Un collaborateur qui prépare des conclusions depuis son domicile, un avocat qui consulte un dossier entre deux audiences depuis son téléphone, une associée qui travaille depuis un TGV avec le Wi-Fi de la gare comme seule connexion : le télétravail et la mobilité sont devenus la norme dans la profession. Mais chaque connexion établie hors des murs du cabinet est une porte potentielle vers des données couvertes par le secret professionnel. Voici comment la sécuriser sans renoncer à la souplesse que le télétravail apporte.
Pourquoi le télétravail expose-t-il davantage un cabinet ?
Au cabinet, le réseau est en général homogène : un pare-feu, un Wi-Fi professionnel, des postes gérés par le même prestataire informatique. En télétravail, cet environnement contrôlé disparaît. Chaque collaborateur se connecte depuis une box internet personnelle, parfois partagée avec des enfants qui jouent en ligne, depuis un ordinateur qui n'a pas toujours reçu les dernières mises à jour, ou depuis un téléphone personnel qui contient aussi des applications grand public.
Trois facteurs aggravent le risque pour un cabinet d'avocats en particulier :
- La nature des données consultées. Un dossier de divorce, un protocole transactionnel confidentiel ou un contrat de cession ne doivent jamais transiter en clair sur un réseau non maîtrisé.
- La diversité des lieux de connexion. Domicile, tribunal, train, café, hôtel : chaque environnement a un niveau de sécurité différent, souvent inconnu de l'utilisateur.
- La difficulté de contrôle a posteriori. Contrairement au cabinet, le service informatique ne peut pas physiquement intervenir sur un poste distant en cas d'incident.
⚠️ À retenir : le télétravail ne crée pas de nouvelle menace en soi — il multiplie les points d'entrée déjà connus (phishing, poste non à jour, vol d'appareil). Notre guide cybersécurité pour cabinets d'avocats détaille ces menaces de fond ; cet article se concentre spécifiquement sur la sécurisation des connexions à distance.
VPN, Zero Trust ou accès cloud direct : quelle architecture choisir ?
Historiquement, la réponse au télétravail était le VPN (réseau privé virtuel) : un tunnel chiffré entre le poste distant et le réseau du cabinet, comme si l'utilisateur était physiquement sur place. Cette approche reste valable pour les cabinets qui hébergent encore un serveur local. Mais elle a deux limites : si les identifiants du collaborateur sont volés, l'attaquant obtient un accès large à tout le réseau ; et la performance se dégrade vite avec la distance ou le nombre d'utilisateurs simultanés.
VPN classique
- → Accès large au réseau une fois connecté
- → Pertinent si serveur local existant
- → Point de défaillance unique
- → Performance variable
Zero Trust (ZTNA)
- → Vérifie identité + appareil à chaque requête
- → Accès limité application par application
- → Réduit la surface d'attaque en cas de vol d'identifiants
- → Plus complexe à déployer seul
SaaS chiffré natif
- → Accès direct par navigateur, en HTTPS/TLS
- → Pas de VPN à configurer chez le collaborateur
- → Sécurité gérée par l'éditeur (MFA, journal d'audit)
- → Modèle recommandé pour un cabinet sans DSI dédiée
Pour la grande majorité des cabinets, la troisième option est la plus réaliste : en utilisant un logiciel de gestion en mode SaaS, chaque connexion est déjà chiffrée de bout en bout et authentifiée, sans qu'il soit nécessaire de gérer un VPN. C'est le principe retenu par les fonctionnalités NetJuris : le collaborateur se connecte à ses dossiers depuis n'importe quel poste, avec authentification renforcée, sans exposer un réseau local.
Le principe du moindre privilège appliqué au télétravail
Quelle que soit l'architecture retenue, la règle reste la même : un collaborateur en télétravail ne doit accéder qu'aux dossiers dont il a réellement besoin, jamais à l'ensemble de la base clients du cabinet par défaut. Cela limite l'impact d'un identifiant compromis.
Comment sécuriser les postes utilisés en télétravail ?
