L’audit sécurité annuel : la checklist en 30 points

L’essentiel en trois phrases

Un audit sécurité cabinet n’exige pas un prestataire informatique externe : il s’agit d’un contrôle méthodique, réalisable en interne, qui passe en revue les accès, les sauvegardes, les équipements et les pratiques humaines. Mené une fois par an — idéalement en dehors des périodes de forte activité —, il permet de détecter les failles avant qu’elles ne se transforment en incident. La checklist en 30 points ci-dessous suit un ordre logique : identité numérique, postes de travail, réseau, données, conformité, continuité.

—

Ce qui est en jeu : secret professionnel, RGPD et responsabilité

Le cabinet d’avocat n’est pas une entreprise ordinaire. L’article 66-5 de la loi du 31 décembre 1971 impose le secret professionnel absolu sur les confidences des clients. Une violation — même involontaire, même par négligence technique — engage la responsabilité disciplinaire de l’avocat.

Par ailleurs, le RGPD (Règlement général sur la protection des données) impose au responsable de traitement — ici le cabinet — d’adopter des mesures techniques et organisationnelles appropriées pour protéger les données personnelles. Cela inclut les données des clients, des parties adverses et des collaborateurs. L’audit annuel est l’un des outils concrets pour démontrer cette démarche de conformité.

Enfin, une faille de sécurité non corrigée peut bloquer l’accès au RPVA (réseau privé virtuel des avocats, la connexion sécurisée aux juridictions), rendre inutilisable la plateforme e-Barreau du CNB, ou exposer les fonds transitant par la CARPA.

—

La méthode pas à pas

Phase 1 — Avant l’audit (préparer les conditions)

Bloquez une demi-journée, idéalement en début d’année civile ou avant la rentrée judiciaire. Prévenez tous les utilisateurs du cabinet : l’audit n’est pas un contrôle des personnes, c’est un contrôle des systèmes. Munissez-vous d’un simple tableur ou d’un document partagé pour cocher chaque point.

Phase 2 — Pendant l’audit (les 30 points)

Voir la checklist complète dans la section suivante.

Phase 3 — Après l’audit (traiter les écarts)

Classez chaque point non conforme selon deux critères : impact (critique, modéré, faible) et effort de correction (rapide, moyen, long). Traitez d’abord les points critiques à correction rapide. Planifiez les travaux longs dans le semestre. Notez la date de l’audit et les actions menées : ce document constitue une pièce de votre dossier de conformité RGPD.

—

Tableau de référence : domaines, points de contrôle et critères de vigilance

—

La checklist des 30 points

Identités et accès (points 1–7)

• 1. Listez tous les comptes utilisateurs actifs sur chaque système et supprimez ceux des personnes parties du cabinet.
• 2. Vérifiez que chaque utilisateur dispose uniquement des droits nécessaires à sa fonction (principe du moindre privilège).
• 3. Contrôlez que les mots de passe du cabinet respectent une politique minimale : longueur, complexité, renouvellement.
• 4. Vérifiez qu’un gestionnaire de mots de passe est en place et utilisé par tous — aucun mot de passe en post-it, aucun fichier Excel non chiffré.
• 5. Activez ou vérifiez l’authentification à deux facteurs (2FA) sur la messagerie, le logiciel métier et tout accès distant.
• 6. Contrôlez la validité de la clé ou du certificat RPVA et notez la date d’expiration à venir.
• 7. Vérifiez que les accès à la plateforme e-Barreau sont nominatifs et à jour.

Postes de travail et logiciels (points 8–13)

• 8. Vérifiez que le système d’exploitation de chaque poste est à jour et encore supporté par l’éditeur.
• 9. Contrôlez que toutes les mises à jour de sécurité des applications sont appliquées (logiciel métier, suite bureautique, navigateurs).
• 10. Assurez-vous qu’un antivirus ou EDR (protection des terminaux) actif tourne sur chaque poste, y compris les portables.
• 11. Vérifiez que le chiffrement du disque dur est activé sur les ordinateurs portables et les postes contenant des données clients.
• 12. Contrôlez que les droits d’administrateur local ne sont pas accordés à des utilisateurs qui n’en ont pas besoin.
• 13. Inventoriez les logiciels installés : supprimez ceux qui ne sont plus utilisés ou qui ne sont plus maintenus.

Messagerie et communications (points 14–16)

• 14. Vérifiez que la messagerie utilise un protocole chiffré (TLS pour l’envoi et la réception) et que le domaine dispose de SPF, DKIM et DMARC pour limiter l’usurpation.
• 15. Testez la résistance du cabinet au phishing : une simple vérification des paramètres anti-spam suffit dans un premier temps.
• 16. Assurez-vous qu’aucune donnée client sensible n’est échangée via une messagerie grand public non sécurisée sans chiffrement de bout en bout.

