Cloud souverain : la question derrière « où sont nos données »
Le cloud souverain ne se limite plus depuis longtemps à l’emplacement d’un centre de données. Il s’agit de savoir qui peut y accéder, sous quel droit cela se passe, et si vous pouvez continuer à fonctionner si la relation avec un fournisseur change. Cette page sépare ces couches.
Quatre couches de souveraineté
On les confond souvent, et un fournisseur qui livre la première passe alors pour couvrir les quatre.
- Où se trouvent les donnéesLa couche la plus simple, et généralement un choix à la configuration : une région dans l’UE. C’est ce que la plupart des fournisseurs entendent par « souverain », et c’est la couche qui dit le moins : l’endroit où se trouve un disque ne décide pas de qui peut y accéder.
- Qui peut techniquement y accéderAdministrateurs, support, sous-traitants. Il est ici question de chiffrement avec des clés que vous gérez, d’une approbation préalable pour l’accès du fournisseur, et de savoir si le support intervient depuis un pays hors UE.
- De quel droit relève le fournisseurUn centre de données européen exploité par une société relevant d’un droit non européen peut malgré tout tomber sous une réquisition de ce pays. Que ce soit un problème dépend de vos données et de votre secteur ; ce jugement doit venir d’un juriste et non de nous.
- Si vous pouvez partirLa couche qui pèse le plus dans un achat et qui est la moins vérifiée : pouvez-vous récupérer vos données, dans un format exploitable, dans un délai raisonnable, et cela tourne-t-il ailleurs. Tant que cela n’a pas été essayé une fois, c’est une hypothèse.
Ce qu’il faut demander à un fournisseur
Quatre questions auxquelles une plaquette ne répond pas. Elles fonctionnent aussi avec le fournisseur que vous avez déjà.
Qui peut y accéder à mon insu ?
Demandez la procédure plutôt que la promesse : comment un administrateur du fournisseur obtient l’accès, qui l’approuve, et où se trouve le journal que je peux lire moi-même.
À qui appartiennent les clés ?
Un chiffrement dont les clés sont détenues par le fournisseur protège d’un disque volé, pas du fournisseur. Si vous les détenez, demandez tout de suite qui en révoque une en cas de problème et ce qui se passe ensuite.
Où tourne le processus de support ?
L’accès, ce n’est pas seulement la production. Le support, la supervision et la résolution d’une panne sont les moments où l’on regarde vraiment à l’intérieur. Demandez où se trouvent ces personnes.
À quoi ressemble la sortie ?
Sous quelle forme les données sortent, combien de temps cela prend et ce qui reste. Mettez-le au contrat et essayez une fois avec un jeu de test : c’est la seule façon de savoir si la réponse tient.
Ce que nous y faisons, et ce que nous n’y faisons pas
Nous construisons et nous consignons. Nous ne décidons pas de ce qui est juridiquement admissible.
- Construire selon le choix arrêtéRégion, chiffrement, gestion des clés, cloisonnement réseau et contrôle des accès, et là où cela convient un environnement sur du matériel propre ou chez un fournisseur européen. Le choix vous appartient ; nous faisons en sorte que la réalité le suive.
- Consigner que c’est bien ainsiQuelle région, quelles clés, qui a accès et quand cela a changé. C’est ce que veut voir un auditeur, un grand client ou une autorité, et c’est la partie qu’on ne peut plus reconstituer après coup.
- Penser la sortie dès le départNous construisons avec la porte de sortie : des exports qui fonctionnent, des formats lisibles ailleurs, et un essai plutôt qu’une confiance. Y compris quand c’est nous que vous quitteriez.
- Ce que nous ne faisons pasDire si un service satisfait une loi ou la politique de votre secteur. C’est une qualification juridique. Nous fournissons les faits sur lesquels ce jugement repose, et nous le disons quand la technique ne peut pas tenir une promesse.
Ceci n’est pas un conseil juridique. Ce qui figure ici est la traduction en technique et en trace écrite ; savoir si un traitement est autorisé relève de votre juriste ou de l’autorité. Voir aussi souveraineté numérique pour l’arbitrage plus large.
Pour aller plus loin
Ce à quoi cela se rattache.
Les questions qu’on nous pose
Celles qui reviennent le plus, en bref.
Des données dans un centre de données européen sont-elles automatiquement souveraines ?
Non. L’endroit où se trouve un disque ne dit rien de qui peut y accéder. Un fournisseur relevant d’un droit non européen peut malgré tout tomber sous une réquisition de ce pays, et un support situé hors UE peut avoir un accès technique.
Quelle question en dit le plus sur un fournisseur ?
À quoi ressemble la sortie. Sous quelle forme les données sortent, combien de temps cela prend et ce qui reste. Mettez la réponse au contrat et essayez une fois avec un jeu de test ; c’est l’assurance la moins chère du chantier.
Déterminez-vous si un service cloud est juridiquement admissible ?
Non, c’est une qualification juridique et un prestataire informatique ne la fait pas. Nous construisons selon le choix arrêté, consignons ce qui existe et disons quand la technique ne peut pas tenir une promesse.
Savoir où vos données se trouvent vraiment
Nous parcourons l’environnement selon les quatre couches ci-dessus et mettons par écrit ce qui s’applique aujourd’hui. Cela révèle souvent des écarts entre ce qui a été convenu et ce qui a été construit.
Des connaissances informatiques concrètes dans votre boîte mail
De nouveaux guides sur la gestion, la sécurité et le poste de travail, écrits par ceux qui font le travail. Sans discours commercial, et la désinscription se fait en un clic.