Points clés à retenir
- La souveraineté minimale viable (MVS) consiste à appliquer le niveau de contrôle adéquat aux charges de travail concernées.
- Traiter toutes les charges de travail de la même manière peut entraîner une complexité et des coûts inutiles, ou une protection insuffisante.
- Les organisations se répartissent généralement en trois profils de souveraineté : les entités véritablement souveraines, les entreprises réglementées et les environnements hybrides multicloud.
- Assurer une gouvernance cohérente dans des environnements mixtes constitue l’un des principaux défis opérationnels.
Il existe une version du débat sur la souveraineté numérique qui conduit les organisations vers une solution coûteuse, lourde sur le plan opérationnel et – soyons honnêtes – allant bien au-delà de ce qu’exigent leurs obligations réelles. La « souveraineté maximale » semble être une approche responsable. En pratique, il s’agit souvent d’un mauvais dosage.
Il existe une autre approche tout aussi courante qui conduit à une situation dangereusement précaire : des contrôles qui cochent toutes les cases d’une liste de contrôle, mais qui ne résisteraient pas à un audit, à un incident ou à un régulateur qui ne se contente plus d’une intention documentée comme preuve d’un contrôle effectif.
Les organisations qui gèrent correctement leur souveraineté ont tendance à adopter une approche plus rigoureuse et plus pratique que ces deux extrêmes : elles se demandent ce qu’elles doivent réellement, à qui et dans quel but. Elles s’organisent ensuite selon cette norme – ni plus, ni moins.
C’est là la discipline du MVS, présentée dans le rapport « Digital Sovereignty Readiness Report » et développée en détail ici.
Le MVS n’est pas un raccourci. C’est la reconnaissance que l’objectif est le bon niveau de contrôle, appliqué de manière cohérente à toutes les charges de travail qui le nécessitent.
Toutes les charges de travail ne se valent pas
Le point de départ d’une approche MVS est la classification des charges de travail – et la plupart des organisations l’ignorent complètement.
Un système de négociation traitant des données financières réglementées implique des obligations de souveraineté fondamentalement différentes de celles d’un outil interne de collaboration RH. Une base de données contenant des données à caractère personnel de citoyens de l’UE est soumise à un régime juridique et réglementaire différent de celui d’un environnement de développement exécutant des données de test anonymisées.
Traiter toutes ces charges de travail de la même manière – soit en appliquant systématiquement des contrôles de souveraineté maximaux, soit en partant du principe qu’un modèle de déploiement unique couvre tous les cas de figure – conduit les organisations soit à une architecture surdimensionnée, soit à une protection insuffisante.
La bonne question à se poser avant toute décision de déploiement est la suivante : quels sont les besoins de cette charge de travail au regard de chacun des quatre piliers de la souveraineté ? Le rapport Readiness comprend une auto-évaluation structurée autour de cette question précise.
Les trois profils – et ce dont ils ont réellement besoin
Les entreprises soumises à une réglementation se répartissent en trois profils distincts, chacun ayant des motivations principales et des priorités d’investissement différentes.
- Le véritable défenseur de la souveraineté. Les agences gouvernementales, les sous-traitants du secteur de la défense et les opérateurs d’infrastructures nationales critiques. Pour ces organisations, la souveraineté n’est pas une simple exigence de conformité : c’est un impératif opérationnel. Un contrôle maximal sur chaque dimension de la pile technologique est souvent imposé par la loi, et les compromis en termes de coûts sont acceptés car l’alternative ne l’est pas.
- L’organisation réglementée. Les sociétés de services financiers, les organismes de santé, les entreprises du secteur de l’énergie. Ces organisations sont soumises à des exigences contraignantes découlant de la DORA, de la directive NIS2, du RGPD et de cadres réglementaires spécifiques à leur secteur. Les obligations de conformité peuvent également s’inscrire dans le cadre de programmes de certification de l’UE – notamment EUCS, EUCC, BSI C5 et SecNumCloud – en fonction du secteur et du contexte de déploiement.
