Les cabinets d’avocats et de comptables traitent certaines des donn\u00e9es les plus sensibles de tous les secteurs. Le secret professionnel est une obligation l\u00e9gale, pas une pr\u00e9f\u00e9rence, et il s’applique quel que soit l’endroit o\u00f9 les donn\u00e9es sont stock\u00e9es ou consult\u00e9es. Les op\u00e9rations multi-sites, le travail hybride et le BYOD des stagiaires cr\u00e9ent des d\u00e9fis de contr\u00f4le d’acc\u00e8s que les VPN traditionnels ne peuvent pas r\u00e9soudre de mani\u00e8re granulaire. Des plateformes comme Jimber unifient l’acc\u00e8s s\u00e9curis\u00e9, la protection web et la connectivit\u00e9 des sites dans une seule console, donnant aux petites \u00e9quipes informatiques la supervision que le secret professionnel et NIS2 exigent. <\/p>\n
Imaginez la r\u00e9alit\u00e9 d’un cabinet d’avocats ou d’experts-comptables de taille moyenne. Les associ\u00e9s acc\u00e8dent aux dossiers depuis les salles d’audience, les salles de r\u00e9union des clients et les bureaux \u00e0 domicile. Les stagiaires se d\u00e9placent d’une succursale \u00e0 l’autre avec des ordinateurs portables personnels. L’imprimante partag\u00e9e de la r\u00e9ception se trouve sur le m\u00eame segment de r\u00e9seau que le syst\u00e8me de gestion des documents. Cinq bureaux sont reli\u00e9s entre eux par des tunnels VPN vieillissants qui permettent \u00e0 quiconque se connecte d’acc\u00e9der \u00e0 tout. <\/p>\n
Il ne s’agit pas d’une hypoth\u00e8se. C’est la norme pour les entreprises qui emploient de 50 \u00e0 400 personnes r\u00e9parties sur 3 \u00e0 15 sites. Il s’agit d’un probl\u00e8me de conformit\u00e9 qui s’aggrave chaque fois que l’entreprise s’agrandit, fusionne ou accueille un nouvel associ\u00e9. <\/p>\n
Ce billet explique pourquoi les soci\u00e9t\u00e9s de services professionnels sont confront\u00e9es \u00e0 des risques de s\u00e9curit\u00e9 uniques, ce que co\u00fbte r\u00e9ellement une violation de donn\u00e9es au-del\u00e0 de l’amende globale, comment SASE r\u00e9pond \u00e0 chaque d\u00e9fi avec un composant sp\u00e9cifique, et o\u00f9 NIS2 et les obligations de secret professionnel se chevauchent.<\/p>\n
Le secret professionnel est au centre de tout. En Belgique, l’article 458 du code p\u00e9nal punit les avocats, les comptables et les r\u00e9viseurs d’entreprises qui divulguent des informations obtenues dans l’exercice de leur profession. L’Orde van Vlaamse Balies (OVB) et l’Ordre des Barreaux Francophones et Germanophone (OBFG) attendent des praticiens qu’ils prennent des mesures raisonnables pour emp\u00eacher tout acc\u00e8s non autoris\u00e9. Cette obligation s’\u00e9tend au stockage dans le nuage, \u00e0 l’acc\u00e8s \u00e0 distance et \u00e0 tous les appareils qui touchent aux donn\u00e9es des clients. <\/p>\n
Il ne s’agit pas seulement de cocher une case de conformit\u00e9. La r\u00e9putation d’une entreprise repose enti\u00e8rement sur la confiance. D\u00e8s qu’un client soup\u00e7onne que ses informations confidentielles pourraient \u00eatre expos\u00e9es, il change d’entreprise. Aucune campagne de marketing ne peut le rattraper. <\/p>\n
Au-del\u00e0 du secret, la structure op\u00e9rationnelle de la plupart des entreprises cr\u00e9e des lacunes sp\u00e9cifiques en mati\u00e8re de s\u00e9curit\u00e9.<\/p>\n
L’expansion multisite.<\/strong> Une entreprise comptant huit bureaux a g\u00e9n\u00e9ralement huit configurations de pare-feu distinctes, huit jeux d’identifiants VPN \u00e0 g\u00e9rer et huit possibilit\u00e9s de mauvaise configuration. La coh\u00e9rence est presque impossible \u00e0 maintenir manuellement. <\/p>\n Travail hybride dans les locaux du client.<\/strong> Les avocats sont pr\u00e9sents au tribunal, rendent visite \u00e0 leurs clients et travaillent \u00e0 domicile. Les comptables passent des journ\u00e9es enti\u00e8res dans les bureaux des clients pendant la saison des audits. Chaque site est un r\u00e9seau diff\u00e9rent avec des niveaux de risque diff\u00e9rents. Les VPN traditionnels offrent \u00e0 ces utilisateurs le m\u00eame acc\u00e8s \u00e9tendu au r\u00e9seau, quel que soit l’endroit o\u00f9 ils se trouvent ou ce qu’ils doivent atteindre. <\/p>\n Stagiaires et ind\u00e9pendants BYOD.<\/strong> Les cabinets d’avocats belges emploient r\u00e9guli\u00e8rement des stagiaires qui utilisent leurs propres appareils. Les comptables int\u00e9rimaires et les conseillers fiscaux ind\u00e9pendants apportent des ordinateurs portables personnels. Ces appareils \u00e9chappent \u00e0 la gestion des points finaux du cabinet, mais ils acc\u00e8dent quotidiennement aux dossiers des clients. <\/p>\n Syst\u00e8mes de gestion des documents.