Cybersécurité · 5 min de lecture
Un cabinet d’avocats, c’est une cible parfaite pour un attaquant. Données confidentielles de clients, stratégies d’entreprise, dossiers en cours, informations sur des transactions — tout est là, concentré, souvent peu protégé. Et contrairement aux banques ou aux assureurs, les cabinets n’ont pas encore la culture de la sécurité informatique comme contrainte métier. Ça change, mais lentement.
Voici les sept erreurs que je vois revenir systématiquement dans les cabinets que j’accompagne.
1. Pas d’authentification à double facteur
C’est la première chose que je vérifie lors d’un audit. Dans neuf cas sur dix, le MFA n’est pas activé sur les messageries et les outils cloud. Un mot de passe seul ne protège plus rien — les listes de credentials compromis circulent librement sur le dark web, et un attaquant qui a votre mot de passe accède à tout sans déclencher la moindre alerte. Activer le MFA sur Microsoft 365 ou Google Workspace prend moins d’une heure. C’est le ratio effort/protection le plus favorable qui existe.
2. Des sauvegardes jamais testées
Avoir une sauvegarde et pouvoir restaurer depuis une sauvegarde, ce n’est pas la même chose. J’ai vu des systèmes de sauvegarde tourner silencieusement pendant deux ans, pour découvrir à la restauration que les fichiers étaient corrompus depuis le début. Le test de restauration doit être une routine, pas une exception. Si vous ne savez pas quand votre cabinet a testé sa dernière restauration, la réponse est probablement « jamais ».
3. Les accès des anciens collaborateurs non révoqués
Un collaborateur part, son compte reste actif. C’est banal, c’est dangereux. Dans un cabinet, les rotations sont fréquentes — stagiaires, associés qui partent, personnel administratif. Chaque compte non révoqué est une porte potentiellement ouverte. La procédure de départ doit inclure la révocation des accès le jour J, pas « quand on y pense ».
4. Un seul niveau de protection sur les dossiers clients
Dans beaucoup de cabinets, tous les collaborateurs ont accès à tous les dossiers. Ce n’est pas seulement un problème de confidentialité interne — c’est un problème de surface d’attaque. Si un compte est compromis, l’attaquant voit tout. Segmenter les accès par équipe ou par dossier limite les dégâts en cas d’intrusion. Ce n’est pas compliqué à mettre en place sur les outils modernes, mais ça demande une décision.
5. La messagerie comme seul outil de partage de documents sensibles
Envoyer un acte de cession ou un contrat confidentiel par email, c’est le standard du secteur. C’est aussi l’une des pratiques les moins sécurisées qui soit. Les emails transitent en clair sur de nombreux serveurs, peuvent être interceptés, et restent dans les boîtes de réception indéfiniment. Un espace de partage chiffré avec lien à durée limitée n’est pas une contrainte — c’est une protection que vos clients apprécient quand vous la proposez.
6. Aucune procédure en cas d’incident
Que se passe-t-il dans votre cabinet si quelqu’un clique sur un lien de phishing un lundi matin ? Qui est prévenu ? Qui coupe quoi ? Qui appelle le prestataire IT ? En l’absence de procédure, la réponse est le chaos — et le chaos coûte cher, en temps comme en données. Une procédure d’incident basique tient sur une page. Elle ne demande pas un RSSI à plein temps pour être rédigée.
7. Un prestataire IT sans clause de sécurité dans le contrat
Votre prestataire informatique gère votre infrastructure, votre messagerie, parfois vos sauvegardes. Que dit son contrat en cas d’incident de sécurité ? Est-il tenu de vous notifier ? Dans quel délai ? Qui est responsable de quoi ? Dans la majorité des contrats que j’ai lus, ces questions ne sont pas traitées. Ce n’est pas une question de méfiance envers votre prestataire — c’est une question de cadre clair pour tout le monde.
Aucune de ces erreurs n’est irrémédiable. La plupart se corrigent en quelques jours de travail avec un prestataire compétent. Le vrai coût, c’est d’attendre qu’un incident force la main.