Une informatique pour qui fournit la défense
Autour de la défense gravite une filière de fournisseurs, de constructeurs de machines, d’entreprises de maintenance et d’instituts de recherche. On leur impose des exigences qu’ils n’ont pas écrites : qui peut accéder à un plan, où résident les données et ce qui doit rester traçable d’une livraison. Nous construisons l’informatique qui y répond, et nous disons où se situe notre limite.
Les exigences viennent de votre client
Dans cette filière, la sécurité de l’information n’est pas un arbitrage mais une condition pour pouvoir participer.
Une entreprise qui fournit des pièces, de la maintenance ou du savoir à une organisation de défense rencontre des exigences qui vont au-delà de l’usage ailleurs. Elles portent sur l’accès : qui peut atteindre un plan, comment cela est consigné et à quelle vitesse cet accès est retiré au départ d’une personne. Elles portent sur la traçabilité : quelles pièces sont entrées dans quelle livraison, d’où venaient-elles et peut-on le montrer ensuite. Et elles portent sur la localisation : où résident les données, qui peut techniquement y accéder et cet acteur relève-t-il d’une législation étrangère.
Cette dernière question a pris du poids ces dernières années. Pour une partie de la filière, l’exigence est désormais que les données restent en Europe et que le fournisseur ne soit soumis à aucune obligation de transmission au titre d’une législation hors UE. Ce n’est pas une position politique mais une condition d’achat, et elle détermine le choix de cloud qui vous reste ouvert.
Le contrôle des exportations touche l’informatique plus tôt qu’on ne croit
Les données techniques relatives au matériel militaire ou à double usage relèvent du contrôle des exportations, et cela ne commence pas à l’expédition mais à l’accès. Un plan ouvert depuis un bureau hors UE constitue déjà, dans cette logique, une exportation. Nous l’intégrons à la conception : où résident les données, qui peut y accéder depuis quel lieu, et cela est-il consigné de façon à pouvoir répondre à une question.
Concrètement, cela veut dire du cloisonnement : les données de projet d’un client séparées de celles d’un autre, un accès par rôle et par projet plutôt que par service, et une trace par document. Cela paraît lourd jusqu’à la première fois où quelqu’un pose la question.
Où se situe notre limite
Nous travaillons sur l’informatique d’entreprise des organisations de cette filière. Nous ne gérons pas de systèmes classifiés et ne fournissons pas d’environnement pour de l’information classifiée : cela exige une installation agréée et du personnel habilité selon les règles applicables, et nous ne l’avons pas. Là où votre client impose une partie classifiée, celle-ci reste chez l’acteur agréé pour cela ; nous veillons à ce que le reste de votre environnement se tienne proprement à côté et à ce que la séparation soit consignée.
Ce que nous prenons en charge dans la filière défense
Vous choisissez ce dont vous avez besoin. Le tout relève d’un contrat, d’un reporting et d’un interlocuteur.
- Accès par rôle et par projetQui peut atteindre quel plan suit la fonction et le projet, avec une vérification à plusieurs facteurs et un retrait immédiat au départ d’un salarié ou d’un intervenant extérieur.
- Données de projet cloisonnées par clientCe qui appartient à un client reste séparé de ce qui appartient à un autre, avec une trace de qui a pu y accéder et quand.
- Des données en Europe là où c’est exigéStockage et gestion chez des acteurs relevant de la législation européenne, pour qu’une condition d’achat sur la transmission se réponde par un fait.
- Traçabilité et changements consignésDocuments, versions et accès restent traçables, pour qu’une question sur une livraison d’il y a deux ans ne finisse pas dans la boîte mail de quelqu’un.
- Disponibilité de la production et de la maintenanceLes systèmes dont dépend une livraison ou une révision reçoivent un délai de reprise convenu d’avance et éprouvé de façon démontrable.
- Pas d’environnements classifiésNous gérons l’informatique d’entreprise. Une partie classifiée reste chez l’acteur agréé, et nous consignons la séparation au lieu de la laisser s’installer.
Comment nous reprenons un environnement de cette filière
Dans cet ordre, car la première question d’un client porte sur votre installation et non sur vos intentions.
Rassembler les exigences de vos clients
Ce que disent réellement les contrats et les conditions de livraison sur l’accès, la localisation et la traçabilité. C’est le point de départ, et cela figure plus souvent en annexe que dans le contrat principal.
Cartographier où résident les données
Quels systèmes, quels fournisseurs, quels pays. Cette étape fait presque toujours apparaître un service dont personne ne savait qu’il contenait des données de projet.
Cloisonner et consigner
Accès par rôle et par projet, données de clients différents séparées, et une journalisation capable de répondre à un auditeur sans qu’on y passe un après-midi.
Corriger sur ce que nous voyons
Le reporting présente les accès, les changements et les incidents. Ces chiffres servent à améliorer l’environnement et sont utilisables dans votre propre reddition de comptes au client.
Les services les plus sollicités ici
Ces briques reviennent le plus souvent dans la filière défense.
Aller plus loin
Vous reconnaissez le tableau mais travaillez dans une autre branche ? Regardez les autres secteurs.
Les questions qu’on nous pose
Celles qui reviennent le plus, en bref.
Avez-vous le droit de travailler sur des systèmes classifiés ?
Non, et nous le disons d’emblée. L’information classifiée exige un environnement agréé et du personnel habilité selon les règles applicables ; nous ne l’avons pas. Nous gérons l’informatique d’entreprise autour, et la partie classifiée reste chez l’acteur agréé.
Pouvez-vous garantir que nos données restent en Europe ?
Là où votre client l’exige, nous l’organisons ainsi : stockage et gestion chez des acteurs relevant de la législation européenne, avec la trace de ce qui se trouve où. C’est un choix de conception pris d’avance et non quelque chose à réparer après coup.
Quel rapport entre le contrôle des exportations et notre informatique ?
Plus étroit que la plupart ne le pensent. Les données techniques sur du matériel militaire ou à double usage en relèvent, et cela ne commence pas à l’expédition mais à l’accès : un plan ouvert depuis un bureau hors UE compte déjà dans cette logique. Nous consignons donc qui peut y accéder depuis quel lieu.
Dites-nous ce qu’exige votre client
Nommez les conditions inscrites à vos contrats sur l’accès, la localisation et la traçabilité. Nous bâtissons autour le cloisonnement, la couverture et la preuve, la limite clairement posée.