Le débat BYOD (« Bring Your Own Device », utiliser son ordinateur personnel) contre poste professionnel dédié se pose dans presque tous les cabinets, notamment les structures de moins de dix personnes qui n'ont pas de parc informatique homogène.
| Critère | Poste professionnel dédié | Poste personnel (BYOD) |
|---|---|---|
| Mises à jour | Imposées et vérifiables | Dépendent de l'utilisateur |
| Antivirus / EDR | Installé et supervisé | Souvent absent ou basique |
| Chiffrement du disque | Activé par défaut | À vérifier au cas par cas |
| Séparation vie pro/perso | Totale | Aucune (mêmes comptes, mêmes fichiers) |
| Coût | Investissement initial | Nul à court terme |
| Recommandation cabinet | Prioritaire pour l'accès aux dossiers | Acceptable uniquement avec accès SaaS chiffré et MFA |
⚠️ Point de vigilance : un poste personnel utilisé pour le télétravail est aussi utilisé pour naviguer, télécharger des applications ou laisser un enfant l'emprunter. Si ce poste doit accéder aux dossiers du cabinet, il doit au minimum disposer d'un compte utilisateur séparé, d'un antivirus à jour et d'un verrouillage automatique après quelques minutes d'inactivité.
Trois mesures simples réduisent fortement le risque, quel que soit le type de poste :
- Verrouillage automatique de l'écran après 5 minutes d'inactivité, y compris à domicile
- Chiffrement du disque activé (BitLocker sous Windows, FileVault sous macOS)
- Aucun stockage local de documents confidentiels : le dossier doit rester dans le logiciel de gestion, jamais copié sur le bureau ou dans un dossier personnel « pour aller plus vite »
Quelles règles pour les connexions Wi-Fi hors du cabinet ?
Le Wi-Fi d'un café, d'une gare ou d'un hôtel n'offre aucune garantie de confidentialité : les échanges peuvent être interceptés par toute personne connectée au même réseau, y compris sans compétences techniques avancées.
❌ À éviter absolument
- Se connecter à un réseau Wi-Fi public sans protection
- Consulter un dossier client sur un écran visible en open space public
- Laisser l'ordinateur ouvert et déverrouillé en pause
- Utiliser un point d'accès Wi-Fi au nom générique non vérifié
✓ Bonnes pratiques
- Utiliser le partage de connexion du téléphone (4G/5G) plutôt qu'un Wi-Fi public
- Vérifier que l'accès au logiciel de gestion se fait en HTTPS (cadenas dans le navigateur)
- Utiliser un filtre de confidentialité sur l'écran en espace ouvert
- Verrouiller systématiquement la session, même pour deux minutes
💡 Bon à savoir : si votre logiciel de gestion utilise le chiffrement TLS pour toutes les connexions (ce qui est le standard pour tout SaaS professionnel sérieux), le contenu des échanges reste illisible même sur un réseau public non sécurisé. Cela ne dispense pas des précautions ci-dessus, mais réduit considérablement le risque en cas de connexion imprévue.
Comment encadrer les accès mobiles aux dossiers ?
Consulter un dossier depuis son smartphone entre deux rendez-vous est devenu un réflexe. Cela suppose quelques garde-fous :
- Verrouillage biométrique ou code obligatoire sur l'appareil — jamais d'accès sans authentification
- Application ou navigateur à jour, avec les correctifs de sécurité les plus récents
- Déconnexion automatique après une période d'inactivité, y compris sur mobile
- Procédure de blocage à distance en cas de perte ou de vol du téléphone (effacement des données, révocation de session)
- Pas de transfert de pièces vers des applications personnelles (messagerie grand public, stockage cloud non professionnel) pour "les avoir sous la main"
Le réflexe en cas de perte ou de vol d'un appareil
Changez immédiatement le mot de passe du compte concerné, révoquez la session active depuis un autre appareil si votre logiciel le permet, et signalez l'incident au responsable du cabinet. Un délai de réaction de quelques minutes fait toute la différence : une session encore active peut être utilisée par un tiers tant qu'elle n'est pas révoquée.
Que dit le droit du télétravail dans une profession réglementée ?
Le télétravail est défini par les articles L1222-9 à L1222-11 du Code du travail pour les salariés, y compris les collaborateurs salariés d'un cabinet d'avocats. Ce cadre organise les conditions générales du télétravail (formalisation, réversibilité, prise en charge des frais) mais ne fixe pas d'exigences techniques de sécurité spécifiques à la profession d'avocat.
C'est le secret professionnel — et non le droit du travail — qui impose l'essentiel des contraintes de sécurité pour un cabinet : la CNIL rappelle régulièrement que tout traitement de données personnelles doit être protégé par des mesures « appropriées au risque », ce qui inclut explicitement le travail à distance dans ses recommandations générales de sécurité informatique. Un cabinet reste responsable de la sécurité de ses données même lorsqu'elles sont consultées depuis le domicile d'un collaborateur.
