Freddy et le Disaster Recovery

Details

Category: Blog

Created: Monday, 20 February 2023 21:40

Hits: 3155

Suite à mon post de la semaine dernière sur les facettes de la Règle 3-2-1, je voulais vous parler principe d’isolation qui fera en définitive l’objet d’un prochain article. Si vous êtes abonné à ma newsletter Your Data. Our Concern vous avez sûrement noté le jour de parution inhabituel de cette publication. Nous recevons en effet un invité de marqué aujourd’hui rompant la routine hebdomadaire. Je vous présente notre ami du jour : Freddy.

Vivant depuis longtemps à Maurice, j’ai appris à être prévoyant. Les coupures électriques et d’internet sont souvent de mise suite à ce genre de phénomène. Je préfère donc anticiper sur les futurs évènements à venir. Notre hôte Freddy, Natif du nord de l’Australie, a traversé tout l’Océan Indien pour nous rentre visite ce jour à Maurice. Freddy est le doux nom de baptême d’un Cyclone Tropical Intense (CTI) qui vient frapper à notre porte. Si sa taille reste relativement modeste pour un système dépressionnaire il n’en est pas moins dangereux avec des vents maximaux enregistrés de 205 km/h et des rafales de l’ordre de 285 km/h. Ce ne sont donc pas ses griffes, pour les cinéphiles, qui nous font peur mais la virulence de son œil au final.

Pourquoi donc dois-je vous parler de Freddy ?

Après Charly et la chocolaterie

En matière de sinistres informatiques, notre ami du jour Freddy entre dans la catégorie des sinistres environnementaux. S’il convient de prendre des précautions d’usage pour vous-même et vos proches, animaux compris, l’arrivée de Freddy pose également question. Si Charly et la chocolaterie est une menace sérieuse pour votre foie, Freddy lui peut tout à fait devenir un sombre plaisantin en matière de sécurité et d’intégrité de vos données. Sa forte capacité de nuisance vis-à-vis de ce qui tient encore debout peut provoquer des dégâts irréversibles sur les bâtiments, générer des inondations conséquentes, couper des systèmes de communications entiers et en somme provoquer le chaos en quelques minutes seulement après son passage. Si ses conséquences peuvent s’avérer dévastatrices un problème de taille subsiste : sa taille à proprement parler. Si Freddy demeure relativement compact, d’une largeur de 650 km « seulement », il n’en demeure pas moins au moins dix fois plus grand que Maurice. Vous comprendrez l’utilité de la Règle de Sauvegarde 3-2-1 visant à externaliser à minima une copie de vos données afin de la mettre en sureté… loin, très loin de Freddy.

Dans un scénario catastrophe, avec une forme de « Hit and Run » direct avec Maurice, et une destruction d’une grande partie des infrastructures terrestres, une copie dans le nuage bien loin de Freddy peut être une option viable dans le cadre d’une réflexion d’une stratégie de reprise après sinistre.

High in the Sky

Si le nuage a séduit historiquement les entreprises pour y stocker leurs données n’en demeure pas moins un dépôt de données additionnel élastique pour les données de sauvegarde. On trouve deux architectures majeures quand il s’agit de sauvegarder vers le nuage.

Le serveur de sauvegarde ou serveur maître réside « On Premise » dans l'entreprise et il orchestre les différentes tâches de sauvegarde. A l’issue de la collecte des données, celles-ci transitent vers le dépôt de données situé dans le nuage pour les stocker. Il convient alors de disposer d'un connecteur mis à disposition par les fournisseurs de services tel que Microsoft Azure, Amazon S3 ou tout service de stockage compatible S3, afin d’authentifier et de transporter de manière sécurisée les données vers le bon dépôt.

L'autre alternative vise à disposer d'un serveur maître disponible dans le nuage et accessible au moyen d'un service de sauvegarde externalisée ou BaaS (Backup-As-A-Service). L'orchestration des tâches de sauvegarde se déroule alors depuis le serveur du fournisseur de services. Un agent de sauvegarde, un serveur mandataire ou une passerelle restent nécessaire dans l’entreprise afin d'assurer l'authentification et le transfert des données vers le dépôt du fournisseur de services. Le service de sauvegarde Azure de Microsoft illustre par exemple ce fonctionnement.

