Les critères pour sélectionner une solution cloud confidentielle

Ce qui distingue fondamentalement une solution confidentielle d’une offre cloud standard ne se résume pas à la performance technique ou au tarif. Les critères de souveraineté, de certification vérifiable et de conformité réglementaire priment sur les caractéristiques habituelles (bande passante, capacité de stockage, facilité d’intégration). Cette hiérarchie des priorités, souvent absente des discours commerciaux, détermine pourtant la capacité d’une organisation à résister aux audits de conformité et à protéger réellement ses données sensibles.

La certification de sécurité, fondation de la confiance

Face à la multiplication des labels de sécurité auto-attribués, la certification CSPN de l’ANSSI (Certification de Sécurité de Premier Niveau) constitue le premier critère discriminant pour sélectionner une solution cloud destinée aux données sensibles. Contrairement aux badges marketing invérifiables, cette certification repose sur un processus d’évaluation indépendant mené par des laboratoires agréés par l’Agence nationale de la sécurité des systèmes d’information.

Une qualification de sécurité est accordée pour une durée limitée et doit être renouvelée à intervalles réguliers afin de vérifier que le produit ou le service continue de répondre aux exigences de sécurité en vigueur. Ce processus permet de s’assurer que les solutions certifiées conservent un niveau de protection adapté à l’évolution des menaces. À l’inverse, les auto-certifications à visée marketing ne reposent sur aucun contrôle indépendant ni sur une obligation de réévaluation périodique.

Le référentiel SecNumCloud, développé par l’ANSSI, va plus loin en qualifiant les prestataires de services cloud pour les données les plus sensibles. Cette qualification, destinée notamment aux administrations et aux secteurs régulés, impose des exigences renforcées en matière de localisation géographique, de gouvernance et de résistance aux législations extraterritoriales. La CNIL recommande d’ailleurs explicitement, pour les bases de données les plus sensibles, d’assurer une protection contre la divulgation à des autorités de pays tiers, objectif que seule la qualification SecNumCloud intègre pleinement.

Comment distinguer concrètement une vraie certification d’un simple label marketing ? La méthode de vérification tient en trois étapes accessibles publiquement. Premièrement, identifier le numéro exact du certificat CSPN ou de la qualification SecNumCloud dans la documentation du prestataire. Deuxièmement, consulter le registre public des produits certifiés sur le site de l’ANSSI (cyber.gouv.fr). Troisièmement, vérifier la date de validité du certificat et le périmètre exact couvert par la certification. Cette due diligence, réalisable en quelques minutes, permet d’écarter immédiatement les solutions s’appuyant sur des certifications expirées, hors périmètre ou purement marketing.

Des solutions françaises comme le cloud confidentiel certifié CSPN par l’ANSSI illustrent cette approche fondée sur des certifications de sécurité vérifiables publiquement, apportant des garanties concrètes en matière de protection des données sensibles, contrairement aux simples auto-déclarations de conformité difficiles à contrôler.

Où sont réellement hébergées vos données sensibles ?

La question de la localisation des données dépasse largement celle du simple emplacement géographique des serveurs. La souveraineté numérique désigne la capacité d’un État à exercer un contrôle juridique effectif sur les données hébergées sur son territoire, sans ingérence de législations étrangères. Cette notion prend une importance critique face aux lois extraterritoriales américaines, au premier rang desquelles le Patriot Act et le Cloud Act.

Le Cloud Act (Clarifying Lawful Overseas Use of Data Act), adopté en 2018, permet aux autorités américaines d’exiger l’accès aux données détenues par toute entreprise soumise au droit américain, indépendamment du lieu de stockage physique de ces données. Une entreprise américaine qui héberge des données en Europe peut rester soumise aux législations extraterritoriales américaines, susceptibles d’autoriser l’accès à certaines informations dans des conditions encadrées par la loi. Ainsi, l’implantation physique d’un datacenter en Europe ne garantit pas à elle seule une protection complète contre les obligations légales imposées par le pays d’origine de l’opérateur. Un datacenter situé à Paris mais exploité par une filiale européenne d’un groupe américain peut donc présenter des enjeux spécifiques en matière de souveraineté et de contrôle des données.