<\/strong> Des plates-formes comme iManage et NetDocuments constituent l’\u00e9pine dorsale des op\u00e9rations. Elles contiennent tous les dossiers des clients, toutes les correspondances privil\u00e9gi\u00e9es et tous les documents financiers. Une faille de s\u00e9curit\u00e9 qui atteint le DMS n’est pas un incident partiel. Il s’agit d’une exposition totale. <\/p>\n Des dispositifs partag\u00e9s auxquels personne ne pense.<\/strong> Les imprimantes multifonctions num\u00e9risent vers le courrier \u00e9lectronique et stockent les documents dans la m\u00e9moire locale. Les \u00e9crans des salles de r\u00e9union se connectent au r\u00e9seau. Les t\u00e9l\u00e9phones IP se trouvent sur le m\u00eame VLAN que les postes de travail. Aucun de ces appareils ne peut ex\u00e9cuter un agent de s\u00e9curit\u00e9 des points finaux. <\/p>\n Le co\u00fbt financier d’une violation dans le secteur des services professionnels est \u00e9lev\u00e9. Les donn\u00e9es sectorielles du rapport 2025 Cost of a Data Breach d’IBM montrent que les violations dans les secteurs des services financiers et professionnels d\u00e9passent r\u00e9guli\u00e8rement six millions de dollars en moyenne, ce qui est bien sup\u00e9rieur \u00e0 la moyenne mondiale. Mais pour les cabinets d’avocats et d’experts-comptables, les v\u00e9ritables dommages sont d’ordre structurel. <\/p>\n Proc\u00e9dures disciplinaires.<\/strong> Les barreaux et les organismes professionnels peuvent suspendre ou radier les praticiens qui ne prot\u00e8gent pas la confidentialit\u00e9 de leurs clients. Pour un associ\u00e9, il ne s’agit pas d’une amende. C’est la fin d’une carri\u00e8re. <\/p>\n Responsabilit\u00e9 personnelle.<\/strong> En vertu de la l\u00e9gislation belge, l’associ\u00e9 g\u00e9rant ou le membre du conseil d’administration qui n’a pas mis en \u0153uvre des mesures de s\u00e9curit\u00e9 ad\u00e9quates peut \u00eatre tenu personnellement responsable. Le NIS2 renforce ce principe par des dispositions explicites sur la responsabilit\u00e9 des dirigeants. <\/p>\n Vol du client.<\/strong> Les \u00e9tudes montrent r\u00e9guli\u00e8rement que plus de 80 % des clients des services financiers envisageraient de transf\u00e9rer leurs actifs apr\u00e8s une violation de donn\u00e9es chez leur fournisseur de services. Les cabinets d’avocats sont confront\u00e9s \u00e0 la m\u00eame dynamique. La relation est fond\u00e9e sur la confiance, et la confiance ne survit pas \u00e0 une notification publique de violation de donn\u00e9es. <\/p>\n Perte de l’avantage concurrentiel.<\/strong> Les grands clients int\u00e8grent d\u00e9sormais des exigences en mati\u00e8re de cybers\u00e9curit\u00e9 dans leurs proc\u00e9dures de passation de march\u00e9s. Un cabinet comptable qui ne peut pas d\u00e9montrer l’existence de contr\u00f4les ad\u00e9quats perd des appels d’offres au profit de concurrents qui peuvent le faire. C’est l’effet du NIS2 sur la cha\u00eene d’approvisionnement qui se r\u00e9percute sur les services professionnels. <\/p>\n Cascade r\u00e9glementaire.<\/strong> Une entreprise qui traite des donn\u00e9es pour des clients r\u00e9glement\u00e9s par le NIS2 (banques, soci\u00e9t\u00e9s d’\u00e9nergie, prestataires de soins de sant\u00e9) peut se retrouver class\u00e9e comme fournisseur critique. Cela implique des obligations de reporting et des exigences d’audit suppl\u00e9mentaires, qu’une configuration VPN traditionnelle ne peut pas satisfaire. <\/p>\n Le secteur des services professionnels a \u00e9t\u00e9 \u00e0 l’origine d’environ 13 % de tous les incidents cybern\u00e9tiques signal\u00e9s ces derni\u00e8res ann\u00e9es, les principaux vecteurs d’attaque \u00e9tant la compromission des courriels professionnels et les ransomwares. Les courriels d’hame\u00e7onnage d\u00e9guis\u00e9s en convocations de tribunaux, en notifications de l’administration fiscale ou en documents de clients sont particuli\u00e8rement efficaces dans ce secteur parce qu’ils refl\u00e8tent les communications quotidiennes l\u00e9gitimes. <\/p>\n Le sch\u00e9ma ci-dessous montre comment chaque composante de SASE r\u00e9pond \u00e0 un d\u00e9fi sp\u00e9cifique en mati\u00e8re de services professionnels.<\/p>\nCe qu’une violation de donn\u00e9es signifie pour un cabinet d’avocats (au-del\u00e0 de l’amende)<\/h2>\n
Comment SASE r\u00e9sout chacun de ces d\u00e9fis<\/h2>\n