Les facettes de la Règle 3-2-1

Details

Category: Blog

Created: Wednesday, 15 February 2023 21:18

Hits: 3145

Avez-vous déjà entendu parler de la Règle 3-2-1 ? Il ne s’agit pas du tout nouveau jeu à la mode des cours de récréation inspiré du « 3-2-1 Soleil » ou encore d’une règle mathématique. Rien de tout cela à vrai dire. On attribue plus exactement, la Règle [de sauvegarde] 3-2-1 à un photographe américain pas comme les autres : Peter Krogh. Son investissement dans des organisations professionnelles du monde entier, visant à normaliser la pratique de la photographie numérique, lui vaut la publication de plusieurs ouvrages dans le domaine.

Devenu expert dans la gestion des actifs numériques, il décrit cette fois précisément pour la toute première cette règle dans son livre « The DAM Book: Digital Asset Management for Photographers ». Ses disciples appliquant ainsi avec rigueur la Règle de sauvegarde 3-2-1 en constatent son efficacité à la survenance du moindre sinistre. Cette règle d’or visant à disposer de plusieurs copies [de sauvegarde] d’une même donnée, organisées conformément à une organisation très scrupuleuse, devient un véritable mantra pour les professionnels du domaine de la sauvegarde des données.

Chacun admet désormais cette règle d’or comme une bonne pratique quand on souhaite protéger efficacement ses données contre tout type de sinistre.

Les règles du jeu

Telle une routine de méditation, le respect de la Règle de sauvegarde 3-2-1 invite tout un chacun à se répéter sans cesse les phrases suivantes dans l’élaboration de sa politique de protection des données :

• 3 copies de sauvegarde distinctes tu conserveras
• 2 copies de sauvegarde sur deux dispositifs distincts de stockage secondaire tu utiliseras
• 1 copie de sauvegarde hors du site de production tu externaliseras

Si l‘atteinte des différents objectifs de cette routine ne semblent pas transcendants, à première vue, ils vous sauveront toujours d’un embarras plus que certains en cas de sinistre.

Mais pourquoi 3 au fait ?

Est-ce un nombre magique ? Non, désolé. Si le mantra invite à une forme de spiritualité, située aux antipodes du domaine très « Bits & Bytes » de l’informatique, la mise en œuvre dans un environnement de production de cette routine reste très cartésienne au final. Rien ne vous empêche néanmoins de répéter en boucle à tue-tête ce mantra quand vous êtes seul, devant le serveur de sauvegarde, installé en rack dans la salle système. Au final, vous vous rendrez compte que la Règle de Sauvegarde 3-2-1 s’appuie davantage sur les fondements des probabilités de survenance d’un sinistre. Il convient de comprendre ce qui suit :

La Règle de sauvegarde 3-2-1 a pour objectif de protéger les copies de sauvegarde et non la donnée sauvegardée à proprement parler.

Indirectement vous me direz qu’elle protège au final la donnée et vous avez tout à fait raison. Néanmoins, les mesures techniques et organisationnelles visant à mettre en œuvre cette règle s’appliquent à votre environnement de sauvegarde au sens large et non à l’environnement de production. Le premier postulat visant à conserver 3 copies de sauvegarde distinctes d’une donnée à tout moment diminue en effet drastiquement le risque de perte des données de sauvegarde. Le risque, se transformant en cauchemar, pour tout administrateur de sauvegarde sain d’esprit réside dans le fait de perdre la totalité de ses copies [de sauvegarde].

Notre mantra nous invite également à stocker deux des trois copies de sauvegarde sur deux stockages secondaires différents. La sauvegarde sur disque, sur bande magnétique ou dans le nuage représentent des supports physiques différents. Si le nuage en question n’est pas celui de Casimir et de ses amis il n’en demeure pas moins une destination de stockage différente à part entière. Les données au final restent stockées non pas sur un support cotonneux mais bien sur un média physique de type disque dur en tout premier lieux. Le respect du point numéro 2 de notre mantra vise à utiliser des supports distincts et non différents. En résumé, un administrateur peut stocker deux copies de stockage sur une baie de stockage locale et dans le nuage tout en respectant celui-ci. En effet, si les deux supports de stockage sont identiques, ils restent distincts et indépendants l’un de l’autre.

