Cybersécurité des professions réglementées : attaques, protection et suivi des mesures
Les études notariales, cabinets d’avocats et offices de commissaires de justice traitent chaque jour des informations particulièrement sensibles : actes, contrats, données d’identité, coordonnées bancaires, dossiers contentieux ou éléments couverts par le secret professionnel. Cette richesse informationnelle en fait des cibles privilégiées.
La cybersécurité ne concerne donc pas uniquement les grandes entreprises. Elle constitue désormais un enjeu de continuité d’activité, de responsabilité professionnelle et de conformité pour toutes les structures libérales. Pour agir efficacement, il est utile de raisonner autour de trois notions : les attaques, la protection et le suivi des mesures mises en place.
Table des matières
1. Les attaques : un risque concret pour les structures libérales
Le risque cyber se manifeste de plusieurs façons. Le phishing consiste à envoyer un courriel frauduleux pour récupérer un mot de passe ou faire exécuter un virement. Le rançongiciel bloque les fichiers ou les serveurs et demande une rançon. Le vol d’identifiants permet ensuite d’accéder aux messageries, aux logiciels métiers ou aux espaces de stockage.
Les attaques peuvent également prendre la forme d’une fraude au président, d’une usurpation d’identité, d’une compromission de fournisseur ou d’une fuite de données. Dans une étude ou un cabinet, une seule boîte mail piratée peut suffire à exposer des dizaines de dossiers clients.
Le Panorama de la cybermenace 2025 de l’ANSSI, publié en mars 2026, confirme que la pression reste très élevée. Les TPE, PME et ETI figurent toujours parmi les organisations régulièrement touchées par les attaques par rançongiciel. Les petites structures ne sont donc pas épargnées : elles sont souvent visées parce qu’elles disposent de données à forte valeur et de moyens de protection plus limités.
> « En 2025, la menace cyber reste à un niveau très élevé. »
> ANSSI, Panorama de la cybermenace 2025
Pour les notaires, l’enjeu est renforcé par la nature de leur mission et par la confiance attachée à l’authenticité des actes. Le Conseil supérieur du notariat porte une attention particulière à la sécurité numérique et à la protection des outils utilisés par la profession. Les exigences de vigilance peuvent notamment être vérifiées lors des inspections d’offices.
Le choix d’un hébergement sécurisé, la maîtrise des accès et la protection des données doivent donc être considérés comme des éléments de fonctionnement courant, et non comme de simples options techniques.
Les avocats doivent également tenir compte des recommandations du Conseil National des Barreaux. Ses guides de sécurité numérique rappellent notamment que la confidentialité ne repose pas uniquement sur la sécurisation de la connexion. Une messagerie peut utiliser une connexion protégée tout en laissant le contenu des messages lisible s’il n’est pas lui-même suffisamment protégé.
> « Les données sensibles doivent être chiffrées avant leur communication, quel que soit le moyen utilisé, notamment la messagerie ou la messagerie instantanée. »
> — Conseil National des Barreaux, Guide pratique – La sécurité numérique du cabinet d’avocat
2. La protection : les mesures essentielles à mettre en place
La protection commence par une organisation claire. Une charte informatique permet de formaliser les règles applicables à tous les collaborateurs et intervenants :
utiliser un mot de passe unique et suffisamment robuste ;
ne jamais partager ses identifiants ;
verrouiller son poste en cas d’absence ;
vérifier l’identité d’un interlocuteur avant tout virement ou partage de document ;
encadrer l’usage des équipements personnels ;
signaler immédiatement tout courriel suspect ou incident.
Cette charte doit être courte, compréhensible et adaptée au fonctionnement réel de la structure. Elle peut être présentée lors de l’arrivée d’un collaborateur, puis rappelée régulièrement.
La deuxième mesure prioritaire est la double authentification. Elle ajoute une étape de vérification après le mot de passe, par exemple avec une application mobile ou une clé de sécurité. Elle réduit fortement le risque qu’un mot de passe volé suffise à prendre le contrôle d’une messagerie ou d’un logiciel métier.
La troisième mesure concerne les sauvegardes. Les données importantes doivent être sauvegardées automatiquement, selon une fréquence adaptée à l’activité. Une sauvegarde utile doit être séparée du système principal, protégée contre les suppressions accidentelles et régulièrement testée. Une sauvegarde jamais restaurée n’est pas une garantie : il faut vérifier concrètement qu’elle permet de récupérer les documents nécessaires.
