300 prawników na platformie AI w dwa miesiące: pełna izolacja danych, własne klucze i SSO

Kontekst

Dział prawny dużej organizacji zdecydował się wdrożyć Legorę. Platforma działa w modelu SaaS, ale w organizacji tej wielkości sposób uruchomienia decyduje o bezpieczeństwie, zgodności z politykami i o tym, czy narzędzie zostanie przyjęte przez ludzi.

Innowacje 4 IT uczestniczyło w projekcie od etapu umowy: oceniliśmy ją pod kątem zgodności, ładu korporacyjnego i wymagań technicznych, a następnie odpowiadaliśmy za architekturę uruchomienia, tożsamość, klucze szyfrowania i wprowadzenie użytkowników.

Wyzwanie

• Jak izolować dane?Dostawca oferował pełną izolację środowiska dla klienta oraz wariant pośredni ze współdzieloną infrastrukturą i izolacją logiczną. Różnią się kosztem, czasem uruchomienia, zakresem odpowiedzialności i tym, co można wykazać audytorowi.
• Kto trzyma klucze?Dokumenty prawne to najbardziej wrażliwa kategoria danych w organizacji. Szyfrowanie wyłącznie po stronie dostawcy nie wystarczało; klucze miały pozostać pod kontrolą klienta.
• Jak wpuścić 300 osób bez chaosu?Dział prawny chciał mieć pełną kontrolę nad tym, kto i kiedy dostaje dostęp, a docelowo logowanie przez firmową tożsamość, bez nowych haseł i z natychmiastowym odcięciem dostępu przy odejściu pracownika.

Co zrobiliśmy

1Umowa czytana od strony organizacji

Zapisy o przetwarzaniu i lokalizacji danych, odpowiedzialności stron, ładzie korporacyjnym i wymaganiach technicznych zostały sprawdzone i doprecyzowane przed podpisem, a nie odkrywane po starcie.

2Wybór modelu izolacji

Porównaliśmy oba warianty w języku decyzji biznesowej: gdzie są dane, kto ma do nich dostęp operacyjny, jak wygląda odtworzenie po awarii, ile trwa uruchomienie i ile kosztuje rocznie. Ze względu na charakter podmiotu i specyfikę pracy działu prawnego wybrano pełną izolację środowiska.

3Klucze po stronie klienta

Uruchomiliśmy Azure Key Vault z modułem HSM po stronie klienta, zarządzany przez jego lokalny zespół, i podłączyliśmy go do platformy. Dane są szyfrowane kluczami, nad którymi organizacja ma pełną kontrolę: rotację i możliwość odcięcia niezależnie od dostawcy.

4Dostęp w dwóch iteracjach

Decyzją działu prawnego start odbył się na kontach wewnętrznych platformy z kontrolowanymi zaproszeniami, co dało pełną kontrolę nad tym, kto i kiedy otrzymuje dostęp. W drugiej iteracji wdrożyliśmy logowanie jednokrotne przez Microsoft Entra ID w standardzie OIDC, z uwierzytelnianiem wieloskładnikowym po stronie tożsamości.

5Dwie fale uruchomienia

Najpierw środowisko pilotażowe, potem produkcja. Użytkownicy pilota zostali przeniesieni w drugiej iteracji ze względu na specyfikę migracji, tak aby nikt nie pracował na dwóch środowiskach naraz.

6Wsparcie startu

Resety haseł nie były problemem. Największym tematem okazało się uwierzytelnianie wieloskładnikowe i codzienne, prozaiczne pytania użytkowników. Obsługiwaliśmy je na bieżąco, żeby nie obciążać helpdesku klienta.

Pod maską

• Model wdrożenia: pełna izolacja środowiska.
• Tożsamość: etap 1 konta wewnętrzne platformy z kontrolą zaproszeń; etap 2 SSO przez Microsoft Entra ID (OIDC), MFA po stronie dostawcy tożsamości.
• Klucze: Azure Key Vault z HSM po stronie klienta, zarządzany przez lokalny zespół.
• Uruchomienie: środowisko pilotażowe, potem produkcja; zaproszenia w dwóch falach z portalu administracyjnego.
• Czas: około dwóch miesięcy od decyzji do pełnego dostępu.

Efekt

• Około 200 osób pracowało na platformie już w pierwszym miesiącu; pozostali dołączali sukcesywnie, głównie z powodu urlopów.
• Dane platformy są szyfrowane kluczami pod kontrolą organizacji, nie wyłącznie dostawcy.
• Decyzja o pełnej izolacji jest udokumentowana i możliwa do przedstawienia audytorowi.
• Umowa została podpisana ze świadomością zobowiązań po stronie zgodności, ładu korporacyjnego i techniki.

Dlaczego to ma znaczenie dla innych firm

Każde uruchomienie SaaS w organizacji powyżej kilkudziesięciu osób stawia te same trzy pytania: izolacja, klucze, tożsamość. To nie jest zadanie dla sprzedawcy platformy, tylko dla kogoś, kto patrzy od strony organizacji. To samo podejście stosujemy przy Microsoft 365, systemach branżowych i narzędziach chmurowych.

Nazwa klienta jest zastrzeżona na jego życzenie. Legora jest nazwą wdrożonego produktu; nie opisujemy funkcji platformy ani nie jesteśmy jej dystrybutorem.