Cette réalité juridique a conduit l’ANSSI à développer la doctrine du cloud de confiance, qui impose trois critères cumulatifs : localisation des données et de leur traitement en France ou dans l’Union européenne, capital et gouvernance de l’entreprise non soumis à des législations extraterritoriales, transparence complète sur la chaîne de sous-traitance et d’approvisionnement. Seule cette triple exigence garantit une souveraineté numérique effective.

Les secteurs régulés français font face à des exigences spécifiques de localisation. Le secteur de la défense impose une localisation strictement nationale pour les données classifiées. Le secteur de la santé, depuis la décision de la CNIL du 21 décembre 2023 publiée le 31 janvier 2024, a vu quatre hôpitaux français et l’Assurance maladie autorisés temporairement à utiliser une solution américaine, mais avec une recommandation explicite de migrer vers des solutions souveraines de type SecNumCloud. Cette autorisation limitée à trois ans illustre la tension croissante entre les contraintes opérationnelles et les impératifs de souveraineté. Le secteur de l’énergie, soumis à la directive NIS2, doit garantir la résilience de ses infrastructures critiques, ce qui inclut la maîtrise juridique complète de ses données opérationnelles sensibles.

Quel niveau de chiffrement garantit la confidentialité maximale ?

Le standard AES-256 (Advanced Encryption Standard avec clés de 256 bits) constitue aujourd’hui la référence internationale en matière de chiffrement symétrique. Recommandé par l’ANSSI dans le Référentiel Général de Sécurité, ce standard offre un niveau de protection tel que, selon les capacités de calcul actuelles, il faudrait plusieurs milliards d’années pour tester l’ensemble des combinaisons possibles. Cette robustesse mathématique place l’AES-256 au cœur de toute solution cloud confidentielle crédible.

Le chiffrement de bout en bout (end-to-end encryption) représente toutefois une exigence supérieure au simple chiffrement des données au repos ou en transit. Dans un système de chiffrement de bout en bout, les données sont chiffrées dès leur création sur le poste de l’émetteur et ne sont déchiffrées qu’au moment de leur consultation par le destinataire autorisé. Le prestataire cloud lui-même ne dispose d’aucune capacité technique d’accès aux données en clair. Cette architecture garantit que même en cas de compromission du serveur ou de réquisition judiciaire visant le prestataire, les données restent protégées. À l’inverse, une solution proposant uniquement du chiffrement au repos (données stockées chiffrées sur disque) ou en transit (données chiffrées pendant leur transmission) laisse au prestataire la capacité d’accéder aux informations en clair lors de leur traitement.

Les modules matériels de sécurité (HSM, Hardware Security Module) apportent une couche de protection supplémentaire en gérant les clés de chiffrement dans des dispositifs physiques inviolables, certifiés selon les normes FIPS 140-2 ou Common Criteria. Un HSM garantit que les clés de chiffrement ne peuvent jamais être extraites en clair de l’environnement matériel sécurisé, même par les administrateurs système du prestataire. Pour les données hautement classifiées, l’utilisation de HSM devient un critère discriminant permettant de distinguer les solutions véritablement robustes des offres de base s’appuyant uniquement sur du chiffrement logiciel.

La distinction entre chiffrement au repos, en transit et en usage mérite d’être comprise précisément. Le chiffrement au repos protège les données stockées sur les disques du datacenter. Le chiffrement en transit protège les données pendant leur transmission sur les réseaux. Le chiffrement en usage, technologie émergente, vise à protéger les données même pendant leur traitement en mémoire. Une solution complète doit couvrir ces trois états, mais dans la pratique actuelle, le chiffrement de bout en bout couvrant le repos et le transit constitue déjà un niveau de protection élevé pour la majorité des usages en secteur régulé.