⚠️ Attention : l'avocat qui autorise le télétravail reste responsable, vis-à-vis de son client et de son Ordre, de la confidentialité des échanges — quel que soit le lieu depuis lequel le dossier est consulté. Formaliser une charte interne de télétravail (postes autorisés, outils utilisables, conduite à tenir en cas d'incident) permet de fixer ce cadre par écrit.
Quelle checklist appliquer au quotidien ?
Avant chaque session de télétravail :
L'approche NetJuris
NetJuris étant un logiciel 100% SaaS hébergé en France, chaque connexion — au cabinet, en télétravail ou en déplacement — est chiffrée en TLS et protégée par authentification multi-facteurs, sans qu'aucun VPN ne soit à configurer. Le journal d'audit intégré trace chaque accès, quel que soit le lieu de connexion, pour une visibilité complète sur qui a consulté quoi et depuis où.
Les erreurs les plus fréquentes
❌ Copier un dossier sur une clé USB "pour le week-end"
Une clé USB perdue ou volée expose l'ensemble de son contenu sans aucune traçabilité. Consultez le dossier directement depuis le logiciel de gestion, où qu'il se trouve.
❌ Partager son mot de passe avec un assistant "pour dépanner"
Chaque personne doit disposer de son propre compte nominatif. Un mot de passe partagé rend le journal d'audit inexploitable en cas d'incident.
❌ Désactiver le verrouillage automatique "par confort"
Cinq secondes gagnées au quotidien contre un risque réel en cas d'absence, même brève, du poste de travail.
❌ Improviser sans charte écrite
Sans règles formalisées, chaque collaborateur applique ses propres standards de sécurité — souvent insuffisants. Une charte d'une page suffit à fixer le cadre.
Conclusion
Le télétravail n'est pas incompatible avec le secret professionnel — à condition de ne pas le traiter comme une simple extension du bureau. Un accès chiffré, des postes maîtrisés, une authentification renforcée et quelques réflexes simples suffisent à sécuriser l'essentiel des situations de mobilité rencontrées par un cabinet. L'enjeu n'est pas d'interdire le travail à distance, mais de l'encadrer avec la même rigueur que celle appliquée entre les murs du cabinet.
Pour aller plus loin sur la sécurisation globale de votre cabinet, consultez notre guide complet de cybersécurité et notre article sur le secret professionnel appliqué au cloud. Découvrez aussi comment les fonctionnalités NetJuris sécurisent nativement chaque connexion, ou consultez nos tarifs pour démarrer un essai gratuit de 14 jours.
FAQ : vos questions sur le télétravail sécurisé
Un cabinet a-t-il l'obligation légale de sécuriser le télétravail de ses collaborateurs ?
Il n'existe pas de texte imposant des mesures techniques précises pour le télétravail des avocats. En revanche, l'obligation de sécurité découle du RGPD (article 32) et du secret professionnel : le responsable du cabinet doit démontrer qu'il a mis en œuvre des mesures appropriées, où que les données soient consultées.
Le VPN est-il toujours nécessaire en 2026 ?
Non, pas systématiquement. Si votre logiciel de gestion est un SaaS moderne qui chiffre nativement les connexions (TLS) et impose l'authentification multi-facteurs, un VPN n'apporte pas de sécurité supplémentaire significative. Il reste utile pour accéder à un serveur local ou à des ressources internes non exposées sur internet.
Peut-on autoriser un stagiaire à travailler depuis son ordinateur personnel ?
Oui, à condition que l'accès aux dossiers se fasse exclusivement via une plateforme sécurisée (SaaS chiffré, MFA activée) et non par copie de fichiers sur le poste personnel. Le principe du moindre privilège doit s'appliquer avec la même rigueur qu'à un salarié permanent.
Comment réagir si un collaborateur a travaillé sur un Wi-Fi public non sécurisé ?
Si l'accès s'est fait via une connexion chiffrée (HTTPS/TLS) à votre logiciel de gestion, le risque réel est limité. Par précaution, faites changer le mot de passe du compte concerné et vérifiez le journal d'audit pour vous assurer qu'aucune activité inhabituelle n'a été enregistrée sur la session.