Mesure | Objectif | Bon réflexe |
Charte informatique | Harmoniser les comportements | La faire signer et la mettre à jour |
Double authentification | Limiter l’impact d’un mot de passe volé | L’activer sur la messagerie et les services sensibles |
Sauvegardes | Restaurer les données après un incident | Tester régulièrement une restauration |
Chiffrement | Protéger les fichiers et échanges | Chiffrer les données sensibles avant envoi |
Hébergement sécurisé | Réduire les risques liés aux serveurs | Vérifier les garanties du prestataire |
Pour les avocats, la sécurisation des messageries et le chiffrement des échanges doivent faire partie des priorités. Les documents sensibles ne devraient pas être transmis par une solution grand public sans contrôle. Le cabinet peut privilégier les outils professionnels recommandés par la profession ou des plateformes permettant de contrôler les accès, la durée de disponibilité et la traçabilité des téléchargements.
Les notaires et commissaires de justice doivent appliquer la même logique : identifier les données les plus sensibles, limiter les destinataires, vérifier les coordonnées bancaires par un second canal et contrôler les droits d’accès aux dossiers.
3. Le suivi des mesures mises en place : une démarche continue
La cybersécurité ne se résume pas à installer un antivirus ou à rédiger une charte. Les outils évoluent, les collaborateurs changent et les méthodes d’attaque se renouvellent. Le suivi des mesures mises en place doit donc être organisé dans le temps.
Un audit régulier permet de vérifier :
les comptes actifs et les droits attribués ;
les mises à jour des ordinateurs, serveurs et logiciels ;
le fonctionnement des sauvegardes ;
la résistance des mots de passe ;
l’activation de la double authentification ;
la capacité à réagir en cas de compromission.
La fréquence dépend de la taille de la structure et de la sensibilité des dossiers, mais un point de contrôle annuel constitue un minimum raisonnable. Des vérifications plus fréquentes peuvent être prévues pour les messageries, les accès administrateurs et les sauvegardes.
Il est également utile de prévoir une procédure simple de gestion de crise : qui contacter, quels comptes isoler, quels équipements déconnecter, comment préserver les preuves et qui informe les clients ou les autorités compétentes ? Cette préparation évite de perdre un temps précieux au moment où l’incident survient.
Questions fréquentes
Une petite étude ou un cabinet doit-il réellement investir dans la cybersécurité ?
Oui. La taille de la structure ne protège pas contre les attaques. Les petites organisations sont régulièrement ciblées car elles détiennent des données sensibles et disposent parfois de protections moins formalisées.
La double authentification suffit-elle à sécuriser une messagerie ?
Non. Elle constitue une protection importante, mais elle doit être complétée par des mots de passe robustes, des mises à jour, une sensibilisation au phishing, des sauvegardes et, lorsque nécessaire, le chiffrement des données.
Pourquoi tester les sauvegardes ?
Parce qu’une sauvegarde peut être incomplète, corrompue ou inaccessible. Un test de restauration permet de vérifier qu’elle répond réellement aux besoins de l’office ou du cabinet.
Que faire en cas de violation de données personnelles ?
Il faut documenter l’incident, évaluer les risques et, lorsque la violation présente un risque pour les droits et libertés des personnes, la notifier à la CNIL dans les meilleurs délais, conformément aux obligations applicables. La structure doit également déterminer si les personnes concernées doivent être informées.
Chiffres clés
📊 1 366 incidents de sécurité traités par l’ANSSI en 2025.
🔐 48 % des victimes d’attaques par rançongiciel sont des TPE, PME ou ETI.
⏱️ 72 heures : délai maximal prévu, lorsque cela est possible, pour notifier à la CNIL une violation de données personnelles présentant un risque pour les droits et libertés des personnes.
Conclusion
Pour les notaires, avocats et commissaires de justice, la cybersécurité doit être abordée de manière pragmatique : comprendre les attaques, mettre en œuvre une protection adaptée et assurer le suivi des mesures mises en place.
La conformité RGPD fait partie intégrante de cette démarche. En cas de violation de données personnelles présentant un risque pour les droits et libertés des personnes, le responsable de traitement doit agir rapidement, documenter l’incident et effectuer les notifications nécessaires. Cette obligation suppose d’avoir identifié les responsabilités et préparé une procédure avant qu’une attaque ne survienne.
La sécurité numérique n’est donc pas un projet ponctuel, mais un processus continu au service de la confidentialité, de la conformité et de la continuité de l’activité.
Commentaires