Une limite fondamentale mérite toutefois d’être soulignée : le chiffrement le plus robuste ne garantit rien sans une gestion appropriée des clés. La politique de génération des clés, leur rotation régulière, leur stockage sécurisé et leur révocation en cas de compromission déterminent la sécurité réelle du système. Un chiffrement AES-256 dont les clés sont stockées en clair à côté des données ou gérées par des processus manuels non audités ne protège rien. La question pertinente à poser à un prestataire n’est donc pas seulement « Quel algorithme de chiffrement utilisez-vous ? » mais « Comment gérez-vous le cycle de vie complet des clés de chiffrement ? ».

Traçabilité et audit des accès : preuves opposables exigées

La traçabilité opposable désigne la capacité d’un système à produire des preuves juridiquement valables de l’ensemble des opérations effectuées sur les données sensibles. Contrairement aux simples logs techniques destinés au monitoring informatique, une preuve opposable doit inclure obligatoirement un horodatage certifié, l’empreinte cryptographique du fichier (hash), les adresses IP source et destination, l’identité authentifiée de l’émetteur et du destinataire, et la preuve de consultation effective. Ces composantes permettent de reconstituer avec certitude la chaîne de traçabilité lors d’un audit ANSSI ou d’un contrôle sectoriel.

 

Les exigences réglementaires en matière de traçabilité varient selon les secteurs, mais convergent vers des obligations strictes. Le RGPD impose la traçabilité des accès aux données personnelles et la capacité de démontrer la conformité des traitements. La directive NIS2, applicable aux opérateurs de services essentiels et importants, renforce les obligations de journalisation et de conservation des traces pour faciliter les investigations en cas d’incident de sécurité. Les secteurs de la défense et de la santé disposent de référentiels spécifiques fixant des durées de conservation minimales et des formats de restitution standardisés.

La distinction entre logs techniques et preuves opposables est fréquemment négligée dans les discours commerciaux. Un log technique enregistre les événements système pour permettre le dépannage et l’optimisation des performances. Il peut être modifié, supprimé ou incomplet sans que cela ne constitue une violation réglementaire. Une preuve opposable, en revanche, doit présenter des garanties d’intégrité, d’inaltérabilité et d’horodatage certifié lui conférant une valeur probatoire en cas de litige ou de contrôle réglementaire. Choisir une solution offrant de simples logs sans valeur juridique expose l’organisation à l’impossibilité de prouver la conformité de ses traitements lors d’un audit.

Les durées légales de conservation des traces dépendent du secteur d’activité et du type de données traitées. À titre indicatif, les données de santé hébergées doivent conserver leurs traces d’accès pendant au moins trois ans selon les référentiels sectoriels. Les opérateurs d’importance vitale (OIV) du secteur énergétique doivent archiver leurs journaux de sécurité pour des durées pouvant atteindre cinq ans. La solution cloud sélectionnée doit donc offrir des capacités d’archivage à long terme compatibles avec ces obligations, ainsi que des interfaces de restitution permettant de produire rapidement un état complet des accès sur une période donnée lors d’un audit ou d’un incident de sécurité.

Comment contrôler finement les habilitations et droits d’accès ?

La gestion rigoureuse des identités et des habilitations constitue un pilier de l’importance de la sécurité des données en environnement cloud confidentiel. Les mécanismes d’authentification forte s’appuient sur des standards éprouvés : protocole LDAP pour l’intégration avec les annuaires d’entreprise, SAML pour la fédération d’identités entre systèmes hétérogènes, certificats X509 pour l’authentification cryptographique des utilisateurs et des machines. La double authentification (2FA) ou l’authentification multi-facteurs (MFA) ajoutent une couche de protection en combinant plusieurs éléments de preuve (mot de passe, jeton physique, biométrie).

La classification des données par niveau de sensibilité doit impérativement précéder la mise en place des mécanismes techniques de contrôle d’accès. Les niveaux de classification français distinguent généralement la Diffusion Restreinte (DR), le Confidentiel Défense (CD) et le Secret Défense (SD), chaque niveau imposant des exigences croissantes en matière d’habilitation des personnes et de protection des systèmes. Une organisation du secteur énergétique manipule fréquemment des données opérationnelles sensibles relevant de la DR (données techniques non publiques) et parfois du CD (infrastructures critiques). Sans classification préalable claire, aucune segmentation cohérente des droits d’accès ne peut être mise en œuvre.