En tout dernier lieu il convient de disposer à minima d’une copie de sauvegarde en dehors de l’entreprise. Le nuage représente un choix idoine en l’occurrence étant donné l’éloignement des différentes copies. Néanmoins, une externalisation d’une bande magnétique représente une alternative tout à fait valable. Si pour sauvegarder vos données vous disposez d’une baie stockage sur disque, dotée d’une technologie de réplication, alors cette option peut être discutable. En effet la réplication induit une forme d’interdépendance des deux unités.

Vous restez le maître à bord quant au fait de considérer un risque de perte de vos copies de sauvegarde.

Jouons maintenant que vous connaissez les règles

Quelle est la probabilité de perdre simultanément vos copies de sauvegarde ? Voilà une question qui doit vous faire désormais frissonner et à laquelle vous devez pouvoir répondre. Si vous avez appliqué à la lettre la routine, chaque évènement indésirable issu d’un sinistre chronique, physique ou environnemental, doit vous permettre de préserver au minimum 1 des 3 copies de sauvegarde. Cette indépendance entre les différentes copies de sauvegarde, induite par notre règle d’or, permet de multiplier chacune des probabilités. Un calcul du risque vous donnera une valeur plus réaliste. Néanmoins, prenons l’exemple suivant qui reste très simple à comprendre pour tout un chacun.

Trois dés à six faces permettent de comprendre ce principe de probabilités.

Chaque lancé de dé représente la probabilité de survenance d’un sinistre sur une copie de sauvegarde. Si le principe demeure aléatoire le calcul de probabilité reste valable. Ainsi, avec un seul dé, la chance d'obtenir par exemple au lancé le chiffre 4, est d'une chance sur six, soit 16,67 %. Si le chiffre 4 sort au dé : la copie est perdue.

Avec deux dés, la probabilité de perte simultanée des deux copies, et donc d’obtenir deux fois au tirage le chiffre 4 sur chaque dés, diminue en conséquence. La « chance » qui n’en est pas une de perdre deux copies diminue sensiblement à 2,77 %. On obtient ce résultat en multipliant les deux probabilités ensemble soit 16,67 % x 16,67 %.

En ajoutant un dé supplémentaire, et donc trois copies de sauvegarde, le cauchemar de tout administrateur se réduit comme peau de chagrin à 0,46 %.

Bien plus qu’un mantra, la Règle de sauvegarde 3-2-1 atténue sensiblement le risque de perte simultanée des données de sauvegarde. A vous de jouer maintenant !

La cybersécurité et le syndrome de la Ligne Maginot

Details

Category: Blog

Created: Wednesday, 08 February 2023 20:47

Hits: 3074

Si notre histoire est toujours riche d’enseignement, les cyberattaques continuelles visant à dérober et/ou altérer l’intégrité des données des entreprises s’avèrent souvent pernicieuses. Malgré de multiples mise en garde des autorités et des entreprises spécialisées dans la protection des données les cyberattaques se poursuivent avec des conséquences dramatiques sur le plan économique et social de leurs victimes. Je vous invite à consulter la carte en temps réel des menaces informatiques diffusée par Kaspersky. L’animation digne d’une boule à facette tournant au plafond lors d’une folle soirée disco vous donne le tournis et laisse présager néanmoins le pire pour vos très chères données.

En effet, un rapide tour de piste avec l’un des multiples attaquants vous fera vite comprendre qu’ils n’ont nullement l’intention de vous faire danser mais davantage de vous faire chanter.

