La traçabilité d’un cabinet soumise au même niveau de contrôle que celle de ses clients
Une entreprise peut généralement produire un journal d’activité lorsqu’un client ou un tribunal le demande. Mais bien peu peuvent répondre à une question plus délicate : une personne disposant d’un accès administrateur aurait-elle pu modifier ce journal discrètement avant de le fournir ? Si la réponse est oui, même en théorie, le journal ne constitue pas une preuve. Il s’agit alors d’un document que toute personne ayant les bons droits d’accès aurait pu rédiger pour y faire figurer ce qu’elle voulait concernant l’accès à un dossier.
Cet article examine ce qui rend réellement une traçabilité fiable en tant que preuve pour un cabinet d’avocats, et pourquoi la plupart des journaux d’activité échouent discrètement à ce test.
Résumé exécutif
L’utilité d’une traçabilité pour un client, un tribunal ou un enquêteur interne dépend entièrement de la confiance accordée à son intégrité, et cette confiance ne peut reposer uniquement sur une politique interne. Si un accès administrateur au stockage sous-jacent du journal permet techniquement de le modifier, le fait qu’une politique l’interdise ne rend pas l’action impossible. Pour les responsables des risques, la norme à appliquer est d’ordre architectural : une personne, y compris un administrateur système, peut-elle techniquement modifier l’enregistrement ?
Résumé des points clés
- Un journal qu’un administrateur peut modifier ou supprimer ne constitue pas une preuve, peu importe son niveau de détail.
- L’accès au stockage sous-jacent du journal doit être restreint par l’architecture, et non par une simple politique.
- La séparation des tâches est aussi importante que la restriction des accès. La personne qui accède à un dossier et celle qui peut examiner l’enregistrement de cet accès ne doivent pas occuper le même rôle.
- L’exhaustivité et l’immédiateté font partie de la fiabilité, elles n’en sont pas dissociées.
- Les clients demandent de plus en plus comment un journal est protégé, et pas seulement ce qu’il contient.
Pourquoi « Nous avons des journaux détaillés » n’est pas la bonne approche pour les cabinets d’avocats
La plupart des discussions sur la traçabilité portent sur la couverture. La couverture est importante, mais elle ne répond pas à la question essentielle.
Un niveau de détail sans intégrité n’est qu’une histoire bien écrite
Un journal riche en détails sur l’accès à un dossier n’est digne de confiance que si personne ne peut le modifier après coup.
La vraie question : qui aurait pu modifier ce journal ?
La première question à se poser n’est pas ce que le journal enregistre, mais qui a la capacité technique de le modifier une fois rédigé.
Pourquoi l’intégrité du journal doit être assurée par l’architecture, et non par une procédure
Une politique qui interdit aux administrateurs de modifier les journaux suppose qu’ils choisissent de la respecter. Un contrôle architectural supprime la possibilité technique de faire autrement.
Aucun accès permanent au stockage sous-jacent du journal
La version la plus aboutie de ce contrôle consiste à ce que ni les administrateurs IT du cabinet ni l’éditeur de la plateforme n’aient d’accès ordinaire au système d’exploitation ou à la base de données où sont stockés les journaux.
Les exceptions doivent rester exceptionnelles, pas devenir une porte dérobée
Ce qui distingue une exception défendable d’une porte dérobée, c’est que cet accès est temporaire, nécessite une double autorisation et fait lui-même l’objet d’une traçabilité complète.
La séparation des tâches comme deuxième garantie indépendante
Si le même rôle peut accéder à un dossier et examiner le journal de cet accès, il existe un conflit d’intérêts évident.
Celui qui agit ne doit pas être celui qui audite
Une véritable séparation des tâches confie la conformité, l’audit et les règles à des rôles distincts de l’administration opérationnelle.
Anticiper la norme avant qu’un client ne la réclame
Le test pratique consiste à se demander honnêtement qui pourrait techniquement modifier les journaux d’audit du cabinet, et si les rôles opérationnels et ceux en charge de l’audit sont réellement séparés.
Comment un Data Control Plane garantit l’intégrité des preuves dans l’architecture
Le Data Control Plane de Kiteworks fonctionne sur une architecture durcie où ni Kiteworks ni les administrateurs IT du cabinet n’ont d’accès ordinaire au système d’exploitation ou à la base de données, y compris au stockage du journal d’audit ; tout accès support est temporaire, requiert une double autorisation et fait lui-même l’objet d’une traçabilité complète. Les rôles dédiés à la conformité et à l’audit séparent l’administration opérationnelle des fonctions d’audit, et chaque action, sur chaque canal, est enregistrée de façon immédiate et exhaustive dans un journal d’audit infalsifiable et non limité qui alimente directement les outils SIEM.
Les cabinets souhaitant vérifier si leur traçabilité actuelle résisterait à la question « un administrateur aurait-il pu modifier ce journal ? » peuvent réserver une démo personnalisée.
Foire aux questions
Un journal qu’un administrateur peut modifier ou supprimer ne constitue pas une preuve, peu importe son niveau de détail, car l’enregistrement pourrait avoir été modifié après coup pour faire apparaître ce que l’éditeur souhaite concernant l’accès à un dossier.
Une politique qui interdit aux administrateurs de modifier les journaux suppose qu’ils choisissent de la respecter, tandis qu’un contrôle architectural supprime la possibilité technique de modifier ou d’accéder au stockage sous-jacent du journal dès le départ.
La séparation des tâches garantit que la personne qui accède à un dossier n’est pas celle qui examine ou pourrait modifier l’enregistrement de cet accès, éliminant ainsi tout conflit d’intérêts entre actions opérationnelles et fonctions d’audit.
Le Data Control Plane de Kiteworks repose sur une architecture durcie où ni Kiteworks ni les administrateurs IT du cabinet n’ont d’accès ordinaire au stockage des journaux ; tout accès support est temporaire, nécessite une double autorisation et fait l’objet d’une traçabilité complète, avec des rôles dédiés à la conformité et à l’audit séparant les fonctions d’audit des opérations.