La sécurité numérique d'un cabinet ne se joue pas lors d'un audit annuel exhaustif, mais dans la régularité de gestes simples répétés chaque mois. Un compte d'ancien stagiaire jamais désactivé, une sauvegarde qui échoue silencieusement depuis trois semaines, une mise à jour reportée indéfiniment : ce sont ces petites dérives cumulées, et non une attaque sophistiquée isolée, qui créent la majorité des incidents évitables. Voici la checklist à parcourir chaque mois, sans expertise technique poussée.
Pourquoi une routine mensuelle plutôt qu'un audit annuel
L'audit annuel a son utilité, mais il présente une limite structurelle : il détecte des problèmes qui existent parfois depuis plusieurs mois au moment du contrôle. Un compte non désactivé après un départ, une sauvegarde défaillante, un accès oublié sur une data room : autant de failles qui s'accumulent silencieusement entre deux audits espacés.
⚠️ Le principe RGPD sous-jacent : l'article 32 du RGPD impose de mettre en œuvre des mesures techniques et organisationnelles adaptées au risque, et d'être en capacité de garantir leur efficacité de façon continue — pas seulement au moment d'un contrôle ponctuel.
Une checklist mensuelle courte, réalisée par une personne identifiée au sein du cabinet, permet de détecter et corriger ces dérives en quelques semaines plutôt qu'en quelques mois, sans mobiliser de ressources importantes.
Trois niveaux de contrôle complémentaires
Mensuel
Comptes, sauvegardes, journal d'audit : cette checklist.
Trimestriel
Test de restauration complet, revue des accès prestataires, mots de passe partagés.
Annuel
Audit de sécurité approfondi, révision du plan de continuité d'activité.
Ces trois niveaux ne se substituent pas les uns aux autres : un audit annuel très complet ne compense pas l'absence de vérification mensuelle des comptes actifs, tout comme une checklist mensuelle ne remplace pas un test de restauration réel effectué régulièrement.
Comptes et accès
À vérifier chaque mois
☐ Liste des comptes actifs comparée à la liste des collaborateurs présents
☐ Comptes de stagiaires ou de collaborateurs partis, désactivés sans délai
☐ Accès aux dossiers et data rooms cohérents avec les dossiers réellement suivis
☐ Authentification à deux facteurs active sur tous les comptes sensibles
Un logiciel de gestion qui affiche la liste complète des comptes actifs et de leurs permissions en un coup d'œil rend cette vérification mensuelle nettement plus rapide qu'une revue manuelle dispersée entre plusieurs outils.
Sauvegardes et restauration
❌ L'erreur la plus fréquente
Considérer qu'une sauvegarde configurée « fonctionne » sans jamais avoir testé une restauration réelle. Une sauvegarde qui échoue silencieusement depuis des semaines n'est découverte, dans le pire des cas, qu'au moment où elle devient indispensable.
✓ Le bon réflexe mensuel
Vérifier que la dernière sauvegarde s'est bien exécutée, et procéder au moins une fois par trimestre à un test de restauration d'un fichier ou dossier pour confirmer que la donnée récupérée est bien exploitable.
Les principes détaillés de fréquence et de méthode sont développés dans notre guide sur la stratégie de sauvegarde adaptée aux avocats.
Postes et mises à jour
| Élément à contrôler | Fréquence | Point de vigilance |
|---|---|---|
| Mises à jour système | Mensuelle | Aucun poste bloqué sur une version obsolète |
| Antivirus | Mensuelle | Base de signatures à jour sur tous les postes |
| Chiffrement du disque | Trimestrielle | Vérifié sur les nouveaux postes et portables |
| Politique de mots de passe | Trimestrielle | Aucun mot de passe partagé non renouvelé |
Le détail des bonnes pratiques par poste est développé dans notre article sur la sécurisation des postes de travail du cabinet et notre guide sur la politique de mots de passe.