Vous allez détester les karaokés

Si vous avez appliqué une stratégie de protection des données « digne de la Ligne Maginot » vous allez en effet très vite déchanter avec vos nouveaux amis. Pour la petite histoire, la France décide au courant des années 1930 d’édifier une fortification dans la partie Nord-Est et Sud-Est de son territoire. Cette construction militaire vise entre autre à protéger la France contre une attaque surprise de ses voisins allemands et italiens. Ce projet quelque peu pharaonique prévoit d’équiper ce dispositif complexe et de l’échelonner en profondeur sur différents niveaux de protection depuis la frontière. Afin de repousser les assaillants, on l’équipe de barbelés, de blockhaus, de rails antichars, de mitrailleuses lourdes et diverses pièces d’artillerie afin d’accueillir en fanfare les nouveaux arrivants indésirables. Tous ces éléments visent ainsi à garantir la sécurité périmétrique du territoire selon André Maginot. L’homme fort à l’origine de ce projet, Ministre de la guerre en 1929, juge la faiblesse du gouvernement français et se méfie de la « sécurité » toute relative offerte par le Traité de Versailles.

Quand on contourne la sécurité périmétrique

L’histoire ne lui donnera pas forcément raison et l’armée allemande infligera une défaite cuisante à la France en privilégiant son contournement. Parmi les trois groupes d’armée mobilisés pour l’invasion, le groupe d'armée B fait la différence. Il progresse à travers le Luxembourg, la Belgique, puis fonce, sans grande opposition, directement à travers les Ardennes dans une forêt prétendument impénétrable par les experts militaires de l’époque. Le 9 juin 1940 le vers est dans la pomme, la Ligne Maginot se retrouve isolée du reste de l’armée française et le comité d’accueil français est pris au dépourvu. De nos jours, la notion de sécurité périmétrique reste un sujet prégnant dans les entreprises et institutions publiques face à un envahisseur qui ne vous veut pas du bien. Dans l’inconscience collective, la cybersécurité s’appuie bien souvent davantage sur des outils indispensables et ancestraux tels que les pare-feu (Firewall) et antivirus au détriment d’autres solutions salvatrices. Demandez à n’importe quel dirigeant à quoi il associe la cybersécurité, en seulement deux mots, et vous observerez médusé une sorte de réflexe verbal pavlovien sur les priorités des outils à mettre en œuvre.

On associe à tort pare-feu et antivirus à la cybersécurité comme on le fait avec le chocolat et la crise de foie.

Des cybermenaces quelque peu atypiques

Des menaces bien plus sérieuses et pernicieuses ont pourtant vu le jour et les maîtres chanteurs en ont fait une affaire très, très lucrative, depuis plusieurs années. Agissant seuls, en bande organisée, à leur compte où mandatés par des tiers à la solde d’entreprises concurrentes voire même d’Etats, leurs motivations n‘ont d’égal qu’à la hauteur du chèque qu’ils vont empocher grâce aux rançongiciels (Ransomware).

Cette arme numérique affectant une entreprise vise à appliquer massivement un procédé de chiffrement cryptographique sur tout ou partie des données ciblées. Cette attaque affecte principalement non seulement l’intégrité des données mais également leur disponibilité et celle du système d’information. La confidentialité peut également être compromise par la divulgation (Data Leaks) à des tiers non autorisés des données collectées avant ce chiffrement un peu particulier. La prise d’otage numérique se poursuit généralement avec une demande de rançon, payable non pas en monnaie sonnante et trébuchante ou par chèque, mais au moyen d’une crypto monnaie si possible intraçable.

La confidentialité reste de mise mais surtout quand il s’agit de payer.

Evitez à tout prix le syndrome de la Ligne Maginot

Les outils de sécurité périmétrique indispensables à toute entreprise, là n’est pas le sujet, auront l’efficacité certaines d’un cataplasme sur une jambe de bois. Eviter le syndrome de la Ligne Maginot nécessite de disposer d’un plan alternatif face à notre groupe B de cybercriminels. En effet, les exigences en matière de sécurité du système d'information visent à garantir la disponibilité et la résilience des données en réponse aux sinistres. On définit trois facteurs critiques, applicables aux systèmes de gestion du système d'information (SMSI), visant à garantir simultanément les objectifs de sécurité des données :

