Cloud souverain : un choix d'infrastructure ne fait pas une stratégie de sécurité
Le cloud souverain rassure les organisations sur la localisation et le cadre juridique de leurs données. Mais il ne garantit pas, à lui seul, la sécurité de ce qui repose sur cette infrastructure.
Le débat sur le cloud souverain s'est beaucoup joué sur le terrain juridique et industriel ces derniers mois. Plusieurs consortiums associant acteurs européens et technologies américaines ont obtenu des qualifications. Ces dernières ont suscité des interrogations légitimes sur ce qu'elles garantissent réellement. Ce débat présente toutefois un effet secondaire : il réduit la question de la sécurité à celle de la localisation des données, faisant passer au second plan ce qui protège concrètement une application au quotidien.
Une qualification technique et juridique, pas un argument commercial
SecNumCloud, la qualification délivrée par l'agence nationale de la sécurité des systèmes d’information (ANSSI) aux prestataires cloud, repose sur un référentiel de plusieurs centaines d'exigences. Celles-ci concernent la sécurité technique, opérationnelle et juridique d'un prestataire. Il ne s'agit pas là d'un simple argument commercial dont le prétexte serait technique. D'après l'ANSSI, la qualification vise à protéger les données et les traitements sensibles face à la menace cybercriminelle et aux lois extraterritoriales. Elle constitue un repère réel, fondé sur un processus d'évaluation indépendant.
Un label qui protège l'infrastructure, pas ce qu'elle héberge
Un point reste peu intégré dans les réflexions des entreprises. L'ANSSI l’indique elle-même : la qualification SecNumCloud ne préjuge pas du niveau de sécurité des services numériques des clients qui s'appuient sur cette offre cloud, qu'il s'agisse d'un site web ou d'une application métier. Un hébergement qualifié n'immunise donc ni contre une mauvaise configuration, ni contre une application mal conçue, ni contre une interface de programmation laissée sans contrôle.
Cette distinction change la façon d'interpréter un choix de cloud souverain. Elle protège la couche infrastructure et le cadre juridique associé. Elle ne dit rien de la couche applicative, qui reste sous la responsabilité de l'organisation qui la développe et l'exploite.
Une confusion fréquente entre souveraineté juridique et sécurité opérationnelle
Ceci nous montre combien la notion de souveraineté recouvre en réalité deux enjeux distincts, souvent confondus dans les argumentaires commerciaux. Le premier est juridique et consiste à garantir qu'une donnée reste soumise au droit européen plutôt qu'à une législation étrangère. Le second est opérationnel : il permet de s’assurer qu'un système résiste aux tentatives d'intrusion, de fraude ou de détournement, quel que soit son hébergeur.
Un cloud souverain répond au premier enjeu, et n'apporte aucune garantie automatique sur le second. Tout en étant hébergée en France, une application vulnérable demeure perfectible.
Une stratégie de sécurité se construit au-dessus de l'infrastructure
Comment faire ? On pourrait être enclin à penser que le choix d'un hébergeur qualifié constitue un fondement solide et un critère de conformité de plus en plus incontournable, notamment sous la directive NIS2. Mais en faire l'unique pilier d'une stratégie de sécurité revient toutefois à confondre le socle et l'édifice. La protection réelle d'une organisation se joue ensuite, dans la conception de ses applications, le contrôle de ses accès et la surveillance continue de son activité.
La question déterminante n'est donc pas seulement celle de la localisation des données. Elle porte sur les moyens réellement déployés pour protéger ce qui s'exécute au-dessus de l'infrastructure.
Le cloud souverain n'est ni un leurre ni une solution suffisante en soi. Il constitue une brique de conformité et de confiance juridique, utile et de plus en plus nécessaire. Pour autant, une organisation qui s'arrête à ce choix d'infrastructure et néglige la sécurité de ses applications, de ses accès et de ses interfaces de programmation construit sa stratégie sur une base incomplète. L'enjeu n'est pas de choisir entre souveraineté et sécurité : il s’agit d’abord et avant tout de ne pas confondre ces deux notions.