Cloud de confiance : comprendre les enjeux pour faire les bons choix
8 minutes
Les clouds publics — AWS, Azure, GCP… — font partie de notre quotidien. Ils ont permis à énormément d’organisations d’aller vite, de scaler et d’innover.
Pourtant, ces derniers temps, le terme cloud de confiance commence à s’imposer : dans les appels d’offres, dans les échanges avec nos clients… Un mouvement qui s’accélère, reflet d’un contexte mondial tendu.
Alors, on a pris une pause pour discuter !
Qu’est-ce qu’un cloud de confiance ? Que se cache-t-il derrière ce terme ? Et surtout, quand est-ce que ça a du sens ?
Voici ce qui est ressorti de cet échange et de nos expériences, avec Marwa, ingénieure DevOps & Data, et Onur, ingénieur DevOps & Cloud chez INOCO.
Pourquoi ce sujet revient-il autant sur la table ?
Depuis des années, les grandes plateformes publiques – AWS, Azure, GCP – se sont imposées comme des standards. Performantes, flexibles, riches fonctionnellement, elles ont permis à des milliers d’organisations d’accélérer leur transformation numérique.
Mais en parallèle, la sensibilité des données traitées a explosé : données de santé, données financières, données citoyennes, données stratégiques. Et avec elle, les inquiétudes.
Réglementation européenne, RGPD, lois extra-européennes, risques juridiques, dépendance aux géants américains… autant de sujets qui ont fait émerger une question centrale : peut-on réellement garder le contrôle de ses données dans le cloud ?
« Aujourd’hui, ce n’est plus seulement un sujet technique. On parle de souveraineté, de lois, de risques juridiques. » – Marwa
Où les données sont-elles hébergées ?
Qui peut y accéder ?
Sous quelles lois ?
Un cloud de confiance, ce n’est pas “juste” un cloud plus sécurisé.
Un cloud de confiance n’est pas qu’un cloud « plus sécurisé ». C’est un cloud qui répond à des exigences renforcées, à la fois :
des exigences techniques (chiffrement, isolation, traçabilité),
une gouvernance claire des données (qui accède à quoi, quand et pourquoi),
et surtout un cadre juridique maîtrisé, notamment vis-à-vis des lois extra-européennes.
En France, cette notion est régie par le référentiel SecNumCloud, porté par l’ANSSI.
C’est ce socle d’exigences qui permet de qualifier un fournisseur comme « cloud de confiance".*
*https://cyber.gouv.fr/enjeux-technologiques/cloud/
AWS, GCP, Azure… ne sont-ils pas sécurisés ?
Oui et non, Onur nous explique :
“Aux États-Unis, il existe une loi appelée le Cloud Act, qui permet au gouvernement américain de demander l’accès aux données détenues par des entreprises américaines, y compris lorsque ces données sont hébergées hors du territoire américain.
Concrètement, même si une entreprise utilise AWS ou Google Cloud avec des data centers situés en Europe, et même si ces données sont soumises au RGPD, cela peut créer un conflit juridique. Les fournisseurs de cloud américains restent soumis au droit américain, ce qui signifie qu’ils pourraient, en théorie, être contraints de transmettre certaines données aux autorités américaines.
À ce jour, aucun cas avéré de transmission de données européennes au titre du Cloud Act n’a été rendu public. Il y a déjà eu des tensions et des désaccords entre les autorités américaines et les cloud providers, qui ont jusqu’ici résisté à ces demandes. Néanmoins, cette loi existe, et son existence seule soulève des enjeux de sécurité, de conformité et de souveraineté des données, en particulier pour les organisations manipulant des données sensibles.” Onur
Prendre la décision d’utiliser une de ces entités, c’est décider de leur faire confiance.
Cloud public vs cloud de confiance : une vraie opposition ?
« Si aujourd’hui tout le monde est encore massivement sur AWS ou GCP, ce n’est pas un hasard. Ils ont de l’avance, de la maturité, et un écosystème énorme. » – Marwa
Les hyperscalers ont des avantages évidents :
performances,
flexibilité,
richesse fonctionnelle,
disponibilité des compétences,
coûts souvent plus attractifs à court terme.
À l’inverse, les Clouds de confiance sont :
plus récents,
souvent plus chers,
parfois plus contraignants,
et adressent des cas d’usage très ciblés.
« D’ailleurs, la plupart des clouds de confiance s’appuient quand même sur des technos d’hyperscalers. Ils ajoutent une couche de gouvernance et de sécurité par-dessus. » – Onur
La réalité est donc plus nuancée qu’un simple “l’un contre l’autre”.