• confidentialité
• intégrité
• disponibilité

La sécurité périmétrique ou préventive repose davantage sur un principe de prévention. Le but reste de complexifier le travail de l’attaquant sans pour autant éliminer totalement ses chances de succès à commettre son forfait. Si les outils se perfectionnent d’année en année, parfois à grand renfort d’IA, en gage de solution ultime, il reste toujours un maillon faible en entreprise : l’humain. En matière de gestion du risque, cette stratégie de sécurité informatique repose inéluctablement sur le principe d’atténuation. A défaut d’atteindre le risque zéro, l’arrière garde votre Ligne Maginot doit par conséquent se doter d’outils curatifs.

Il vous faut nécessairement compléter votre arsenal au moyen d’un plan B.

Quand le plan B vient à votre secours

Les actifs numériques de l'entreprise, autrement dits vos données, doivent mobiliser deux stratégies de sécurité dites préventives et curatives. Elles agissent à l’unisson pour atteindre les objectifs de sécurité des données. Sans rentrer dans une quelconque polémique sur leur innocuité et leur efficacité, les vaccins et les médicaments symbolisent parfaitement la mise en œuvre d’une stratégie préventive et curative. Les outils curatifs tels que la sauvegarde des données visent en effet à préserver l’intégrité et la disponibilité des données au moyen d’un processus de restauration. Une fois le sinistre avéré, ces mesures permettent en effet à l'entreprise de reprendre son activité sans pour autant devoir mettre la main à la poche, afin de récupérer ses données aux mains des ravisseurs revenus bredouilles de leur besogne.

La sauvegarde demeure la fondation de toute politique de protection des données et agit comme un dernier rempart.

Le respect des bonnes pratiques dans sa mise en œuvre, sans s’y limiter, avec la Règle de sauvegarde 3-2-1, renforcée par la Règle dite 3-2-1-1, reste un gage de récupération de vos données en toutes circonstances. Le périmètre de protection des données doit de nos jours tenir compte de la localisation physique des données à sauvegarder. En entreprise (On Premise) ou dans le nuage (Cloud), tout décideur soucieux de la santé de ses données ne doit plus se demander si une cyberattaque peut survenir mais quand. L’exode massif des données vers des services informatiques dans le nuage étendent notablement le périmètre d’attaque. Ces services regorgent de précieuses données et représentent des cibles de choix pour les cybercriminels attirés tels des ours par ces énormes pots de miel. Si des services de logiciels à la demande (Software –As-A-Service) proposent des mécanismes de protection des données aucune garantie n’est donnée quant au respect des niveaux de service requis par l’entreprise. Des solutions clé en main existent afin de sauvegarder les données Microsoft 365.

L’épineuse problématique de la souveraineté des données

Details

Category: Blog

Created: Monday, 06 February 2023 17:28

Hits: 3201

La première décennie du XXIe siècle a été marquée par l’avènement de l’informatique en nuage (Cloud Computing). Digne héritier des concepts de l’Utility Computing (1961), de l’Application Service Provider (ASP – 1996), du Grid Computing (1997), du Server Farm (2000) et enfin de la Virtualisation (2001), ce nouveau modèle a révolutionné la manière dont nous consommons et utilisons les services numériques. L’informatique en nuage est l’aboutissement logique d’une succession de technologies arrivées à maturité et de l’expansion globale de l’internet. L’apparition des principaux fournisseurs de services en nuage bat alors son plein dans un marché du cyberespace dépourvu de législation forte et contraignante en matière de protection des données. Seul le traité transnational Safe Harbor fixe les règles, en matière de transfert des données, en s’appuyant sur un simple mécanisme d’auto-certification pour les entreprises basées aux États-Unis.

Ces multinationales américaines, les GAFAM, vont très rapidement se retrouver en position dominante si ce n’est hégémonique en matière de services numériques dans le nuage. Selon Statista entre 2010 et 2019, elles vont ainsi bénéficier d’une croissance à trois chiffres à la faveur d’un flux continu de données migrées en provenance d’une myriade d’entreprises ou tout simplement collectées via les réseaux sociaux. L’invalidation en 2015 du Safe Harbor (Schrems I) sonne le réveil tardif du Vieux Continent.

