Où sont stockées vos données, et qui peut légalement y accéder ?
Ce sont les questions auxquelles la notion de cloud souverain tente de répondre.
Définition, enjeux réglementaires et impacts concrets pour votre organisation : on fait le point sur ce sujet, dans la suite de ce guide dédié.
Qu’est-ce que le cloud souverain ?
Le “Cloud souverain” renvoie à l’utilisation de services cloud par une entreprise ou des individus entièrement gérés par des fournisseurs régionaux ou nationaux afin de protéger la souveraineté des données personnelles et sensibles des utilisateurs et des organisations concernées :
- Les services cloud sont proposés et facturés par des entités européennes ;
- Les données sont hébergées en France ou sur le territoire européen ;
- Les données sont sécurisées et protégées des lois extraterritoriales ;
- Les technologies cloud doivent contribuer à l’autonomie des organisations françaises.
Le cloud souverain a émergé en raison de discussions généralisées autour de la souveraineté en France et en Europe même si d’autres facteurs sont aussi à prendre en compte:
- La sécurité tout d’abord : avec la multiplication des cyberattaques (+28% au troisième trimestre 2022 par rapport à 2021) la cybersécurité est aujourd’hui l’un des enjeux prioritaires des organisations (51% des entreprises françaises ont déjà été la cible d’une tentative de vol de données).
- La protection des données sensibles dans des écosystèmes protégés comme les données de santé soumises à la certification HDS.
- La menace de certaines lois extraterritoriales, pointés du doigt notamment par les éditeurs de logiciels français qui appellent à la création d’un écosystème numérique européen à l’abri de la juridiction de nations étrangères.
- Le besoin de rendre plus cohérent et plus efficace les technologies cloud pour les professionnels.
Une attaque peut survenir à tout moment. Face à ce risque croissant, mieux vaut prévenir que subir ! Cette checklist vous accompagne pas à pas pour anticiper, structurer et renforcer votre dispositif de gestion de crise cyber
Découvrez la checklist
Les réglementations européennes et américaines
Impossible de parler de cloud et de souveraineté numérique sans aborder la question des réglementations.
Que ce soit au sein de l’Union européenne ou aux USA, il existe un ensemble de réglementations et de législations qui régulent et protègent les données des utilisateurs et des organisations.
Le RGPD
Le Règlement Général sur la Protection des Données (RGPD) est un texte européen entré en application en 2018. Il permet :
- De renforcer les droits des utilisateurs ;
- De responsabiliser les acteurs traitant des données ;
- De créer un cadre juridique unifié pour l’ensemble de l’Union Européenne.
Le RGPD impose que les données personnelles soient traitées de façon transparente, légitime et sécurisée.
Les utilisateurs doivent être informés de l’usage qui en est fait et disposent de droits sur leurs données, notamment la migration et la suppression.
Cette réglementation s’applique à toute entreprise ou site qui collecte, traite ou stocke les données de citoyens européens, y compris dans le cloud.
Le FISA
Le FISA (Foreign Intelligence Surveillance Act) est une loi américaine datant de 1978 consacrant des procédures de surveillance (à la fois physiques et électroniques) autour de personnes physiques.
L’un des points essentiels concerne l’amendement de cette loi datant de 2008. Le gouvernement américain est autorisé à surveiller les communications électroniques de personnes non américaines et résidants en dehors du territoire américain.
Les fournisseurs de services informatiques à distance, de communication électronique et les entreprises de télécommunications doivent coopérer avec les autorités américaines en les laissant accéder aux informations en leur possession.
NIS2
La directive NIS2 (Network and Information Security) renforce le niveau de cybersécurité au sein de l’UE en imposant des exigences minimales de sécurité aux systèmes d’information essentiels.
Elle élargit le périmètre de la première directive NIS à un plus grand nombre de secteurs et d’entités, et s’applique notamment aux fournisseurs de services numériques, dont les fournisseurs de services cloud.
Le Cloud Act
Le « Cloud Act » (Clarifying Lawful Overseas Use of Data Act) est une loi américaine adoptée en 2018. Elle doit clarifier la manière dont les autorités américaines accédent aux données stockées à l’étranger par les fournisseurs de services cloud.
Les fournisseurs de services cloud sont tenus de fournir des données stockées à l’étranger à des autorités américaines dans certains cas, même si ces données sont soumises aux lois de protection des données de pays étrangers.
Le Cloud Act établit aussi un cadre pour les accords bilatéraux entre les États-Unis et d’autres pays afin de régler les conflits de juridiction relatifs à l’accès aux données stockées à l’étranger.
Les lois extraterritoriales et la menace à la souveraineté
Le FISA et le Cloud Act à eux-seuls permettent aux autorités américaines d’outrepasser la juridiction européenne et de se saisir des données de citoyens européens selon certaines situations.
Ces lois sont en contradiction directe avec les lois et les réglementations locale (comme le RGPD). Elles rentrent en conflit avec la notion de souveraineté que nous avons défini plus tôt (« son indépendance absolue dans l’ordre international »).
Les lois américaines obligent d’autres nations à se plier à leur juridiction. Résultat, ces pays dépendent d’une loi votée aux États-Unis et non pas au sein de leurs propres espaces politiques.
Se pose donc le problème de la récupération de données sensibles par les autorités américaines comme, par exemple, les données de santé des citoyens français qui devaient être hébergées à l’origine par Microsoft, les plaçant ainsi directement sous juridication américaine.
Le problème est d’autant plus important qu’une écrasante majorité d’organisations françaises et européennes, publiques comme privées, ont recours quotidiennement à des outils de travail conçus outre-atlantique (les entreprises américaines captent 69% du marché européen du cloud contre 2% pour OVHcloud, pourtant premier hébergeur en Europe.)
