TI para Escritórios de Advocacia: Guia Completo

Por que TI em escritório de advocacia não é igual a TI em qualquer empresa

Escritório de advocacia opera sob um conjunto de obrigações que a maioria das empresas não conhece. O sigilo profissional previsto no Estatuto da OAB e no Código Penal não é uma política interna que pode ser flexibilizada em nome da praticidade — é dever legal do advogado, com consequências disciplinares e criminais em caso de violação. Isso significa que cada decisão de infraestrutura, do e-mail ao armazenamento de documentos, carrega peso jurídico direto.

Some-se a isso o fator prazo. Um sistema fora do ar em uma segunda-feira comum é um transtorno; um sistema fora do ar no dia do vencimento de um recurso pode significar perda de direito material do cliente, ação de responsabilidade civil contra o escritório e dano reputacional irreversível. Peticionamento eletrônico no PJe, e-SAJ, Projudi e PROJUDI depende de certificado digital funcional, navegador compatível, Java atualizado em alguns tribunais e conexão estável. Nenhum desses elementos tolera improviso.

Por fim, há o volume e a sensibilidade dos dados. Um escritório de porte médio acumula contratos, procurações, laudos periciais, documentos pessoais de clientes, dados bancários, informações de saúde em ações previdenciárias e trabalhistas. Sob a LGPD, boa parte disso é dado pessoal sensível, exigindo base legal adequada, controle de acesso e capacidade de resposta a incidentes. TI para advocacia, portanto, não é suporte técnico genérico com verniz jurídico — é uma disciplina com requisitos próprios.

Sigilo profissional e controle de acesso: o núcleo do problema

O erro mais comum em escritórios é tratar sigilo como algo que se resolve com senha. Na prática, sigilo se resolve com arquitetura de permissões. Se todo estagiário tem acesso à pasta inteira do servidor, o escritório não tem sigilo — tem confiança, que é outra coisa e não sobrevive a auditoria, a rotatividade de equipe ou a um incidente de segurança.

Controle de acesso adequado começa pela segmentação por área e por caso. Trabalhista não precisa ver a pasta de família. Estagiário não precisa ver o contrato de honorários. Sócio que saiu do escritório precisa ter acesso revogado no mesmo dia, não no mês seguinte quando alguém lembrar. Isso exige diretório centralizado — Active Directory ou Microsoft Entra ID — com grupos bem desenhados, em vez de compartilhamentos soltos criados ao longo dos anos por quem estava disponível no momento.

Os controles que sustentam o sigilo na prática:

• Autenticação multifator (MFA) obrigatória em e-mail, VPN e qualquer acesso remoto — senha isolada não protege mais nada
• Permissões por grupo, nunca por usuário individual, para que entrada e saída de pessoas sejam operações de um clique
• Criptografia em repouso nos notebooks (BitLocker) — notebook furtado em audiência não pode virar vazamento
• Log de acesso a documentos, permitindo responder "quem abriu o quê e quando" quando o cliente ou a autoridade perguntar
• Revisão trimestral de permissões, porque acesso concedido "temporariamente" nunca se remove sozinho
• Bloqueio de dispositivos removíveis ou ao menos registro de uso de pendrive em estações com dados sensíveis

Sigilo profissional não é uma promessa que o advogado faz ao cliente. É um controle técnico que o escritório precisa conseguir demonstrar — com evidência, log e política escrita.

Continuidade: o que acontece quando o sistema cai em dia de prazo

Continuidade em escritório de advocacia se mede em horas, não em dias. A pergunta certa não é "temos backup?", mas "quanto tempo levamos para voltar a peticionar se o servidor morrer agora?". Essa resposta tem nome técnico: RTO (tempo objetivo de recuperação). E a segunda pergunta é "quanto trabalho perdemos?" — o RPO (ponto objetivo de recuperação). Escritório que não sabe seus números não tem plano de continuidade, tem esperança.

Backup que funciona segue a regra 3-2-1: três cópias dos dados, em dois tipos de mídia diferentes, com uma cópia fora do escritório. A cópia externa é a que salva em incêndio, furto e — principalmente — ransomware, que hoje é a ameaça mais concreta ao setor. Ataques de ransomware criptografam também os backups conectados à rede; por isso a cópia off-site precisa ser imutável ou isolada, não apenas um HD externo que fica na gaveta e é plugado toda sexta.

Igualmente importante: backup nunca testado é backup que não existe. Restauração precisa ser exercitada em calendário fixo, com registro do resultado. Muitos escritórios descobrem que o backup falhava há oito meses exatamente no dia em que precisaram dele. Um teste de restauração trimestral, restaurando um arquivo real de uma pasta real, custa uma hora e elimina essa categoria inteira de desastre.

