku mainītiem bankas rekvizītiem. Šādi krāpšanas mēģinājumi labprāt izmanto zināšanas, kas nāk no birojiem. Vai konkrēts incidents prasa formālu paziņojumu saskaņā ar VDAR, ir atsevišķs jautājums, ko noskaidrojat ar savu datu aizsardzības speciālistu.
Pirmās stundas biroja vadībai
- Uzskaitīt visas savas no interneta sasniedzamās PHP sistēmas, arī vecās veidlapas un testa instalācijas.
- Katrai sistēmai likt rakstiski apstiprināt ielāpa stāvokli un pārstartēšanu vai to uz laiku izslēgt.
- Saglabāt žurnālus no 20.10.2026 un noteikt drošu aizvietojošu ceļu dokumentu apmaiņai.
- Savlaicīgi informēt apdrošinātāju un datu aizsardzības speciālistu. Ko prasa jūsu līgums, izskaidro lapa par kiberapdrošināšanu.
Kā PHP SOS palīdz konkrēti?
- Mēs uzskaitām visas ārēji sasniedzamās biroja PHP sistēmas un noskaidrojam, kuras atrodas pie programmatūras sniedzēja un kuras pie jums.
- PHP2Shell tūlītējās palīdzības ietvaros mēs ielāpojam vai likstam ielāpot, pārstartējam visus darbprocesus un apliecinām rezultātu.
- Mēs pārbaudām augšupielāžu direktorijus un datubāzes uz webshell un nezināmām piekļuvēm.
- Mēs sakārtojam: ko vairs nevajag, vienojoties izslēdzam, nevis turpinām ielāpot.
- Ar drošības apkopes līgumu atbildība par PHP pēc tam paliek skaidri noregulēta.
Biežāk uzdotie jautājumi
Vai dokumentu apmaiņa caur lielajiem programmatūras portāliem ir skarta?
Portāli, ko programmatūras sniedzējs darbina savā datu centrā, ir sniedzēja atbildībā. Par to ielāpa stāvokli atbild sniedzējs. Skartas var būt galvenokārt sistēmas, ko jūsu birojs darbina pats vai ar aģentūras starpniecību, piemēram, vietnes veidlapas, augšupielādes lapas vai paša Nextcloud.
Kāpēc nodokļu konsultantu dati uzbrucējiem ir tik interesanti?
Nodokļu birojs apkopo daudzu uzņēmumu un privātpersonu datus: bankas rekvizītus, ienākumus, nodokļu identifikācijas numurus un darba ņēmēju algu datus. Ar tiem var sagatavot ticamus krāpnieciskus e-pastus un identitātes ļaunprātīgu izmantošanu. Viens incidents tā bieži skar simtiem cilvēku, kas biroju nekad nav tieši pilnvarojuši.
Ko darīt, ja portāls deklarāciju iesniegšanas laikā jāatslēdz?
Iepriekš nosakiet aizvietojošu ceļu dokumentu apmaiņai, piemēram, šifrētu nodošanu, izmantojot neskartu sistēmu. Informējiet klientus īsi un lietišķi. Termiņus un iespējamās termiņu pagarināšanas risināt kā ierasts pēc būtības, atslēgts portāls nav aizstājējs saskaņošanai.
Vai kiberapdrošināšana maksā, ja mēs bijām neielāpoti?
Tas ir atkarīgs no jūsu līguma nosacījumiem un pienākumiem. Informējiet apdrošinātāju savlaicīgi un dokumentējiet, kad kādu pasākumu esat veicis. Saistošu atbildi sniedz tikai apdrošinātājs vai jūsu brokeris.