Un complément officiel et une prise en considération étatique bienvenus.
Il faut bien admettre que les professionnels n’étaient, jusqu’à récemment, que (très) peu aidés dans la mise en œuvre des bonnes pratiques de sûreté numérique spécifiques à la profession, comme dans le déploiement et la gestion de leurs politiques de sécurité des systèmes d’information.
C’est d’ailleurs la raison pour laquelle nous avions, en 2020, dédié deux numéros du Journal du Village de la Justice à la cybersécurité des cabinets d’avocats...
Articles à retrouver en accès libre et intégral ici :
Le Conseil National des Barreaux s’est, depuis, emparé de la difficulté, avec son rapport d’information présente les enjeux de la cybersécurité pour la profession d’avocat et la feuille de route envisagée autour de la cybersécurité, tant pour la profession d’avocat, que pour l’institution (documents à consulter ici (site du CNB) ; rapport en accès réservé avocat)
L’objectif du nouveau document publié ("État de la menace informatique contre les cabinets d’avocats") par l’ANSSI est « de présenter les principales menaces pesant sur les systèmes d’information (SI) des cabinets d’avocats et de fournir des exemples concrets d’attaques conduites contre le secteur en France ou à l’étranger ».
Comme nous le disions en titre, un complément officiel et une prise en considération étatique particulièrement bienvenus !
L’exposition des avocats aux risques cyber.
Qu’est-ce qui rend les cabinets d’avocats particulièrement vulnérables face à la cybermalveillance ?
Telle était l’une des premières problématiques posées en introduction de notre dossier spécial.
L’ANSSI le confirme, l’exposition des cabinets s’explique notamment :
- par leur accès à des données sensibles ;
- parce qu’ils traitent avec des clients que des attaquants pourraient chercher à atteindre.
Plus précisément, trois grands types de menace informatique sont habituellement distinguées :
- les attaques à but lucratif (ciblage par rançongiciel, fraudes & reventes de données), qui, en nombre, représentent la principale menace observée pour les cabinets d’avocats. L’ANSSI note toutefois que des attaques à finalité́ lucrative sont également conduites contre le secteur par des groupes d’attaquants réputés liés à des États ;
- l’espionnage (économique et/ou stratégique, ciblage par l’intermédiaire d’entreprises privées), les cabinets étant des « cibles de choix pour des acteurs souhaitant surveiller les activités des avocats ou de leurs clients » ; les « acteurs présumés étatiques » s’intéressant particulièrement aux brevets, aux dossiers de fusion-acquisition, aux procédures judiciaires ou d’arbitrage, ou encore à l’application de sanctions et d’embargos internationaux ;
- les opérations de déstabilisation, dont les avocats peuvent également être victimes à la suite d’actions et de divulgation d’informations conduites par des groupes d’hacktivistes ou par des acteurs réputés liés à des États.
À lire également sur le sujet : La cyberrésilience des cabinets d’avocat : quelles réactions face à quelles menaces ?
L’ANSSI constate que la surface d’attaque des cabinets d’avocats ne cesse de s’étendre, notamment du fait de la numérisation croissante de la profession et des procédures judiciaires.
Or, les attaques informatiques peuvent, pour les cabinets d’avocats comme pour les autres entreprises et organisations, avoir de graves conséquences en matière financière, opérationnelle et réputationnelle.
Sur les impacts et les enjeux pour le secret professionnel, voir :
NO PANIC !
Les risques sont là, mais gérer raisonnablement votre risque cyber n’a rien d’insurmontable !
L’ANSSI propose, dans la dernière partie du document, une liste de 30 recommandations, orientée sur les enjeux de confidentialité et de protection des données sensibles :
- Mener une analyse de risques intégrant l’ensemble des prestataires informa- tiques
- Faire un inventaire des données métier
- Faire régulièrement une sauvegarde hors-ligne
- Prévoir à l’avance un mode d’organisation dégradé
- Surveiller systématiquement les interventions de vos prestataires
- Sensibiliser les utilisateurs sur les risques
- Avoir un référent sécurité au sein des équipes
- Proscrire l’usage d’équipements personnels
- Imposer des comptes utilisateurs sans droits d’administrateur local sur les postes
- Utiliser des logiciels éprouvés et maintenus à jour
- Interdire l’installation de logiciels via un compte utilisateur
- Définir une politique de mots de passe robuste
- Appliquer les mises à jour de sécurité rapidement
- Implémenter un logiciel EDR ou antivirus
- Limiter la connexion de clés USB à des clés dédiées à l’usage professionnel
- Configurer les fonctions de protection natives des postes reposant sur la virtualisation
- Protéger physiquement la clé matérielle et le secret d’authentification RPVA
- Ne pas utiliser un mode de connexion dégradé pour l’accès au RPVA
- Dédier un navigateur pour les accès RPVA
- Chiffrer entièrement les disques durs des postes de travail
- Chiffrer systématiquement les données sensibles stockées
- Chiffrer systématiquement les données sensibles avant de les communiquer
- Utiliser un logiciel coffre-fort de mot de passe
- Diversifier les secrets de chiffrement
- Ne pas utiliser votre messagerie personnelle dans un but professionnel
- Gérer le besoin d’en connaître entre les utilisateurs
- Journaliser tous les évènements d’accès de vos utilisateurs à des données sensibles
- Utiliser systématiquement un filtre de confidentialité écran
- Configurer un verrouillage automatique de la session du poste
- Mettre en place l’impression sécurisée.
À lire en complément :
- sur le recensement et la qualification des données sensibles et informations critiques > Les données et informations détenues par les cabinets d’avocat : que faut-il protéger ?
- sur le chiffrement >Sécurité des échanges : focus sur le chiffrement des données.
- sur les actions à anticiper pour assurer la continuité de l’activité (PCA/PRA) > Se préparer à réagir à un incident cyber ?
Et n’oubliez pas, bien sûr, de consulter la dernière partie de notre dossier Mettre en place des mesures "d’hygiène numérique" au sein des structures d’exercice :
- Gérer ses mots de passe
- Sauvegarder des données
- Sécuriser le système d’information
- S’adapter aux nouvelles façons de travailler
Vous souhaitez en savoir encore plus ?
En complément de notre Dossier permanent #cybersécurité, retrouvez les interviews et tribunes d’experts :
- Et si la cybersécurité devenait enfin accessible aux petites et moyennes structures d’exercice ? Entretien avec Frans Imbert-Vier, expert en cybersécurité
- La cybersécurité, cet avantage concurrentiel méconnu des cabinets d’avocats. Par Nicolas Zubinski, Expert en stratégie et intelligence économique
- Cyberattaque : comment en parler ? Par Emmanuelle Hervé, experte de la gestion de crise et de la communication de crise