Réseau (points 17–18)

• 17. Vérifiez que le réseau Wi-Fi du cabinet est séparé d’un éventuel réseau invité, et que le mot de passe est robuste et changé périodiquement.
• 18. Contrôlez que l’accès à distance (VPN ou solution équivalente) est correctement configuré et que les connexions sont journalisées.

Sauvegardes et données (points 19–22)

• 19. Vérifiez la fréquence des sauvegardes : quotidienne pour les données actives, hebdomadaire au minimum pour les archives.
• 20. Contrôlez qu’une copie de sauvegarde est stockée hors du cabinet ou sur un cloud distinct du système principal (règle 3-2-1 : 3 copies, 2 supports différents, 1 hors site).
• 21. Testez concrètement la restauration d’un fichier depuis la sauvegarde — une sauvegarde non testée est une sauvegarde non fiable.
• 22. Vérifiez que les données sauvegardées sont elles-mêmes chiffrées, en particulier si elles sont hébergées sur un cloud. Consultez notre guide sur la sauvegarde des données.

Conformité RGPD et sous-traitants (points 23–26)

• 23. Vérifiez que chaque prestataire traitant des données pour votre compte (hébergeur, logiciel cloud, secrétariat téléphonique) a signé un DPA (Data Processing Agreement — accord de traitement des données).
• 24. Contrôlez la localisation des serveurs de vos prestataires cloud : hébergement dans l’Union européenne ou garanties équivalentes exigées par le RGPD.
• 25. Vérifiez que le registre des traitements du cabinet est à jour et qu’il recense bien les nouveaux outils adoptés dans l’année (notamment les outils d’IA pour avocats).
• 26. Assurez-vous que les clauses de confidentialité signées par les collaborateurs et stagiaires sont en vigueur.

Sécurité physique et humaine (points 27–29)

• 27. Vérifiez que les postes se verrouillent automatiquement après quelques minutes d’inactivité — et que les utilisateurs ont le réflexe de verrouiller manuellement en quittant leur bureau.
• 28. Contrôlez que les documents physiques contenant des données clients sont rangés dans des espaces fermés à clé, et que les impressions ne restent pas sans surveillance.
• 29. Vérifiez que tous les membres du cabinet ont été sensibilisés aux principales menaces (phishing, ingénierie sociale, clé USB inconnue) au cours des douze derniers mois.

Plan de continuité (point 30)

• 30. Vérifiez qu’une procédure minimale de continuité existe : que faire en cas de rançongiciel, de perte de la clé RPVA, de panne du logiciel métier ? Qui appeler ? Quels délais ? Cette procédure doit être connue de tous.

—

Conseils pratiques et erreurs fréquentes

Préparer l’audit : Ne tentez pas de tout faire seul si le cabinet dépasse cinq utilisateurs. Désignez un référent interne — même sans compétence technique poussée — qui centralise les retours de chaque poste.

Erreur fréquente n° 1 : Cocher la case « sauvegarde » sans jamais tester la restauration. Une sauvegarde corrompue ou mal configurée ne se révèle qu’au moment de l’incident.

Erreur fréquente n° 2 : Oublier les appareils mobiles. Un téléphone professionnel non chiffré et sans code PIN représente un risque équivalent à un poste fixe non sécurisé.

Erreur fréquente n° 3 : Négliger les sous-traitants. Votre logiciel de gestion de cabinet ou votre secrétariat téléphonique traite des données clients : vérifiez les contrats chaque année.

La méthode pour bien choisir un outil de sécurité ou de sauvegarde

• Avant de consulter les offres, formalisez le besoin : quels processus protéger en priorité, pour combien d’utilisateurs, avec quelle contrainte budgétaire réelle.
• Impliquez dès la présélection les collaborateurs et assistants qui utiliseront l’outil au quotidien : leur retour évite les mauvaises surprises à l’usage.
• Exigez une démonstration sur vos propres types de dossiers, pas sur un jeu de données fictives préparé par l’éditeur.
• Posez les questions qui dérangent : comment migrer vos données si vous partez ? Quel format d’export ? Où sont hébergés les serveurs ? Le support est-il joignable en heures ouvrées françaises ?
• Calculez le coût complet : licence par utilisateur, installation, formation, migration et durée d’engagement — pas seulement l’abonnement mensuel affiché.
• Comparez au moins deux ou trois solutions avant de signer, même si la première paraît satisfaisante.
• Retenez qu’aucun outil ne convient à tous les cabinets : le bon choix dépend de la taille du cabinet, des matières pratiquées et des processus déjà en place.

