Localiser les données ne suffit pas

Une région européenne peut répondre à une exigence de résidence pour certaines données. Elle ne décrit pas à elle seule qui exploite le service, où sont les équipes d’administration, quelles entités peuvent recevoir des demandes légales, ni où transitent les journaux et les sauvegardes.

Il faut aussi distinguer le fournisseur d’infrastructure du service que l’équipe construit. Un cloud qualifié ne rend pas automatiquement souveraine ou sécurisée toute application qui y est déployée : configuration, identités, réseau, secrets et mises à jour restent à maîtriser.

Construire une fiche de décision

Pour un service et un niveau de sensibilité donnés, documenter :

  • où résident et sont traitées les données, sauvegardes et métadonnées ;
  • qui administre l’offre et depuis quelles juridictions ;
  • quels sous-traitants interviennent et avec quels accès ;
  • qui contrôle les clés de chiffrement et les identités privilégiées ;
  • comment exporter les données, reconstruire les services et changer de fournisseur ;
  • quelles garanties sont attestées, contractuelles et applicables à l’offre précise.

L’ANSSI présente SecNumCloud comme une qualification d’offres cloud répondant à des exigences techniques, opérationnelles et juridiques. Elle précise aussi qu’une offre qualifiée ne préjuge pas de la sécurité du service numérique déployé par le client. La qualification, le contrat et l’architecture doivent donc être lus ensemble.

Une décision propre au besoin

La bonne réponse dépend des données, des obligations et du scénario de menace. Écrire ces critères avant de comparer les fournisseurs rend le choix défendable et facilite une future migration.

Sources officielles

À lire aussi