Ces exigences sont non négociables dans certains domaines – notamment en matière de résidence des données, de contrôles d’accès opérationnels et de Recovery dans les limites juridictionnelles. Mais toutes les charges de travail ne sont pas soumises aux mêmes obligations.
- L’organisation hybride multi-cloud. Les organisations ayant déjà investi dans des hyperscalers et confrontées à une pression croissante en matière de souveraineté de la part des clients, des régulateurs ou des exigences d’approvisionnement. Leur défi ne réside pas dans une migration en bloc, mais dans la mise en place de contrôles souverains au sein d’un environnement mixte et le maintien d’une gouvernance cohérente à l’échelle de celui-ci.
Le coût d’un mauvais équilibre
Une approche excessive de la souveraineté engendre ses propres risques opérationnels. Les organisations qui appliquent un maximum de contrôles souverains à des charges de travail qui n’en ont pas besoin supportent des coûts et une complexité qui ne servent aucun objectif réglementaire ou commercial.
La sous-ingénierie est le mode de défaillance le plus courant, et le plus dangereux. Elle ne se révèle généralement qu’au moment de l’audit – ou, plus grave encore, lorsqu’un incident survient et que Recovery devient un problème soumis à des contraintes juridiques. (Ce mode de défaillance fait l’objet du quatrième article de cette série.)
Un point de départ pratique
Une approche MVS suit trois étapes :
- Classez les charges de travail en fonction de leurs exigences réelles en matière de souveraineté pour chaque pilier – ne partez pas des modèles de déploiement.
- Associez chaque catégorie de charge de travail au niveau de déploiement qui répond à ces exigences, sur l’ensemble du spectre allant des régions des hyperscalers publics au cloud public souverain, en passant par les environnements gérés sur site.
- Gérez de manière cohérente l’environnement mixte ainsi constitué : les contrôles, les preuves d’audit et les capacités de Recovery doivent être démontrables dans l’ensemble de l’environnement, et pas seulement au niveau le plus souverain.
C’est à la troisième étape que la plupart des programmes rencontrent des difficultés. Le maintien de contrôles de souveraineté cohérents dans un environnement mixte constitue un défi de gouvernance opérationnelle – et relève plus particulièrement du domaine de la souveraineté opérationnelle –, sujet du troisième article de cette série, le pilier que la plupart des stratégies traitent comme une considération secondaire.
Utilisez l’auto-évaluation du Rapport sur l’état de préparation à la souveraineté numérique pour évaluer votre situation actuelle sur l’ensemble des quatre piliers.
FAQ
Q :
Qu’est-ce que la souveraineté minimale viable (SMV) ?
R : La MVS consiste à mettre en œuvre des contrôles de souveraineté en fonction des besoins réels de l’entreprise et des exigences réglementaires. Elle vise à éviter à la fois une ingénierie excessive et une protection insuffisante.
Q : Pourquoi la classification des charges de travail est-elle importante ?
R : Les différentes charges de travail entraînent des obligations réglementaires et opérationnelles différentes. La classification des charges de travail aide les organisations à appliquer le niveau approprié de contrôles de souveraineté.
Q : Quels sont les trois profils de souveraineté courants ?
R : Les trois profils sont les organisations pleinement souveraines, les organisations réglementées et les organisations hybrides multicloud. Chacun d’entre eux présente des exigences opérationnelles et de conformité distinctes.
Q : Quels sont les risques liés à une conception trop complexe de la souveraineté ?
R : Des contrôles excessifs peuvent accroître la complexité opérationnelle et les coûts sans pour autant apporter de valeur ajoutée significative en matière de conformité ou d’activité.
Q : Pourquoi les environnements mixtes posent-ils des défis en matière de gouvernance ?
R : Les organisations opèrent souvent sur plusieurs modèles de cloud et d’infrastructure. Il est difficile de maintenir des contrôles, des preuves d’audit et des normes de Recovery cohérentes dans tous les environnements.
Ruben Renders est directeur des solutions MSP chez Commvault.