Journal d'audit et traces
Ce que le contrôle mensuel du journal d'audit doit repérer
✓ Connexions à des horaires inhabituels
✓ Tentatives de connexion échouées répétées sur un même compte
✓ Téléchargements massifs et inhabituels de documents
✓ Accès à des dossiers sans lien apparent avec le collaborateur concerné
Ce contrôle est décrit plus en détail dans notre article sur le journal d'audit dans un logiciel avocat. Un journal d'audit centralisé, plutôt que dispersé entre plusieurs outils non reliés, transforme cette vérification en un contrôle de quelques minutes.
Prestataires et sous-traitants
💡 Bon à savoir : les accès accordés à des prestataires externes (maintenance informatique, hébergeur, éditeur de logiciel) doivent être revus au même titre que les comptes internes. Un accès de maintenance oublié après la fin d'une mission constitue une porte d'entrée souvent négligée.
- Vérifier que les accès des prestataires externes sont limités dans le temps et révoqués en fin d'intervention
- S'assurer que les contrats avec les sous-traitants numériques comportent bien les clauses de protection des données attendues
❌ Le cas typique : un prestataire informatique intervenu ponctuellement pour un dépannage conserve un accès à distance ouvert bien après la fin de sa mission, simplement parce que personne n'a pensé à le fermer. Ce type d'oubli figure parmi les points les plus fréquemment relevés lors des audits de cabinets.
Qui doit porter cette checklist dans un petit cabinet ?
Dans une structure de quelques avocats, il n'est pas nécessaire de créer un poste dédié pour assumer cette responsabilité. L'essentiel est de désigner une personne unique — souvent l'associé gérant, le responsable administratif ou, à défaut, l'avocat le plus impliqué dans les choix d'outils numériques — qui parcourt la checklist à date fixe chaque mois, avec l'appui ponctuel du prestataire informatique pour les points techniques. Cette clarté des rôles évite l'écueil classique où chacun suppose, à tort, que quelqu'un d'autre s'en charge déjà.
La checklist complète à imprimer
☐ Comptes actifs conformes aux effectifs réels
☐ Comptes des départs récents désactivés
☐ MFA active sur tous les comptes sensibles
☐ Dernière sauvegarde vérifiée comme réussie
☐ Mises à jour système appliquées sur tous les postes
☐ Antivirus actif et à jour sur chaque poste
☐ Journal d'audit parcouru pour anomalies
☐ Accès des prestataires externes contrôlés
☐ Aucun mot de passe partagé non renouvelé
☐ Date et responsable du contrôle notés
Désigner un responsable, même dans un petit cabinet
Cette checklist ne demande pas d'expertise technique : elle demande qu'une personne identifiée s'y consacre chaque mois, à date fixe, et documente brièvement ce qui a été vérifié. C'est cette régularité qui produit l'effet protecteur, bien plus que la sophistication des outils utilisés.
FAQ
Faut-il un profil technique pour réaliser cette checklist ?
Non. La plupart des points sont organisationnels (comptes, accès, documentation) et peuvent être suivis par la personne en charge de l'administration du cabinet, avec l'appui ponctuel du prestataire informatique pour les points techniques comme les mises à jour ou l'antivirus.
Cette checklist mensuelle remplace-t-elle un audit de sécurité complet ?
Non, elle le complète. Un audit plus approfondi, réalisé annuellement ou après un changement d'infrastructure important, reste utile pour identifier des risques structurels que la routine mensuelle ne couvre pas nécessairement.
Combien de temps prend ce contrôle mensuel ?
Avec des outils centralisés (logiciel de gestion affichant comptes et journal d'audit), une trentaine de minutes suffit généralement. Le temps augmente surtout lorsque les informations sont dispersées entre plusieurs systèmes non reliés.
En résumé
La sécurité numérique d'un cabinet se construit dans la régularité, pas dans un contrôle annuel isolé. Une checklist mensuelle courte, portant sur les comptes, les sauvegardes, les mises à jour et le journal d'audit, détecte les dérives à temps et limite considérablement l'exposition du cabinet — sans nécessiter d'expertise technique poussée ni de budget conséquent.
Pour centraliser comptes, accès et journal d'audit dans un seul environnement, découvrez NetJuris et son offre tarifaire.
Sources : RGPD, article 32 ; CNIL — sécurité des données.