Où en sont les administrations et les entreprises françaises en matière de souveraineté numérique ?
Télécharger l'étudeLe cloud de confiance, la réponse française
Les risques liés à l’utilisation de solutions collaboratives américaines et le poids croissant de la souveraineté dans le débat public ont conduit l’État français à réagir, avec la mise en place d’une stratégie cloud reposant sur trois piliers :
- Un label cloud de confiance ;
- L’initiative cloud au centre ;
- Le développement de projets industriels pour favoriser le développement des technologies cloud en France, à travers des investissements du gouvernement.
A la suite de la mise en place de cette stratégie, différents projets ont commencé à voir le jour, portés par différents acteurs.
Gaia-X
Gaia-X est un projet européen de cloud souverain lancé en 2019 dont la finalité est de créer un écosystème de données européen ouvert et interopérable, respectueux des normes de sécurité et de confidentialité européennes.
Cet écosystème doit :
- favoriser la circulation et le partage sécurisé de données
- permettre aux membres du projet de conserver le contrôle sur ces dernières.
Gaia-X a été critiqué en raison de l’inclusion d’acteurs américains dans le projet.
Numspot
4 grands industriels français (Docaposte, Dassault Systèmes, Bouygues Telecom et la Banque des Territoires) réunis pour une offre cloud complète et 100% tricolore !
L’objectif du projet est de proposer une offre de cloud de confiance aux acteurs institutionnels et économiques français allant jusqu’aux logiciels à la demande.
Numspot souhaite servir de plateforme d’agrégation de solutions collaboratives françaises (dont Jamespot) afin que les secteurs concernés (le secteur public, la santé et la finance) de bénéficier des outils de leur choix.
Le projet Bleu
Le projet “Bleu” a été lancé en 2020 et est porté par Cap Gemini et Orange.
Les deux géants du numérique ont conclu un partenariat avec Microsoft afin « de créer un fournisseur de services cloud français répondant aux besoins spécifiques de certaines organisations ».
Le projet Bleu proposera ainsi à ses utilisateurs les solutions de collaboration Microsoft 365 ainsi que les services de la plateforme Microsoft Azure. Et la souveraineté ? Le projet Bleu bénéficiera d’une immunité aux lois extraterritoriales ainsi que d’une totale indépendance économique puisque Cap Gemini et Orange en seront les deux seuls investisseurs majoritaires.
Le label SecNumCloud
Les cyberattaques évoluant en parallèle du nombre d’organisations migrant vers le cloud, la sécurité est devenu un enjeu incontournable.
Le label SeNumCloud a été lancé en 2015, à l’initiative de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) française. Son objectif est d’aider les entreprises, ainsi que les organisations, à choisir les fournisseurs de cloud souverain cochant le plus de cases en termes de sécurité.
Le second intérêt de cette certification est d’éviter de laisser les entreprises clientes négocier leurs exigences de sécurité avec les prestataires et de proposer à la place une approche plus centralisée.
Une façon pour les entreprises de montrer patte blanche en termes de sécurité et de prouver la conformité de leur système et le respect des pratiques listées dans le référentiel de l’ANSSI.
Que faire pour mon entreprise ?
Mais alors, comment les entreprises peuvent-elles, doivent-elles agir pour répondre à ces besoins de protection de la donnée ?
Plusieurs mesures peuvent être entreprises par les organisations :
- Travailler à l’évaluation des risques : les entreprises doivent prendre le temps d’évaluer l’ensemble des risques autour de leurs données. Elles doivent mener de véritables audit sur leur dépendance vis-à-vis des fournisseurs de services cloud et s’assurer que les exigences légales et réglementaires (que ce soit au niveau national ou international) soient totalement respectées.
- Mieux déterminer leurs besoins : les entreprises doivent s’assurer d’identifier leurs besoins réels et spécifiques en ce qui concerne la question de la sécurité des données. Les organisations doivent s’assurer d’être en conformité avec les données récoltées, la façon dont elles les traitent, et garantir la confidentialité et la transparence quant à ce qui en sera fait, à l’ensemble des individus concernés.
- Privilégier les solutions françaises et européennes : Lointaine est l’époque où les solutions collaboratives françaises pouvaient être considérées comme incomplètes par rapport à leurs homologues américains. Réunissant plusieurs millions d’utilisateurs partout à travers le monde, respectueuses des normes européennes, portées sur l’innovation et travaillant avec des acteurs locaux reconnus (OVH, Outscale…), les solutions françaises sont aujourd’hui des alternatives complètes et sérieuses aux outils américains et consolident l’émergence d’un cloud souverain français mais aussi européen.
- Assurer la migration et le suivi du service et du RPGD compliance : l’organisation, en cas de besoin, doit s’assurer de la bonne migration de son ancien service cloud vers le nouveau, en prenant le temps de vérifier que les applications et les données n’aient pas été altérées au moment de la transition, tout en prenant en compte les questions liées au coût, aux risques et délais. Mais ce n’est pas tout. L’entreprise doit s’assurer de mettre en place les bons mécanismes de sauvegarde ou de récupération de la donnée afin de contrer un éventuel défaut, manquement ou une défaillance du prestataire de service.
- Participer aux initiatives de développement du cloud souverain : Les entreprises peuvent contribuer aux initiatives de développement du cloud souverain en participant à des groupes de travail, des consortiums et des projets de recherche et de développement, afin de promouvoir le développement de solutions de cloud souverain qui répondent à leurs besoins spécifiques.
Avec plus de 25 ans d'expérience dans la technologie numérique et la transformation organisationnelle, je suis un leader passionné par l'exploitation de l'intelligence collective et de la technologie pour optimiser les stratégies d'affaires.
