Dans les cabinets d'avocats et les études notariales, la démarche ISO/IEC 27001 est rarement lancée pour la sécurité : elle est lancée parce qu'un client grand compte l'a exigée dans son panel de conseils. La norme reste volontaire, mais son absence coûte des dossiers. Or un cabinet n'est pas une entreprise comme une autre du point de vue de l'authentification : le secret professionnel s'y applique à des données qui circulent en permanence, entre des personnes qui changent souvent, depuis des lieux que le cabinet ne maîtrise pas.
Cet article propose une lecture opérationnelle et ne constitue pas un avis juridique. Les obligations déontologiques propres à votre profession se cumulent avec la norme et doivent être appréciées avec votre ordre ou votre chambre.
La certification arrive par le client, pas par le législateur
Le mécanisme de la norme — approche par les risques, déclaration d'applicabilité, audits internes, audit de certification par un organisme tiers — est traité en détail dans notre lecture générale des obligations ISO 27001 qui touchent l'authentification. Retenons ici le seul point qui structure la vie d'un cabinet : la norme ne dit pas quoi installer, elle demande de prouver que ce qui est installé correspond à un risque identifié, s'applique réellement et est vérifié.
Pour un cabinet, cela déplace le sujet du secret professionnel. Le secret ne se déclare pas : il se démontre. Un auditeur ne vous demandera pas si vous êtes tenu au secret. Il vous demandera qui a pu ouvrir le dossier d'un client donné, quand, depuis quel appareil, et comment vous le savez.
Six situations propres aux cabinets
La salle de données de fusion-acquisition
Elle concentre, sur quelques semaines, la valeur d'une opération entière. Les accès y sont créés dans l'urgence, pour de nombreux intervenants extérieurs — conseils de l'autre partie, auditeurs, banquiers. Deux difficultés : la dataroom est souvent l'outil du client, ce qui ne vous exonère pas de contrôler vos propres comptes ; et les accès survivent presque toujours à l'opération.
L'échange de pièces avec les clients et les juridictions
Le courriel reste le canal par défaut, avec ses pièces jointes et ses liens. C'est aussi le terrain privilégié du phishing ciblé contre les cabinets, où un faux message de greffe ou de confrère se distingue mal d'un vrai.
La mobilité permanente
Audiences, déplacements, rendez-vous chez le client, travail en gare. Le poste de travail est nomade, le réseau est celui d'un hôtel, et l'authentification doit fonctionner sans supposer un bureau ni une bonne couverture réseau. Un dispositif qui échoue en déplacement sera contourné.
Les collaborateurs et stagiaires en rotation
Un cabinet accueille, forme et voit partir des personnes en continu. Chaque arrivée crée des droits, chaque départ devrait en supprimer. La revue des habilitations est l'un des premiers écarts relevés en audit dans ce secteur, précisément parce que la rotation est rapide et que la clôture des comptes passe après l'urgence des dossiers.
Le secrétariat et les services externalisés
Frappe, transcription, comptabilité, gestion documentaire, informatique : une partie du travail est confiée à des tiers qui accèdent aux mêmes dossiers. La mesure d'annexe A relative à la sécurité des relations avec les fournisseurs devient ici centrale, et elle se contrôle techniquement, pas seulement contractuellement.
La conservation longue des dossiers
Les archives d'un cabinet vivent bien plus longtemps que les technologies qui les protègent. Un accès d'archive ouvert avec une méthode obsolète est un risque qui grandit sans que personne ne le regarde.
Ce que le système de management doit pouvoir montrer
| Situation du cabinet | Ce que vous devez être en mesure d'établir | Point de rupture le plus fréquent |
|---|---|---|
| Dataroom d'opération | La liste nominative des accès ouverts, la date de leur fermeture, l'usage qui en a été fait | Des comptes toujours actifs des mois après le closing |
| Envoi de pièces à un client | Que le destinataire est bien celui prévu et que l'envoi est tracé | Une pièce jointe partie à une adresse détournée après compromission d'une boîte |
| Travail en déplacement | Que le niveau d'authentification ne baisse pas hors du cabinet | Une procédure de secours plus faible, activée systématiquement en mobilité |
| Départ d'un collaborateur | Que les droits ont été retirés sur l'ensemble des applications, pas seulement la messagerie | Un accès résiduel à l'outil de gestion documentaire |
| Intervention d'un prestataire | Que l'accès est nominatif, limité dans le temps et journalisé | Un compte générique partagé au sein du prestataire |
| Consultation d'une archive | Qui a rouvert un dossier clos et pour quel motif | Aucune trace exploitable au-delà de quelques semaines |
Signature électronique et actes
Les études notariales et, de plus en plus, les cabinets d'avocats signent par voie électronique. La question posée en audit n'est pas celle du format de signature, mais celle du lien entre la personne et l'acte : comment démontrez-vous que le signataire était bien présent, conscient de ce qu'il signait, et non simplement titulaire d'un jeton d'authentification valide ? Une session ouverte sur un poste laissé sans surveillance suffit à briser ce lien. C'est la raison pour laquelle une validation d'acte gagne à s'appuyer sur une preuve d'intention distincte de la connexion, comme le propose le facteur cognitif au moment précis de la signature.
Feuille de route pour un cabinet
- Inscrire les datarooms au périmètre dès la déclaration d'applicabilité, même quand l'outil est celui du client.
- Adosser la clôture des comptes au processus RH, pas à la bonne volonté de l'associé référent.
- Instaurer une revue trimestrielle des accès aux dossiers les plus sensibles, avec compte rendu écrit.
- Encadrer contractuellement et techniquement le secrétariat externalisé : comptes nominatifs, durée limitée, journalisation côté cabinet.
- Tester le parcours de récupération de compte en conditions réelles : un confrère en déplacement qui perd son téléphone la veille d'une audience.
- Définir une politique d'accès aux archives distincte de celle des dossiers en cours.
FAQ
Un cabinet de quelques dizaines de personnes peut-il viser la certification ?
Oui. La norme s'adapte à la taille de l'organisation : c'est le périmètre déclaré et la maturité du système de management qui comptent, pas l'effectif. Un petit cabinet aura un système plus simple, mais il devra le faire vivre réellement, y compris entre deux audits.
La dataroom fournie par le client nous dispense-t-elle de contrôles ?
Non. L'outil appartient peut-être au client, mais les comptes utilisés par vos équipes relèvent de votre responsabilité, tout comme les postes depuis lesquels ils s'y connectent. La question de l'auditeur portera sur vos accès, pas sur l'architecture du prestataire.
Le secret professionnel impose-t-il des mesures d'authentification particulières ?
Le secret est une obligation déontologique, distincte de la norme. ISO/IEC 27001 n'ajoute pas de règle déontologique, mais elle fournit le cadre pour démontrer que vous protégez effectivement les informations couvertes, notamment via le contrôle d'accès et la journalisation.
Que répondre à un client qui exige la certification avant que nous l'ayons ?
Présentez l'état d'avancement de manière factuelle : périmètre visé, analyse de risque réalisée, mesures déjà en place, audits internes passés. Beaucoup de donneurs d'ordre acceptent une démarche engagée et documentée, à condition que les preuves demandées existent déjà.
Aller plus loin : pilier : authentification cognitive · lecture générale d'ISO 27001 · RGPD et professions juridiques · vol de session dans les cabinets