Accès administrateur du prestataire

L'essentiel

• Le prestataire qui installe et maintient la Box avec un accès aux données est un sous-traitant au sens de l'article 28 du RGPD : contrat obligatoire avant tout accès (voir RGPD).
• La CNIL demande d'ouvrir les accès de télémaintenance « à la demande », « pour une durée adaptée à l'intervention et définie à l'avance », puis de les refermer, et d'enregistrer les interventions « dans une main courante » ¹.
• Le dossier retient : compte nominatif par intervenant, MFA, VPN comme seul chemin, accès désactivé par défaut et activé par le client pour une durée bornée, journal des sessions conservé hors de portée du prestataire, séparation entre administration technique et accès aux documents.
• Le prestataire n'a pas la clé du dépôt de sauvegarde ni le PIN du disque, sauf accord écrit ; il détient une copie scellée de la clé de récupération si le client le souhaite.

Le problème à résoudre

Une PME sans équipe IT a besoin d'un tiers pour maintenir la Box. Ce tiers a, par construction, un accès technique complet. Le CNB demande l'impossibilité d'accès des salariés du fournisseur aux données des avocats « ou, à défaut, la mise en place d'habilitations strictes d'accès » ⁴. L'ANSSI consacre dans la version 3 de ses recommandations sur l'administration sécurisée une section à l'administration par un tiers, dérivée du référentiel des prestataires d'administration et de maintenance sécurisées (PAMS) ³. Le principe est le même : l'accès du tiers est un accès d'administration comme un autre, soumis aux mêmes règles (postes dédiés, comptes nominatifs, traçabilité), plus un encadrement contractuel.

Principes retenus

Déroulement d'une intervention type

En urgence (panne bloquante hors horaires), une procédure de secours permet au référent d'ouvrir l'accès par téléphone avec vérification d'identité, ou à un second référent d'agir. Sans référent joignable, le prestataire n'intervient pas à distance : c'est le prix de la règle. Ce point doit être accepté explicitement par le client.

Ce que le prestataire peut voir

Il faut être honnête avec le client : un administrateur root d'une machine unique peut, techniquement, lire les documents indexés et les journaux de conversations. Les mesures ci-dessus ne rendent pas cet accès impossible ; elles le rendent tracé, visible, borné dans le temps et contractuellement interdit.

Pour aller plus loin (V2), des pistes existent : séparation sur deux machines (administration vs données), chiffrement applicatif des documents avec clés par dossier, ou administration supervisée en direct par le client (écran partagé). Elles ne sont pas retenues en V1 pour des raisons de coût et de complexité.

Contrat

Le contrat de maintenance inclut, au minimum (voir RGPD pour l'article 28 complet) :

• Qualification du prestataire comme sous-traitant ; instructions documentées ; confidentialité des personnes autorisées, avec mention explicite du secret professionnel de l'avocat.
• Liste nominative des intervenants autorisés, mise à jour.
• Modalités d'accès : VPN, MFA, ouverture à la demande, durée, main courante.
• Interdiction de copie hors de la Box sans accord écrit ; absence de transfert hors UE.
• Notification d'incident au cabinet sous 24 h (proposition) pour tenir les 72 h de l'art. 33.
• Audit : le cabinet ou un tiers mandaté peut consulter la main courante et les journaux.
• Fin de contrat : suppression ou restitution, certificat, révocation des accès (voir Incidents).
• Clause de sécurité imposant les mesures de Durcissement et la présente procédure (recommandation CNIL : clause de sécurité dans les contrats de maintenance) ².

Questions ouvertes