Les données de vos clients,
sous clé.

Avec trois éléments qui tiennent ensemble : le contrôle des accès, le chiffrement des données sensibles et des sauvegardes qui se restaurent réellement. Un cabinet traite des dossiers contenant des données patrimoniales, judiciaires et parfois médicales de tiers : un antivirus et un peu de confiance ne suffisent pas. Il faut d'abord savoir qui peut ouvrir chaque dossier et pourquoi : toute l'équipe n'a pas besoin de voir toutes les affaires. Ensuite, les ordinateurs portables et les disques qui quittent le bureau — pour une audience, un rendez-vous client — doivent être chiffrés, car un appareil perdu non chiffré constitue un incident, alors que le même appareil chiffré, en règle générale, n'en est pas un. Enfin, les sauvegardes doivent être réellement testées, pas seulement programmées. À cela s'ajoute un point que presque personne n'a signé : le contrat avec votre prestataire informatique en tant que sous-traitant. Nous le détaillons dans maintenance informatique et RGPD pour les entreprises, et dans votre cabinet, nous faisons un audit complet avant de toucher à quoi que ce soit.

Vous ne pouvez plus travailler tant que le problème n'est pas réglé, s'il n'y a pas de sauvegardes fiables derrière. Un cabinet vit de dossiers impossibles à reconstituer à la main : un rançongiciel qui chiffre le dossier des affaires en cours, ou un disque qui lâche sans prévenir, paralyse le travail du jour et compromet celui des mois précédents si rien n'était conservé à part. Nous mettons en place des sauvegardes automatiques, sur un support distinct de celui que vous utilisez au quotidien et avec au moins une copie hors du bureau, et nous les vérifions par une vraie restauration, pas seulement en contrôlant que la tâche s'est terminée sans erreur. Et si le pire arrive, ce sont les premières heures après la détection d'un chiffrement ou d'un accès suspect qui déterminent ce que l'on peut sauver : isoler l'appareil touché, ne pas payer sur un coup de tête, et savoir qui appeler avant que cela n'arrive. Nous le développons dans que faire dans les premières heures d'une attaque par rançongiciel, une lecture à faire avant d'en avoir besoin, pas après.

Oui, avec une connexion bien configurée, pas avec n'importe quel accès à distance improvisé. Un associé qui doit consulter un dossier depuis un tribunal, depuis chez lui ou depuis les bureaux d'un client ne devrait pas avoir à partager des mots de passe par e-mail ni à passer par un bureau à distance ouvert sur internet sans autre protection. Nous configurons un accès à distance et des VPN chiffrés, avec double authentification pour qu'un mot de passe divulgué ne suffise pas à entrer, et nous rendons les dossiers accessibles uniquement depuis des appareils et des comptes autorisés, jamais depuis n'importe quel ordinateur qui traîne. Il faut aussi prévoir le cas où l'ordinateur portable d'un associé est perdu ou volé : s'il est chiffré et que l'accès à distance peut être révoqué immédiatement, un contretemps ne devient pas une fuite de données. Nous l'intégrons au reste de l'infrastructure du cabinet, dans l'hébergement et le cloud, pour que l'accès à distance et les sauvegardes fonctionnent ensemble au lieu d'être deux systèmes isolés que personne ne coordonne vraiment.

Oui, et dans un cabinet, c'est un point qui mérite une attention particulière, car la messagerie fait circuler de l'argent : virements de clients, provisions, changements de coordonnées bancaires de dernière minute. Nous configurons une messagerie professionnelle sur votre propre domaine, des filtres anti-hameçonnage et les enregistrements techniques qui empêchent quiconque d'envoyer des e-mails en se faisant passer pour votre cabinet. Mais aucun filtre n'arrête tout, et la fraude la plus coûteuse arrive souvent par téléphone ou par un e-mail qui semble venir d'un vrai client et demande de modifier le compte destinataire d'un paiement. C'est pourquoi l'autre moitié du travail consiste à former l'équipe à se méfier de tout changement urgent dans les instructions de paiement et à toujours le vérifier par un autre canal que celui par lequel il est arrivé, jamais en répondant au même message. Le même schéma de manipulation se retrouve chez ceux qui appellent en se présentant comme le support technique pour obtenir l'accès à votre ordinateur ; nous l'expliquons dans comment repérer un faux appel du support technique, et il est utile que tout le cabinet le connaisse, pas seulement la personne chargée de l'informatique.

Une seule copie ne suffit pas, et la conserver sur le disque que vous utilisez tous les jours ne compte pas non plus comme une sauvegarde. Notre référence : plusieurs copies de ce que vous ne pouvez pas vous permettre de perdre, sur des supports différents, dont au moins une hors des locaux : ainsi, un incendie, un vol ou un rançongiciel qui chiffre tout ce qu'il trouve de connecté n'emporte pas aussi les sauvegardes. Dans un cabinet, cela concerne les dossiers en cours, la messagerie et les documents fiscaux et sociaux du cabinet lui-même, pas seulement ce que voit le client. Ce qui prouve vraiment qu'une sauvegarde fonctionne, c'est de la restaurer et de vérifier que le fichier s'ouvre ; une sauvegarde jamais testée est une hypothèse, pas une garantie. Nous expliquons la méthode complète dans la règle 3-2-1 des sauvegardes, et nous configurons tout pour que la vérification se fasse automatiquement, sans dépendre de la mémoire de quelqu'un chaque semaine.

Oui, si ce prestataire accède à des appareils contenant des données de vos clients — et pour assurer le support, il y accède. Le RGPD le qualifie de sous-traitant et exige que cette relation soit encadrée par écrit : quelles données il traite, dans quel but, quel engagement de confidentialité prend son personnel, quelles mesures de sécurité il applique et ce que deviennent les données à la fin de la relation. Il est courant de trouver des cabinets dont toute la documentation sur la protection des données est en ordre, mais sans ce contrat signé, précisément avec l'intervenant qui a le plus d'accès technique à leurs systèmes. C'est l'un des points les plus simples à régler et l'un des plus souvent oubliés, et cela fonctionne dans les deux sens : si un prestataire s'étonne quand vous lui demandez ce contrat, cela en dit déjà long sur sa façon de travailler. Nous le détaillons, avec la liste de ce qu'il doit contenir, dans ce que doit inclure un contrat de maintenance informatique.