DSI externalisé pour cabinet d'avocats : missions, responsabilités et critères de choix

Le guide de sécurité numérique du Conseil national des barreaux invite chaque cabinet à identifier les données et les processus sans lesquels il ne peut plus travailler, et à vérifier les garanties offertes par ses prestataires informatiques. Le même guide rappelle qu'un cabinet peut être visé non pour lui-même, mais comme une voie d'accès vers l'un de ses clients.

Pour un cabinet, ces « données et processus critiques » portent des noms très concrets : les dossiers, la messagerie, les pièces communiquées par les clients, les agendas et les calendriers de procédure, les accès à e-Barreau et au RPVA. Un DSI externalisé, c'est la personne dont le métier est de tenir cet ensemble debout, sans que vous ayez à recruter un informaticien. Voici ce que cela recouvre, où s'arrête mon rôle, et comment choisir.

Un cabinet d'avocats, rarement doté d'un informaticien en propre, entre pleinement dans ce paysage : la question n'est pas de savoir s'il faut piloter cette informatique, mais qui s'en charge.

Pourquoi la question se pose

Trois réalités du quotidien rendent le sujet concret, sans qu'il soit besoin de dramatiser.

D'abord, l'échéance. Une partie de votre activité passe par une transmission électronique soumise à des délais. L'article 748-7 du Code de procédure civile prévoit que, si un acte ne peut être transmis par voie électronique le dernier jour du délai pour une cause étrangère à celui qui l'accomplit, le délai est prorogé jusqu'au premier jour ouvrable suivant. Cette disposition ne transforme pas une panne locale en excuse automatique, mais elle dit une chose simple : l'indisponibilité de vos outils touche directement l'exercice procédural.

Ensuite, la confidentialité. Le secret professionnel s'étend aux données numériques. Le guide du CNB consacré aux avocats et au RGPD recommande de limiter les accès aux personnes habilitées, d'activer l'authentification à plusieurs facteurs, de tenir des sauvegardes régulières hors ligne et de préparer la continuité d'activité. Ce sont des moyens techniques, et c'est précisément là qu'un prestataire intervient.

Enfin, l'organisation. Un cabinet, ce sont des associés, des collaborateurs, des stagiaires, des assistants, du travail au palais, à domicile et en déplacement. Chaque personne et chaque lieu est un accès à ouvrir, à encadrer, puis à refermer le moment venu.

Les quatre risques que ce rôle couvre

En pratique, quand l'informatique d'un cabinet n'est pilotée par personne, quatre risques reviennent :

• l'indisponibilité : ne plus pouvoir accéder à un dossier ou transmettre un acte au mauvais moment ;
• la divulgation : une pièce couverte par le secret qui circule par un canal non maîtrisé ;
• l'altération : un dossier modifié ou corrompu sans qu'on sache par qui ni quand ;
• la perte de preuve ou de traçabilité : ne pas pouvoir reconstituer qui a fait quoi.

Ces quatre risques structurent tout le reste. Les missions ci-dessous s'y rattachent une à une.

Ce que fait, concrètement, un DSI externalisé

La continuité d'activité. Je regarde la chaîne dont dépend votre travail, du poste jusqu'à l'accès distant, et je m'assure qu'un incident sur un maillon ne met pas tout à l'arrêt. L'objectif n'est pas de promettre qu'il n'arrivera jamais rien, mais que ce qui doit repartir vite reparte vite.

La gouvernance des accès. Qui a accès à quel dossier, avec quel niveau ? L'authentification à plusieurs facteurs, la création d'un accès à l'arrivée d'un collaborateur, et surtout sa révocation au départ. D'expérience, c'est le point le plus souvent négligé dans les cabinets qui n'ont pas de prestataire dédié.

La sauvegarde testée et hors ligne. Une sauvegarde qui n'a jamais été restaurée est une supposition. Je mets en place des copies dont une hors ligne, et je teste la restauration, avec un résultat que je vous communique. Ce point n'est pas théorique : Cybermalveillance.gouv.fr souligne que les rançongiciels ne se contentent plus de chiffrer, ils cherchent aussi à copier les données et à détruire les sauvegardes accessibles.

