En traitant le cabinet pour ce qu'il est : un concentrateur de données financières de centaines d'entreprises, donc une cible à haute valeur. Le socle tient en six chantiers — MFA généralisé sans exception, postes supervisés par un EDR, sauvegardes suivant la règle 3-2-1 et réellement testées, messagerie durcie contre le phishing et la fraude au virement, centralisation des dossiers sur des postes de travail cloud plutôt que sur les PC, et sensibilisation des équipes calée sur les vraies attaques du secteur.
Un attaquant qui compromet une PME obtient les données d'une entreprise. Un attaquant qui compromet un cabinet obtient les bilans, les paies, les RIB et les pièces d'identité des dirigeants de tout le portefeuille clients — plus un canal de confiance pour propager la fraude : un e-mail venant du cabinet est ouvert sans méfiance. Ajoutez le calendrier : un ransomware qui frappe en pleine période fiscale place le cabinet dans une situation où payer semble rationnel. Les attaquants le savent, et le secteur du chiffre figure régulièrement parmi les plus ciblés.
Le secret professionnel aggrave l'enjeu : une exfiltration de dossiers clients n'est pas qu'un incident technique, c'est une violation de données à notifier à la CNIL, une exposition déontologique, et une conversation très difficile avec chaque client concerné.
Les identités d'abord. La quasi-totalité des compromissions commence par un compte : le MFA doit couvrir 100 % des utilisateurs — y compris les associés, y compris les comptes de service, sans la traditionnelle exception accordée « parce que c'est pénible ». L'accès conditionnel complète : bloquer les connexions depuis des pays où le cabinet n'a rien à faire, exiger un appareil conforme.
Les postes ensuite. Un antivirus classique ne voit pas les attaques modernes ; il faut un EDR (détection et réponse sur les postes) réellement supervisé — un outil que personne ne regarde est un placebo. La gestion centralisée des postes (mises à jour, chiffrement des disques, blocage des supports USB non autorisés) ferme les portes latérales.
La messagerie, vecteur numéro un. Anti-phishing avancé, marquage visuel des e-mails externes, et surtout des procédures anti-fraude au virement : tout changement de RIB d'un client ou d'un fournisseur se vérifie par un canal indépendant — un appel au numéro connu, jamais une réponse au même e-mail. Cette règle simple, écrite et appliquée, neutralise la fraude la plus coûteuse du secteur.
Les sauvegardes, enfin — la ligne de vie. Règle 3-2-1 : trois copies, deux supports, une hors site ; avec une copie immuable qu'un ransomware ayant compromis l'administrateur ne peut pas chiffrer. Et le critère qui sépare les dispositifs sérieux des autres : la restauration est testée, régulièrement, avec un compte rendu daté. Une sauvegarde jamais restaurée est une hypothèse.
Tant que les dossiers clients vivent sur les disques des ordinateurs — au bureau, en télétravail, sur le portable qui prend le train — chaque poste est une brèche potentielle et chaque départ de collaborateur une inconnue. L'architecture poste de travail cloud (Azure Virtual Desktop) inverse le modèle : les outils de production et les dossiers restent dans un environnement central sécurisé et sauvegardé ; les PC ne sont plus que des écrans. Un portable volé ne contient rien ; un collaborateur en télétravail travaille dans le même périmètre de sécurité qu'au bureau ; et la période fiscale se passe sur une infrastructure dimensionnée, pas sur le serveur du placard.
C'est aussi la réponse propre à l'équation du télétravail en cabinet : donner de la souplesse aux équipes sans disséminer le secret professionnel sur des machines personnelles.
Les campagnes de sensibilisation génériques ennuient et glissent. Ce qui fonctionne en cabinet : des exercices courts construits sur les attaques réelles du secteur — le faux e-mail du client qui change de RIB en avril, la fausse relance DGFiP, le faux associé pressé un vendredi soir. Vingt minutes par trimestre, des exemples reconnaissables, et la règle du canal indépendant répétée jusqu'à devenir un réflexe. La sécurité d'un cabinet se joue autant dans les habitudes que dans les outils.
L'essentiel du socle — MFA, EDR, durcissement de la messagerie, sauvegarde — s'appuie sur des licences Microsoft souvent déjà détenues ou accessibles pour quelques euros par utilisateur et par mois, plus la supervision par un prestataire. L'ordre de grandeur reste très inférieur au coût d'une seule journée d'arrêt en période fiscale.
Oui, à plusieurs titres : responsable de traitement au sens du RGPD pour les données qu'il traite, tenu au secret professionnel, et exposé contractuellement vis-à-vis de ses clients. La notification CNIL sous 72 heures s'applique en cas de violation de données personnelles, et l'information des clients concernés peut s'imposer.
Non, elle le complète — et de plus en plus, elle l'exige : les assureurs conditionnent la souscription et l'indemnisation à des prérequis comme le MFA, les sauvegardes testées ou l'EDR. Un cabinet sans socle paiera plus cher, sera moins couvert, et risque un refus d'indemnisation au pire moment.
DIGICAB opère la sécurité d'une vingtaine de cabinets d'expertise comptable : MFA, EDR supervisé, sauvegardes testées, postes de travail cloud. 30 minutes avec un ingénieur, sans démarchage ni engagement, pour passer votre dispositif en revue.
Prendre rendez-vous