Confidentialité, secret professionnel, disponibilité en toute circonstance : le déroulé complet d'une mise à niveau IT dans un cabinet d'affaires.
Cas d'étude fictif, inspiré de situations couramment rencontrées dans les cabinets d'avocats français de 10 à 40 collaborateurs. Les données présentées sont représentatives d'un projet type, pas d'un client nommé.
Un seul site, avenue Hoche. Des associés et collaborateurs équipés en MacBook pour l'image et la mobilité, quelques PC pour le secrétariat juridique, iPhone professionnels pour tous les avocats.
Le cabinet n'avait jamais eu d'incident. C'est précisément ce qui avait retardé toute mise à niveau : "ça a toujours marché comme ça". Les mots de passe des dossiers partagés circulaient par message, et aucun poste n'avait de chiffrement vérifié.
Un identifiant générique utilisé par plusieurs collaborateurs pour accéder au serveur de dossiers.
FileVault probablement actif sur certains Mac, jamais confirmé ni documenté.
Impossible de dire qui avait consulté quel dossier, à quel moment.
Le déclencheur : lors d'un contrôle de conformité mené par l'Ordre, le cabinet doit démontrer les mesures techniques de protection du secret professionnel sur les postes nomades. L'associé gérant réalise qu'il ne peut pas répondre précisément — ni sur le chiffrement, ni sur la traçabilité des accès aux dossiers.
Aucune négligence délibérée — simplement l'absence de mesures techniques derrière des obligations pourtant bien connues.
Utilisés par le secrétariat juridique, sans traçabilité individuelle des accès.
Vérifié et actif sur seulement 7 des 12 MacBook, aucun contrôle sur les PC.
Comptes de stagiaires et d'un collaborateur parti, jamais révoqués.
Code simple à 4 chiffres, aucune politique de complexité imposée.
MacBook et iPhone rattachés au cabinet, chiffrement FileVault forcé et vérifiable à tout moment.
Les postes du secrétariat juridique rejoignent la même politique de sécurité que les Mac.
Fin des comptes génériques. Chaque accès aux dossiers est individuel, tracé, protégé par double authentification.
Accès aux dossiers clients conditionné à un appareil géré et conforme, y compris en télétravail.
Révocation d'accès en moins de 10 minutes lors d'un départ, quel qu'en soit le contexte.
Premier échange en début de mois, avec une contrainte forte : aucune interruption possible pendant les audiences et échéances de procédure.
Échange sur les obligations de conformité CNB et les habitudes de travail réelles du cabinet.
Recensement du matériel, vérification du chiffrement poste par poste, cartographie des accès aux dossiers.
Priorisation : comptes génériques et chiffrement en premier, le reste suit en parallèle de l'activité.
Bascule des accès partagés vers des comptes individuels, activation du MFA sur les outils sensibles.
FileVault et BitLocker vérifiés et forcés sur l'ensemble du parc, sans interruption des postes en cours d'usage.
Code de verrouillage complexe imposé sur tous les iPhone, effacement à distance testé et validé.
Cabinet en mesure de documenter précisément ses mesures techniques lors d'un contrôle de conformité.
Un ordinateur portable a été oublié dans un taxi après une audience tardive. Localisation et effacement à distance déclenchés depuis la console dans les minutes suivant le signalement — aucun dossier client exposé, aucune notification obligatoire à effectuer auprès de la CNIL.
| Avant | Après |
|---|---|
| Comptes génériques partagés | Comptes nominatifs, accès individuels tracés |
| Chiffrement non vérifié | Chiffrement forcé et documenté sur tout le parc |
| Aucune traçabilité des accès dossiers | Chaque accès identifié et horodaté |
| Anciens collaborateurs encore actifs | Révocation systématique en moins de 10 minutes |
| Rien à présenter en cas de contrôle | Documentation prête pour tout contrôle de conformité |
Ce cas illustre que la confidentialité professionnelle ne repose pas sur la confiance seule : elle doit être appliquée techniquement pour être démontrable, notamment en cas de contrôle ou d'incident.
Les cabinets d'avocats de taille moyenne n'ont généralement ni DSI ni référent sécurité. Les bonnes pratiques restent verbales, jamais appliquées techniquement.
Une violation du secret professionnel engage la responsabilité du cabinet et de l'avocat personnellement. Un appareil non chiffré perdu ou volé peut constituer une violation de données à déclarer.
Vérifier que le chiffrement de disque est bien actif sur chaque poste, supprimer les comptes partagés au profit d'accès nominatifs, et documenter une procédure simple de révocation d'accès en cas de départ.
Dès qu'un cabinet dépasse une dizaine de collaborateurs avec des dossiers sensibles partagés, ou en amont d'un contrôle de conformité — le sujet devient rapidement plus complexe à gérer manuellement.
Il n'existe pas de texte imposant un outil précis, mais les obligations de confidentialité rendent le chiffrement et la traçabilité des accès fortement recommandés, et attendus en cas de contrôle.
Ce n'est pas recommandé : sans compte nominatif, impossible de savoir qui a consulté quel dossier. La bascule vers des accès individuels est une des premières mesures mises en place.
Cela dépend si des données personnelles étaient exposées. Un appareil chiffré et effacé à distance avant consultation réduit fortement ce risque.
Non — une fois configuré, l'usage quotidien reste identique. Seule la supervision et la capacité d'action à distance changent.
En 30 minutes, nous identifions les principaux risques de votre parc informatique et les premières pistes d'amélioration.