Cloud souverain : un choix d’infrastructure ne fait pas une stratégie de sécurité
Le cloud souverain ras les organisations sur la localisation et le cadre juridique de leurs données. Cependant, il ne garantit pas, à lui seul, la sécurité de ce qui repose sur cette infrastructure.
Contexte factuel
Le débat sur le cloud souverain a récemment pris de l’ampleur sur le plan juridique et industriel. Plusieurs consortiums, regroupant des acteurs européens et des technologies américaines, ont obtenu des qualifications, suscitant des interrogations sur leurs garanties réelles. Ce débat a tendance à réduire la question de la sécurité à celle de la localisation des données, mettant en retrait les éléments qui protègent concrètement les applications au quotidien.
Qualification technique et juridique
La qualification SecNumCloud, attribuée par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) aux prestataires cloud, repose sur un référentiel de plusieurs centaines d’exigences. Celles-ci portent sur la sécurité technique, opérationnelle et juridique d’un prestataire. Selon l’ANSSI, cette qualification vise à protéger les données et les traitements sensibles face à la cybercriminalité et aux lois extraterritoriales, constituant ainsi un repère fondé sur un processus d’évaluation indépendant.
Protection de l’infrastructure
Un point souvent négligé par les entreprises est que la qualification SecNumCloud ne préjuge pas du niveau de sécurité des services numériques des clients qui utilisent cette offre cloud. En effet, un hébergement qualifié n’immunise pas contre une mauvaise configuration, une application mal conçue ou une interface de programmation négligée. Cette distinction modifie la perception d’un choix de cloud souverain, qui protège la couche infrastructure et le cadre juridique, mais laisse la couche applicative sous la responsabilité de l’organisation.
Souveraineté juridique versus sécurité opérationnelle
La notion de souveraineté recouvre deux enjeux distincts : le premier est juridique, garantissant que les données restent soumises au droit européen, tandis que le second est opérationnel, assurant qu’un système résiste aux tentatives d’intrusion, de fraude ou de détournement. Un cloud souverain répond au premier enjeu, mais ne fournit aucune garantie sur le second. Une application vulnérable, même hébergée en France, reste perfectible.
Stratégie de sécurité au-delà de l’infrastructure
Il est tentant de considérer le choix d’un hébergeur qualifié comme un fondement solide d’une stratégie de sécurité, notamment en vertu de la directive NIS2. Toutefois, en faire l’unique pilier revient à confondre le socle et l’édifice. La protection réelle d’une organisation s’établit dans la conception des applications, le contrôle des accès et la surveillance continue de l’activité.
La question centrale n’est donc pas seulement celle de la localisation des données, mais des moyens déployés pour protéger ce qui s’exécute au-dessus de l’infrastructure. Le cloud souverain, bien qu’il constitue une brique de conformité et de confiance juridique, ne peut pas être considéré comme une solution suffisante en soi. Une organisation qui se limite à ce choix d’infrastructure, tout en négligeant la sécurité de ses applications, de ses accès et de ses interfaces de programmation, bâtit sa stratégie sur des bases incomplètes.
L’enjeu n’est pas de choisir entre souveraineté et sécurité, mais de ne pas confondre ces deux notions.
Source : ANSSI