Les lois en matière de protection des données évoluent moins vite que les lignes de code.

L’UE adopte l’année suivante le Règlement Général sur la Protection des Données (RGPD). Sa mise en application en mai 2018 talonne de peu le CLOUD Act, voté par le Congrès américain, quelques mois auparavant. Si le RGPD souhaite s’attaquer et intimider les GAFAM, son approche en matière de souveraineté numérique protège davantage les utilisateurs au détriment des autres entreprises de l’UE assujetties et sous le joug de nouvelles contraintes légales. Pour preuve les lourdes sanctions financières successives, pour non-respect du RGPD, prises notamment contre Facebook, le laisse de marbre et s’avèrent au final contre productives.

Quelques pistes vers la souveraineté des données

Avant d’aborder ces pistes de réflexion, les traités Safe Harbor et Privacy Shield visant successivement à légitimer les transferts des données vers les entreprises américaines ont tous deux fait l’objet d’une annulation. Les décisions de la CJUE, communément appelée « Shrems I » et « Schrems II », sont sans appel. Les « garanties données » en matière de stockage, de traitement et de confidentialité des données demeurent insuffisantes et incompatibles avec le niveau d’exigence requis au titre du RGPD. Par ailleurs, le CLOUD Act laisse planer un risque juridique important sur toute entreprise désireuse de confier ses données à un service en nuage proposé entre autre par les GAFAM. En effet la donnée, actif numérique de l’entreprise publique ou privée, reste assujettie au respect de différents modèles de conformité (SEC 17-a-4, HIPAA, SOX, BASEL II…). Une bonne gouvernance des données passe en effet par des mécanismes d’audibilité et de traçabilité des données. Qui accède à la donnée ? Par qui et quand a-t’elle été modifiée ? Sont autant de questions à se poser surtout si l’on confie la donnée à un tiers, soit-il de confiance.

Considérez la donnée comme votre propre enfant et vous ne la confierez plus à n’importe qui.

Bonne nouvelle ! La donnée est vivante

Par ailleurs une donnée, à l’instar d’un être de chair et de sang, est vivante. Plus précisément, son cycle de vie comporte quatre grandes phases :

• la génération : nécessite une collecte manuelle ou automatique de la donnée, conformément à la réglementation en vigueur, en vue d’être stockée pour une utilisation future,
• l’exploitation : désigne le traitement de la donnée, dotée d’une dynamicité et d’une valeur économique, stockée sur un support de stockage primaire. On parle généralement de donnée de production. Le traitement peut se faire au sein de l’entreprise avec la meilleure garantie de souveraineté possible. Elle peut cependant décider de transférer la donnée vers un tiers devenant alors le responsable du traitement au sens du RGPD. Les mesures de protection durant le transfert de la donnée restent à la charge ou non de l’entreprise. Les mesures de chiffrement cryptographique des données restent une option salutaire. Le responsable du traitement doit pour sa part respecter les objectifs de sécurité requis. La confidentialité, l’intégrité et la disponibilité de la donnée font partie intégrante du « cahier des charges ». Il doit idéalement proposer des outils d’audibilité et de traçabilité. Toutes ces mesures visent à garantir les meilleures pratiques en matière de bonne gouvernance des données.
• l’archivage : intervient à l’issue du ou d’un ensemble de traitements réalisés durant la phase d’exploitation. La donnée se fige, s’immobilise, devient statique et reste accessible en consultation à des fins réglementaires (archivage à valeur probante), historiques ou statistiques. La conservation de toute donnée sans valeur économique et dépourvue d’objectif, en somme inutile, demeure une mauvaise pratique. En l’absence de tri ou d’une réelle politique d’archivage on parle de « Dark Data ». D’ailleurs selon une étude de Veritas [1], ces données dormantes représentent jusqu’à 52% du volume total des données de l’entreprise. Les coûts croissants et hors de contrôle en matière de stockage interne ou au moyen d’un service en nuage peuvent alors être astronomiques.
• la purge : cet acte salvateur vise à supprimer physiquement la donnée en fin de vie de son support de stockage. Paix à son âme… Ce processus nécessaire afin d’éviter une explosion des volumes s’intègre au niveau de la politique d’archivage de l’entreprise ou du responsable du traitement. Certains modèles de conformité exigent par ailleurs que la donnée ne soit pas conservée au-delà d’un délai légal ou jugé raisonnable car l’entreprise peut justifier de son inutilité.