La messagerie et le partage de pièces. Le CNB propose déjà des briques dédiées aux avocats, comme e-Mail, e-Drive et e-Partage sécurisé pour transmettre des documents. Mon rôle est de faire en sorte que les pièces de vos clients passent par des canaux maîtrisés, et non par une boîte personnelle ou une clé qui traîne.

La préparation à l'incident. Un incident se gère mieux quand quatre questions ont une réponse écrite avant qu'il survienne : qui isole les systèmes, qui alerte, qui évalue ce qui a fuité, qui communique. Cybermalveillance recommande d'isoler les systèmes touchés et d'alerter immédiatement le prestataire. Lorsqu'une violation de données personnelles présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les meilleurs délais et, en principe, au plus tard dans les 72 heures suivant sa découverte. Toutes les violations doivent par ailleurs être documentées en interne, et la communication aux personnes concernées n'est requise qu'en cas de risque élevé, sauf exceptions.

Le pilotage et la feuille de route. Je rassemble les contrats, les coûts, les risques et les projets dans une feuille de route priorisée. Elle permet aux associés d'arbitrer les investissements, de coordonner les éditeurs, et de savoir ce qui doit être traité cette année, plus tard, ou pas du tout. C'est ce qui distingue un DSI externalisé d'un simple dépannage : une vision d'ensemble tenue dans la durée, pas seulement des incidents réglés un par un.

La frontière que je tiens : l'informatique, pas le droit

C'est une limite que je tiens à poser clairement, parce qu'elle vous protège. Je mets en place et j'exploite les moyens techniques. Je ne me substitue pas à vous sur le terrain du droit.

Apprécier ce que couvre le secret professionnel dans un dossier, qualifier juridiquement une violation de données, décider s'il faut notifier la CNIL et informer les personnes concernées, conduire la procédure : cela reste votre responsabilité, avec votre délégué à la protection des données le cas échéant. Mon travail est de vous donner, vite et proprement, les éléments techniques dont vous avez besoin pour décider. Pas de décider à votre place.

Une grille pour évaluer votre situation, ou un prestataire

Ces questions n'exigent aucune compétence technique. Leurs réponses disent beaucoup.

• Un stagiaire peut-il, aujourd'hui, consulter l'ensemble des dossiers ?
• Le compte d'un collaborateur parti l'an dernier est-il désactivé ?
• Des pièces de clients transitent-elles par une messagerie personnelle ?
• Des dossiers sont-ils copiés sur un ordinateur familial en télétravail ?
• Qui peut révoquer immédiatement un accès perdu ou compromis, et en combien de temps ?
• Une restauration de sauvegarde a-t-elle déjà été testée cette année ?
• Pouvez-vous récupérer un dossier complet, avec ses courriels et ses pièces liées ?
• Existe-t-il un document qui dit qui isole, qui alerte, qui évalue et qui communique en cas d'incident ?

Les critères pour choisir

D'expérience, ce qui compte davantage que le prix mensuel affiché :

• un interlocuteur identifié et joignable, pas un centre d'appel anonyme ;
• la connaissance des contraintes du métier : e-Barreau, RPVA, secret professionnel, échéances ;
• la réversibilité : pouvoir récupérer vos données si vous vous séparez du prestataire ;
• des sauvegardes réellement testées, dont le résultat vous est communiqué ;
• une frontière claire entre l'informatique et le juridique, comme celle posée plus haut ;
• l'absence de promesse de résultat garanti : un prestataire sérieux parle de réduire des risques, pas de les supprimer.

À qui s'adresse cet accompagnement

Je travaille surtout avec des cabinets d'avocats qui n'ont pas d'informaticien en interne et qui ne veulent pas en recruter, mais qui ne veulent plus non plus dépendre du cousin, du beau-frère ou de l'éditeur pour tout ce qui touche à l'infrastructure. Cabinet individuel, structure de quelques associés et collaborateurs, ou cabinet qui grandit et sent que le bricolage a atteint sa limite : c'est le cœur de cible.

Deux profils s'y retrouvent particulièrement. Celui qui a vécu une alerte, une panne un jour d'échéance, une sauvegarde qu'on découvre incomplète, un doute après un courriel suspect, et qui veut que cela ne se reproduise pas. Et celui qui anticipe : une installation, un changement de logiciel, un déménagement, une croissance d'effectif, et qui préfère cadrer l'informatique avant qu'elle ne devienne un problème.

