Cybersécurité des cabinets d'avocats : protéger le secret professionnel
Un cabinet d'avocats concentre des informations très convoitées : dossiers de contentieux, opérations de fusion ou de cession, données personnelles et patrimoniales des clients. Il dispose pourtant souvent d'un système d'information léger, de 5 à 30 postes, sans informaticien interne. Or le secret professionnel est une obligation absolue (en France, article 66-5 de la loi du 31 décembre 1971), et une fuite engage la responsabilité du cabinet autant que sa réputation.
Pourquoi les cabinets sont ciblés
La valeur des informations : un dossier de fusion ou un contentieux en cours peut se revendre ou servir à faire pression.
Les flux financiers : les cabinets reçoivent et transfèrent des fonds pour le compte de leurs clients, ce qui attire la fraude au changement de coordonnées bancaires.
La double extorsion : les groupes de rançongiciels chiffrent les données, puis menacent de publier des documents confidentiels.
La mobilité : audiences, rendez-vous clients et télétravail multiplient les ordinateurs portables et les connexions depuis l'extérieur.
Les incidents les plus fréquents
La compromission de la messagerie, suivie de courriels frauduleux envoyés à des clients au nom du cabinet.
Le vol d'identifiants Microsoft 365 ou Google Workspace par hameçonnage.
La perte ou le vol d'un ordinateur portable non chiffré.
Le rançongiciel sur le serveur de fichiers ou le NAS du cabinet.
Le partage de pièces par des liens publics, sans mot de passe ni date d'expiration.
Les dix mesures prioritaires
Activer l'authentification multifacteur sur la messagerie et sur tous les accès à distance.
Chiffrer les disques des ordinateurs portables (BitLocker, FileVault) et verrouiller les smartphones professionnels.
Instaurer une double validation des coordonnées bancaires : tout changement de RIB est confirmé par téléphone, à un numéro déjà connu, jamais celui indiqué dans le courriel.
Protéger le nom de domaine avec SPF, DKIM et DMARC : voir notre guide SPF, DKIM et DMARC.
Sauvegarder selon la règle 3-2-1-1-0, avec une copie hors ligne ou immuable et des tests de restauration réguliers.
Automatiser les mises à jour et retirer les droits d'administrateur des comptes utilisateurs.
Partager les pièces de façon sécurisée : plateforme avec authentification, liens à durée limitée, chiffrement des documents les plus sensibles.
Cloisonner les dossiers : chacun n'accède qu'aux dossiers sur lesquels il travaille, et les dossiers sensibles font l'objet d'accès nominatifs.
Encadrer les prestataires (logiciel de gestion du cabinet, hébergeur, messagerie) : confidentialité, localisation des données, réversibilité, conditions d'accès.
Sensibiliser toute l'équipe chaque année, y compris les assistants, collaborateurs et stagiaires, qui sont souvent les premiers visés.
Pour un cabinet sous Microsoft 365, notre article sur les 10 réglages à vérifier en priorité complète cette liste.
Les obligations liées aux données personnelles
Le cabinet est responsable des traitements de données de ses clients. En France comme pour tout organisme soumis au RGPD, une violation de données présentant un risque doit être notifiée à la CNIL dans les 72 heures. Au Maroc, la loi 09-08 et la CNDP encadrent ces traitements. Tenir un registre des traitements et une procédure de gestion des violations fait partie des bases.
Détecter, pas seulement prévenir
La plupart des petites structures n'ont aucune visibilité sur ce qui se passe dans leur système d'information. Pourtant, les signes avant-coureurs sont détectables : connexion à la messagerie depuis un pays inhabituel, création d'une règle de transfert automatique, chiffrement massif de fichiers sur le serveur. Une supervision dimensionnée pour une petite structure, où les journaux restent hébergés dans les locaux du cabinet, permet de repérer ces signaux sans exposer les données couvertes par le secret.
Gazeltech accompagne les cabinets et les professions réglementées dans la sécurisation de leur système d'information. Contactez-nous pour un premier diagnostic.
Commentaires