Une souveraineté de la donnée implique pour l’entreprise la parfaite maîtrise de ses actifs numériques tout au long de son cycle de vie.

Souverain rime souvent avec régalien

La souveraineté des données pose un problème épineux aux États, aux entreprises voire par répercussion aux citoyens sur leurs libertés individuelles. L’émergence de ces multinationales pas comme les autres, les GAFAM, dotées de capacité financières à faire pâlir certains États, les fragilise dans certaines de leurs fonctions régaliennes. Nous pouvons citer encore une fois Facebook qui a tenté de frapper monnaie au moyen de sa crypto monnaie baptisée Libra. Par ailleurs, le retard technologique de l’Europe ou l’avancée incontestable des États-Unis dans les domaines de l’informatique en nuage ou de l’intelligence artificielle conduit certains États, ou pays dits développés comme la France, à pactiser avec le Diable. Le recours en 2016 à la société américaine Palantir afin d’équiper la Direction Générale des Services de l’Intérieur (DGSI) ou encore de confier en 2019 les données de santé des citoyens français à l’entreprise Microsoft, dans le cadre du Health Data Hub, sont les deux exemples les plus cinglants.

Ces choix plus que discutables, compte-tenu du caractère sensible ou stratégique des données, marquent une forme de vassalité numérique des États envers des multinationales privées étrangères.

Balle au centre

On peut néanmoins souligner la doctrine de l’État français avec sa doctrine du « Cloud au centre » [de l’Etat] avec comme prérequis, le « label » SecNumCloud dans l’obtention d’un Cloud de confiance. Cette notion vise à répondre au problème de la loi extraterritoriale posée par le CLOUD Act. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) est en charge de la certification SecNumCloud rendant indépendant les prestataires du CLOUD Act. Cependant, cette doctrine ne peut avoir du sens qu’avec l’émergence d’un écosystème d’entreprises, désireuses d’accéder au Saint Graal, disposant d’un portfolio de solutions et services suffisamment attractifs et variés afin de réduire la captation des données par les GAFAM.

Le Cloud de confiance en est-il vraiment digne au final ?

Par forcément ! Tout dépend de ce que l’on entend par solution souveraine… Orange et CapGemini jettent en effet un sérieux doute avec leur offre Cloud de confiance. En effet, les deux protagonistes s’associent autour d’une offre commune baptisée « Bleu ». Sûrement une histoire de couleur vous allez me dire. On apprend qu’elle sera disponible à compter de 2024 avec une offre de services en nuage élaborée autour des services Microsoft Azure et Microsoft 365. Rassurons-nous les données seront hébergées exclusivement en France... mais elles restent donc assujetties au CLOUD Act. Comment peut-on établir une offre de confiance non-souveraine ? L’annulation successive par la CJUE de deux traités transnationaux établis ; faut-il le reconnaître ; sur la base d’une confiance mutuelle rend cette question parfaitement légitime. Les législations évoluent certes lentement mais elles s’appliquent toujours.

Cette offre illustre parfaitement l’ambigüité et l’absence de volonté politique, entretenues par le gouvernement français, entre les notions de Cloud de confiance, celle retenue, et Cloud souverain, celle attendue.

En conclusion, une cartographie des données sensibles et stratégiques, assurant les services régaliens de l’entreprise, demeure toujours un pré requis indispensable. Une migration éventuelle de ces données expose l’entreprise ou les États à des risques si les prestataires, en leur qualité de responsable du traitement, restent sous la coupe d’une loi extraterritoriale telle que le CLOUD Act.