Alors, dans quels cas utiliser quel cloud ?
Données sensibles –> cloud de confiance
« Dès que tu as des données vraiment sensibles et que tu veux garder un contrôle total, la question ne se pose presque plus. » – Onur
Un cloud de confiance doit être envisagé lorsque :
les données sont critiques ou hautement sensibles,
les enjeux réglementaires sont forts (santé, finance, secteur public…),
la gouvernance et l’auditabilité sont des prérequis,
Le risque juridique est aussi important que le risque technique.
À l’inverse, pour des besoins plus classiques, des données peu sensibles ou des projets nécessitant beaucoup d’agilité, le cloud public reste parfaitement pertinent.
Le cas Doctolib
Par exemple, Doctolib a fait le choix d’héberger ses données et ses start-up sur AWS. Ce type de décision peut susciter des débats, car il s’agit de données de santé sensibles pour des millions de Français.*
Le risque, même s’il reste théorique aujourd’hui, est qu’un jour les autorités américaines puissent tenter d’accéder à ces données via le cadre juridique du Cloud Act. Un tel scénario provoquerait évidemment une grosse polémique, compte tenu des enjeux de confidentialité et de souveraineté.
Donc, lorsqu’une entreprise confie ses données à un fournisseur, elle accepte qu’une entité tierce en assure la gestion et la protection. C’est une étape souvent délicate pour les organisations, car, à un moment donné, il devient inévitable de faire confiance à un acteur externe pour héberger et sécuriser des données critiques.
‘’C'est toujours cette question qui pose un problème aux entreprises qui décident de se lancer. Trancher entre les avantages des hyperscalers et la sécurité des clouds de confiance.’’ Onur
Réduire les risques et coûts : mettre en place un cloud hybride.
« On voit de plus en plus de modèles hybrides. Tout ne va pas forcément sur un seul cloud. » – Onur
Admettons que nous soyons une entreprise dans la santé, nous pourrions imaginer utiliser AWS pour héberger les outils internes, les environnements de test et les algorithmes d’analyse, qui ne contiennent aucune données personnelles.
En parallèle, stocker et traiter toutes les données patients sur un cloud de confiance européen, certifié pour l’hébergement de données de santé.
Une approche hybride qui gagne en traction car elle permet d’allier agilité, performance et conformité réglementaire. À l’avenir, nous pensons que ce type d’architecture devrait se mutualiser et se standardiser davantage.
Les vrais enjeux pour les équipes IT :
On pourrait penser que le principal défi est technologique. En réalité, ce n’est pas le plus complexe.
Les briques cloud se ressemblent beaucoup d’un fournisseur à l’autre. Quand on maîtrise les fondamentaux, on retrouve une colonne vertébrale commune.
« Quand tu maîtrises un cloud, tu retrouves beaucoup de choses ailleurs. Les concepts restent les mêmes. » – Marwa
Les vrais enjeux se situent plutôt sur :
Comprendre la gouvernance des données
Savoir précisément :
où sont stockées les données,
qui peut y accéder,
comment elles sont utilisées,
et dans quel cadre légal.
Connaître et intégrer du juridique dans les choix techniques
Les lois, les référentiels, les certifications doivent influencer les choix d’infrastructure.
Former et sensibiliser ses équipes
Comprendre des référentiels comme SecNumCloud, connaître les limites des clouds publics, savoir évaluer les risques : ça ne s’improvise pas.
« Les décisions IT ne sont plus uniquement techniques. Le juridique fait partie de l’architecture. Même avec les meilleures pratiques côté équipe, si le provider ne respecte pas ses engagements, les normes ISO, tu n’as aucun pouvoir pour savoir comment tes données sont gérées : tu perds le contrôle.
Selon moi, les premiers enjeux de formation sont la maîtrise des exigences du référentiel SecNumCloud et la compréhension de la gouvernance des données sensibles, pour être capable de juger et conseiller au mieux les choix d’architecture d’un projet. » — Marwa
Ce qu’on retient, chez INOCO
Cette discussion nous a surtout rappelé une chose : il n’y a pas de réponse unique.
Le bon choix dépend toujours :
du contexte,
de la sensibilité des données,
des contraintes réglementaires,
et des objectifs du projet.
Notre rôle, ce n’est pas de pousser une solution par défaut. C’est de poser les bonnes questions, de comprendre les enjeux techniques et juridiques, et d’aider à faire des choix éclairés.
Et surtout, de prendre le temps d’en parler. Ensemble. Parce que c’est souvent en partageant ses connaissances que naissent les décisions les plus justes.