Le modèle RBAC (Role-Based Access Control) attribue les droits d’accès en fonction des rôles métiers : un responsable d’exploitation accède aux données opérationnelles, un contrôleur financier accède aux données budgétaires, un responsable RH accède aux dossiers du personnel. Le modèle ABAC (Attribute-Based Access Control) affine cette approche en conditionnant les accès à des attributs contextuels : localisation de l’utilisateur, horaire de connexion, niveau de classification de la donnée, type de terminal utilisé. Le principe du moindre privilège impose de n’octroyer à chaque utilisateur que les droits strictement nécessaires à l’exercice de ses fonctions, rien de plus.

La révocation des habilitations lors d’un départ, d’un changement de poste ou d’une fin de mission représente un point critique souvent négligé. Selon les rapports d’incidents de sécurité, une part significative des fuites de données résulte d’accès non révoqués ou de privilèges excessifs maintenus après leur période de nécessité. La solution cloud doit permettre une révocation immédiate et traçable, idéalement intégrée au processus RH de l’organisation pour éviter tout délai entre la décision de départ et la désactivation effective des accès.

Les modes d’hébergement adaptés à vos contraintes opérationnelles

Le modèle SaaS mutualisé repose sur une infrastructure partagée entre plusieurs clients, permettant un déploiement rapide et un coût maîtrisé grâce aux économies d’échelle. Les ressources (serveurs, stockage, bande passante) sont mutualisées, l’administration est simplifiée, et la maintenance est entièrement prise en charge par le prestataire. Ce modèle convient pour des données de sensibilité modérée (Diffusion Restreinte) lorsque l’organisation dispose de compétences IT limitées et privilégie la rapidité de mise en œuvre. Les limites apparaissent dès que le niveau de classification augmente ou que les exigences d’audit imposent une isolation stricte des environnements.

Le modèle SaaS dédié offre une infrastructure isolée pour un client unique, tout en conservant le mode de fonctionnement SaaS (gestion et maintenance assurées par le prestataire). Cette architecture permet une personnalisation avancée, un contrôle renforcé sur les paramètres de sécurité, et une conformité facilitée aux référentiels exigeant l’isolation des données. Le surcoût par rapport au mutualisé, généralement de l’ordre de 30 à 50 %, s’accompagne d’une capacité à répondre aux audits de conformité des secteurs régulés. Ce mode convient particulièrement aux organisations de taille intermédiaire du secteur énergétique manipulant des données classifiées Confidentiel Défense.

Le modèle On Premise place l’infrastructure dans les locaux de l’organisation, qui en conserve la maîtrise totale. Ce mode offre le niveau de contrôle et de conformité maximal, indispensable pour les données Secret Défense ou lorsque les contraintes sectorielles interdisent tout hébergement externe. En contrepartie, il exige des ressources IT internes significatives (compétences, personnel, maintenance préventive et corrective) et implique une complexité opérationnelle élevée. Les organisations optant pour ce mode doivent disposer d’équipes dédiées capables d’assurer la sécurité physique du datacenter, la gestion des mises à jour de sécurité, et la continuité de service 24/7.

Une approche progressive mérite d’être considérée plutôt qu’un choix binaire figé. Une organisation peut commencer par un SaaS dédié pour tester la solution sur un périmètre restreint, monter en maturité sur les processus de classification et de gestion des habilitations, puis migrer vers On Premise si le niveau de classification des données augmente ou si les exigences de contrôle se renforcent. Cette trajectoire d’évolution rassure les directions face à l’ampleur perçue de la transformation, tout en permettant un apprentissage progressif des bonnes pratiques de sécurité cloud.

