Mesures deployees
La majorite des incidents de securite dans les cabinets d'avocats ne resultent pas d'attaques sophistiquees. Ils resultent de negligences courantes : un compte email sans double authentification, un mot de passe partage entre plusieurs collaborateurs, des sauvegardes jamais testees, un ancien collaborateur qui conserve ses acces au stockage du cabinet trois mois apres son depart.
Yezza met en place le socle de securite minimum credible pour un cabinet qui manipule des donnees couvertes par le secret professionnel : authentification, sauvegardes, gestion des acces, documentation et plan de reprise. Ce socle protege contre les 80 % d'incidents qui resultent d'erreurs evitables.
Authentification, sauvegardes, acces et hebergement
Chaque compte email, chaque acces au logiciel de gestion, chaque connexion a l'espace d'administration du site est protege par MFA. Non en option, non en recommandation : active. C'est la mesure qui reduit le plus efficacement le risque de compromission de compte.
Sauvegardes quotidiennes chiffrees avec retention de 30 jours. Sauvegarde hebdomadaire hors site (offline), stockee chez un prestataire distinct de celui qui heberge les donnees de production. Les sauvegardes sont testees mensuellement : nous verifions que la restauration fonctionne, pas uniquement que le fichier de sauvegarde existe.
Cartographie de qui accede a quoi : admin du tenant Microsoft, acces au CMS du site, compte admin du logiciel de gestion, acces au domaine, acces a l'hebergement. Ce document est transmis au cabinet et mis a jour a chaque changement (depart, arrivee, changement de prestataire).
Site heberge en France. Donnees Microsoft 365 stockees dans les datacenters europeens de Microsoft (region France ou Europe Ouest). Choix d'hebergement et de sous-traitance documentes pour repondre a une demande de la CNIL ou de l'Ordre.
Ce que cet accompagnement ne couvre pas
Les audits de securite au sens ISO 27001. Un cabinet ayant besoin d'une certification ou d'un audit de conformite formel doit se tourner vers un prestataire specialise.
La surveillance reseau en temps reel (SOC). Nous ne disposons pas de centre operationnel de securite. Les besoins de surveillance 24/7 avec detection d'intrusion relevent d'une autre categorie de prestation.
La mise en conformite RGPD complete (registre des traitements, analyses d'impact, DPO externalise). Nous mettons en place les mesures techniques (chiffrement, hebergement, formulaires conformes, politique de conservation) et orientons vers un juriste specialise RGPD pour l'accompagnement reglementaire.
L'invulnerabilite du systeme. Aucun prestataire ne peut la garantir. Ce que nous garantissons, c'est que les mesures de base sont en place, documentees et testees, ce qui reduit la surface d'attaque et accelere la reprise en cas d'incident.
RGPD : repartition des responsabilites
Yezza prend en charge le volet technique : formulaires de contact avec mentions d'information, stockage des donnees en UE, controle des acces, durees de conservation definies.
Le cabinet conserve la responsabilite du volet organisationnel : registre des traitements, politique de conservation des dossiers clients, reponse aux demandes d'exercice de droits, notification a la CNIL en cas de violation de donnees.
Protocole en cas d'incident
Identification, isolation du perimetre touche, restauration a partir des sauvegardes testees, notification au cabinet, documentation post-incident. Les urgences critiques (compromission de compte, site inaccessible) sont traitees en priorite quel que soit le pack.
Questions frequentes
Ou sont hebergees les donnees ?
Site : France. Donnees Microsoft 365 : datacenters Microsoft en France ou Europe Ouest. Sauvegardes hors site : prestataire europeen distinct. La chaine d'hebergement est documentee.
Que couvre concretement votre accompagnement securite ?
MFA sur les comptes critiques, sauvegardes testees, documentation des acces, plan de reprise, coherence entre les outils critiques du cabinet. Pour un audit formel ou une surveillance reseau, nous orientons vers un specialiste.
Le cabinet peut-il fonctionner sans equipe IT interne ?
Oui. L'accompagnement est concu pour des cabinets sans responsable informatique qui veulent un socle solide sans piloter eux-memes l'infrastructure.
Quel est le protocole en cas d'incident ?
Identification, isolation du perimetre touche, restauration a partir des sauvegardes testees, notification au cabinet, documentation post-incident. Les urgences critiques (compromission de compte, site inaccessible) sont traitees en priorite quel que soit le pack.
Prendre rendez-vous
Demandez un etat des lieux de la securite numerique de votre cabinet. En 30 minutes, nous identifions les mesures en place, les lacunes prioritaires et le niveau d'accompagnement adapte. Si le socle existant est satisfaisant, nous l'indiquons.