—

Cas particuliers

Avocat individuel sans support informatique : Concentrez-vous sur les points 1–7 (accès), 19–21 (sauvegarde) et 30 (continuité). Ces dix points couvrent l’essentiel du risque avec le minimum de temps. Un gestionnaire de mots de passe et une sauvegarde cloud chiffrée quotidienne constituent déjà une protection significative.

Cabinet multi-sites : Vérifiez que chaque site dispose de son propre audit et que les accès distants sont sécurisés par VPN. La synchronisation des sauvegardes entre sites doit être documentée et testée indépendamment.

Collaborateurs en télétravail : Ajoutez un point spécifique : les postes personnels utilisés pour accéder aux données du cabinet doivent respecter les mêmes exigences que les postes fournis par le cabinet (chiffrement, antivirus, mises à jour). Définissez une politique claire par écrit. Consultez notre guide sur la cybersécurité du cabinet.

—

Outils et ressources

• Cybersécurité du cabinet — vue d’ensemble des risques et solutions
• Sauvegarde des données — guide complet sur les règles et outils
• Gestionnaire de mots de passe — comparatif des solutions adaptées aux cabinets
• RGPD au cabinet — obligations, registre des traitements, sous-traitants
• Cyber-assurance — couverture en cas d’incident de sécurité
• Assurance du cabinet — vue d’ensemble des protections individuelles
• Logiciel de gestion de cabinet — choisir un logiciel conforme aux exigences de sécurité

—

FAQ

L’audit sécurité est-il une obligation légale pour un cabinet d’avocat ?

Aucun texte n’impose formellement un audit annuel sous cette forme. En revanche, le RGPD exige des mesures de sécurité appropriées et une capacité à les démontrer. Un audit annuel documenté constitue l’une des preuves les plus concrètes de cette démarche.

Faut-il faire appel à un prestataire externe pour réaliser cet audit ?

Pour un cabinet de moins de cinq avocats, l’audit interne sur la base d’une checklist est suffisant pour couvrir l’essentiel. Au-delà, ou si le cabinet traite des données particulièrement sensibles, l’intervention ponctuelle d’un prestataire spécialisé apporte une vérification indépendante utile.

Que faire si on découvre une faille critique pendant l’audit ?

Traitez-la immédiatement, avant même de terminer l’audit. Documentez la faille, la date de découverte et les mesures prises. Si des données personnelles ont pu être compromises, le RGPD impose une notification à la CNIL dans les 72 heures lorsque le risque est avéré — consultez votre DPO ou votre conseil pour apprécier votre situation propre.

La cyber-assurance remplace-t-elle les mesures de sécurité ?

Non. La cyber-assurance couvre les conséquences financières d’un incident (frais de gestion de crise, responsabilité envers les clients, perte d’exploitation). Elle ne se substitue pas aux mesures préventives et les assureurs examinent de plus en plus les pratiques de sécurité avant d’indemniser.

Comment vérifier que ma clé RPVA est encore valide ?

La clé ou le certificat RPVA a une durée de vie limitée. Connectez-vous à la plateforme e-Barreau et vérifiez la date d’expiration dans les paramètres de votre compte. Rapprochez-vous de votre barreau pour le renouvellement, dont les délais peuvent varier.

Mes sauvegardes sont dans le cloud : est-ce suffisant ?

Un cloud seul ne suffit pas si le prestataire subit un incident ou si les données sont chiffrées par un rançongiciel qui se synchronise avec le cloud. Appliquez la règle 3-2-1 : au moins une copie doit être déconnectée du réseau ou immuable (snapshot non modifiable).

Quelle est la fréquence idéale pour un audit sécurité ?

Annuelle comme revue complète, plus un point intermédiaire si le cabinet a adopté de nouveaux outils (nouveau logiciel métier, IA, solution cloud) ou si un incident s’est produit. Chaque départ ou arrivée de collaborateur devrait aussi déclencher une vérification minimale des accès.

—

Conclusion

Mener un audit sécurité cabinet une fois par an, c’est transformer une obligation diffuse — secret professionnel, RGPD, responsabilité — en une action concrète, planifiable et traçable. La checklist en 30 points présentée ici ne demande ni compétence informatique avancée ni budget élevé : elle demande de la méthode et de la régularité.

Si vous souhaitez aller plus loin sur un point précis — sauvegarde, mots de passe, conformité RGPD, choix d’un logiciel métier sécurisé —, les guides thématiques d’Avocat.com détaillent chaque sujet. Et pour identifier rapidement les solutions les mieux adaptées à votre profil de cabinet, le diagnostic gratuit en quatre questions (environ deux minutes) est disponible sur la page solutions.

Avocat.com est un guide indépendant de solutions professionnelles pour avocats et cabinets. Nous ne fournissons pas de conseil juridique. Certains liens peuvent être des liens partenaires, toujours signalés comme tels.