Évaluer la maturité et la pérennité de votre futur prestataire

Au-delà des caractéristiques techniques de la solution, la maturité du prestataire conditionne la réussite du projet et la capacité à résister aux audits. L’ancienneté sur le marché du cloud confidentiel, supérieure à trois ans, indique une capacité éprouvée à maintenir les certifications et à faire évoluer l’offre face aux menaces. Les références sectorielles vérifiables dans les domaines de la défense, de la santé ou de l’énergie démontrent une expérience concrète des contraintes réglementaires spécifiques. Les certifications obtenues et maintenues (CSPN, SecNumCloud, ISO 27001) constituent des preuves objectives de la capacité du prestataire à respecter les standards de sécurité dans la durée.
La capacité de support et de réponse à incident revêt une importance critique pour les infrastructures 24/7 du secteur énergétique. Les SLA (Service Level Agreement) doivent garantir des engagements mesurables : taux de disponibilité de 99,9 % minimum, temps de réponse du support inférieur à 30 minutes pour les incidents critiques, capacité d’escalade vers des experts techniques de niveau 3. La disponibilité du support technique en dehors des heures ouvrées, idéalement 24/7, et le niveau d’expertise réel des équipes (certifications techniques, expérience sectorielle) déterminent la qualité de la gestion d’incident en situation de crise. Un prestataire crédible doit pouvoir présenter son processus de gestion d’incident de sécurité et ses statistiques de résolution.

La solidité financière et les garanties de pérennité répondent à l’objection légitime concernant la viabilité des acteurs français face aux géants américains. Consulter les comptes publics déposés au registre du commerce permet de vérifier la santé financière. Un actionnariat stable, sans changement de contrôle récent, réduit le risque de rachat par un groupe soumis à des législations extraterritoriales. Une roadmap produit publique et des investissements continus en recherche et développement signalent une capacité d’innovation. Les garanties contractuelles de continuité de service, incluant des clauses de réversibilité permettant de récupérer les données dans un format exploitable en cas de défaillance du prestataire, constituent des protections essentielles.

La transparence contractuelle mérite une attention particulière lors de la revue juridique. Vérifier que la clause de juridiction applicable désigne exclusivement les tribunaux français, que le contrat interdit explicitement tout accès aux données par des entités tierces sans autorisation préalable du client, et qu’aucune clause n’autorise un transfert de données hors de l’Union européenne. Ces vérifications contractuelles transforment les promesses commerciales de souveraineté en engagements juridiquement opposables.

La méthodologie de sélection recommandée se décompose en trois phases. Premièrement, appliquer la checklist de validation pour écarter les solutions manifestement non conformes aux critères non négociables de certification, souveraineté et traçabilité. Deuxièmement, organiser un POC (Proof of Concept) sur un périmètre restreint avec les deux ou trois prestataires présélectionnés, permettant de tester concrètement les fonctionnalités, les performances et la qualité du support. Troisièmement, faire réaliser un audit de sécurité par un cabinet indépendant avant le déploiement généralisé, validant la conformité réelle de l’infrastructure aux référentiels sectoriels applicables.

Le choix d’une solution cloud confidentielle ne se limite jamais à une décision technique ponctuelle. Il engage l’organisation sur la protection durable de son patrimoine informationnel sensible, sa capacité à résister aux audits réglementaires et sa souveraineté numérique face aux tensions géopolitiques croissantes. Les critères de certification officielle ANSSI, de souveraineté juridique vérifiable et de traçabilité opposable constituent le socle non négociable sur lequel bâtir cette stratégie. Les critères techniques classiques (performance, scalabilité, intégrations) viennent ensuite, une fois les fondations de sécurité et de conformité solidement établies.

Face à l’urgence créée par un audit de conformité imminent ou un incident de sécurité dans le secteur, la tentation existe de privilégier la rapidité au détriment de la rigueur. Cette précipitation conduit fréquemment à sélectionner une solution non souveraine ou insuffisamment certifiée, générant un risque juridique et opérationnel supérieur au problème initial. Prendre le temps d’une sélection méthodique fondée sur les critères objectifs exposés dans cet article constitue l’approche la plus sûre pour concilier les impératifs de sécurité maximale, de conformité réglementaire et de pérennité de la solution. Pour approfondir les bonnes pratiques en cas d’incident, consultez les premiers réflexes face à une cyberattaque. Pour une analyse comparative des différentes méthodes de stockage en ligne, des ressources complémentaires permettent d’affiner votre stratégie globale de protection des données sensibles.