Ce qui est inclus, concrètement

L'accompagnement récurrent porte sur l'infrastructure autour de vos outils métier, pas sur le logiciel lui-même. Il couvre :

• la supervision de la continuité et des sauvegardes, avec des tests de restauration réellement menés et un résultat écrit ;
• la gouvernance des accès : création et révocation des comptes, authentification à plusieurs facteurs, revue périodique de qui accède à quoi ;
• la sécurisation des canaux d'échange et de partage de pièces ;
• la préparation à l'incident : un rôle écrit et une fiche réflexe tenue à jour ;
• le pilotage et la feuille de route : contrats, coûts, risques et projets rassemblés dans une feuille de route priorisée et budgétée, revue chaque année ;
• un interlocuteur unique et joignable, qui connaît votre configuration et n'a pas à la redécouvrir à chaque appel.

Vous gardez votre éditeur, Secib, Kleos, Jarvis ou un autre. Je ne le remplace pas, je tiens debout tout ce qu'il y a autour, et je vous accompagne le jour où vous décidez d'en changer.

Comment se déroule la prise en charge

Je ne commence jamais par un grand plan. La première étape est un point d'entrée précis et vérifiable, mené en quelques heures : une revue des accès, un test de restauration, ou une cartographie de la continuité. Vous en tirez un constat écrit et une décision, sans engagement de suite.

Vient ensuite, si vous le souhaitez, une mise à niveau des points identifiés : on traite d'abord ce qui vous expose le plus, dans un ordre qu'on définit ensemble. Puis, pour les cabinets qui le veulent, un accompagnement dans la durée prend le relais : supervision, revues régulières, et un référent qui reste le même.

Les livrables que vous gardez

Un principe : à chaque étape, vous repartez avec un document, pas seulement une conversation. Selon la mission, cela prend la forme d'un compte rendu de test de restauration daté et chiffré, d'une cartographie de votre continuité, d'une revue des accès nominative, d'une fiche réflexe d'incident sur une page, d'une feuille de route informatique annuelle priorisée et budgétée, ou d'un procès-verbal de recette après une migration. Ces livrables vous appartiennent et restent lisibles même si nous cessons de travailler ensemble. C'est aussi cela, la réversibilité.

Le principe de tarification

Je ne pratique pas le tarif au coup par coup opaque. Deux logiques cohabitent, et le choix vous revient. L'accompagnement récurrent, mensuel, convient au cabinet qui veut une informatique tenue en continu par le même interlocuteur, avec un budget prévisible. L'intervention à la mission convient au cabinet qui a un projet borné, une migration, un test de restauration, une remise à niveau des accès, et qui veut un livrable précis sans engagement au long cours. Dans les deux cas, le périmètre et ce qu'il recouvre sont écrits avant de commencer, pour qu'il n'y ait pas de surprise. Le montant, lui, dépend de votre configuration : je l'établis après le premier point, pas avant de vous connaître.

Quand je ne suis pas le bon prestataire

Par honnêteté, autant le dire. Si vous cherchez un éditeur de logiciel métier, ce n'est pas moi : je travaille autour de votre outil, je ne le développe pas. Si vous avez déjà un service informatique interne qui tient la route et cherchez seulement une paire de bras ponctuelle sur un ticket, une régie classique vous coûtera moins cher que ma façon de travailler. Si vous voulez qu'on vous promette une sécurité « à 100 % » ou une migration « sans aucun risque », je ne saurai pas vous le vendre, parce que personne ne peut le tenir. Et si votre priorité absolue est le prix le plus bas, sans intérêt pour la continuité, les tests ou la réversibilité, nous ne serons pas d'accord sur l'essentiel. Mieux vaut le savoir tout de suite que le découvrir en cours de route.

Par où commencer

Je ne vends pas un audit qui prétendrait révéler « exactement où sont vos failles » en une heure : ce serait une promesse que la durée ne permet pas de tenir. Ce qui est utile et honnête, c'est de commencer par un point précis et vérifiable : une revue des accès, un test de restauration de vos sauvegardes, ou une cartographie de votre continuité. Chacun se mène en quelques heures, et vous en tirez une décision concrète.

Si vous voulez en discuter, écrivez-moi le point qui vous préoccupe le plus dans la grille ci-dessus, et je vous dis par quoi il serait raisonnable de commencer.