LGPD aplicada ao escritório: obrigações concretas, não teoria

Escritórios de advocacia ocupam uma posição peculiar na LGPD: são controladores dos dados de seus próprios clientes e colaboradores, e frequentemente operadores de dados que os clientes lhes confiam para conduzir demandas. Essa dupla condição gera obrigações que muitos escritórios ainda não mapearam, mesmo anos após a vigência da lei.

O ponto de partida é o inventário de dados: saber onde os dados pessoais estão. Em escritórios, eles costumam estar espalhados por servidor de arquivos, software jurídico, caixas de e-mail, WhatsApp dos advogados, planilhas locais e, com frequência desconfortável, contas pessoais de nuvem criadas por conveniência. Sem mapeamento, não há como atender pedido de titular, responder a incidente ou demonstrar conformidade.

O que deve estar operacional, em ordem de prioridade:

1. Inventário de dados — quais dados pessoais o escritório trata, onde ficam, por quanto tempo, com que base legal
2. Política de retenção e descarte — processos encerrados há dez anos raramente justificam guarda indefinida de documentos pessoais sensíveis
3. Contratos com operadores — provedor de nuvem, software jurídico e TI terceirizada precisam de cláusulas de proteção de dados
4. Plano de resposta a incidentes — quem decide, quem comunica a ANPD e os titulares, em que prazo, com qual evidência
5. Encarregado (DPO) designado e canal de contato publicado, mesmo em escritório pequeno
6. Treinamento da equipe — a maior parte dos incidentes começa em e-mail clicado, não em firewall vencido

Vale registrar: adotar ferramenta de nuvem sem contrato adequado transfere dados sem base contratual. Usar WhatsApp pessoal para enviar documento de cliente cria cópia de dado sensível em dispositivo não gerenciado. Ambas as práticas são comuns e ambas são exposição real, não formalismo.

A pilha tecnológica que um escritório moderno precisa

Não existe stack único, mas existe um conjunto de camadas que qualquer escritório sério precisa cobrir. A primeira é identidade e produtividade: Microsoft 365 com contas corporativas, MFA ativo, políticas de retenção de e-mail e prevenção contra vazamento. E-mail em domínio próprio, com SPF, DKIM e DMARC configurados, reduz drasticamente o risco de fraude do tipo "troca de dados bancários" — golpe que já atingiu escritórios em operações de acordo e alvará.

A segunda camada é gestão documental e software jurídico. Sistema de controle de processos, prazos e publicações precisa de integração confiável com os tribunais e de backup próprio — muitos escritórios assumem que o fornecedor SaaS guarda tudo para sempre, o que nem sempre consta em contrato. Documentos devem viver em repositório único e versionado, não em pastas espelhadas por cinco máquinas diferentes.

A terceira camada é infraestrutura e segurança: rede segmentada com Wi-Fi de visitantes separado da rede interna, firewall com atualizações vigentes, endpoint protection gerenciada (não antivírus gratuito instalado individualmente), VPN para acesso remoto e monitoramento que avise antes da falha, não depois. Somam-se a isso certificados digitais A3 dos advogados, que exigem gestão de validade, drivers e tokens — item pequeno que derruba peticionamento em dia de prazo com frequência surpreendente.

A quarta camada, frequentemente esquecida, é o processo: quem chama o suporte, qual o SLA, quem aprova instalação de software, o que acontece quando alguém sai do escritório. Tecnologia sem processo definido degrada em poucos meses.

Como a Duk atende escritórios de advocacia

A Duk Informática & Cloud atua há mais de 18 anos em suporte e infraestrutura de TI para empresas, atendendo mais de 550 clientes, com forte presença em segmentos que operam sob exigência de sigilo e continuidade — escritórios de advocacia entre eles. Como Microsoft Gold Partner, a Duk implanta e gerencia Microsoft 365 com as políticas de identidade, MFA e retenção que a advocacia exige, em vez de deixar o ambiente na configuração padrão.

O trabalho começa por diagnóstico: mapeamento de onde estão os dados, revisão de permissões, avaliação do backup existente e teste real de restauração. A partir daí, estrutura-se o que falta — segmentação de acesso por área e por caso, backup em nuvem com cópia isolada contra ransomware, monitoramento proativo de servidores e estações, e suporte com SLA definido para que prazo processual não dependa de disponibilidade improvisada. A Duk mantém data center próprio em Alphaville, o que permite hospedar servidores e backups em ambiente controlado, com contrato claro sobre tratamento de dados.

Para escritórios que operam com equipe enxuta e sem TI interna, o modelo de TI gerenciada resolve o ponto mais crítico: alguém responsável por atualização, monitoramento e resposta, todos os dias, em vez de acionamento pontual quando algo já parou. Se o seu escritório ainda não sabe responder em quanto tempo voltaria a peticionar após uma falha de servidor, esse é o diagnóstico por onde começar — e é uma conversa de trinta minutos, não um projeto de seis meses.