Il y a quelques années, la souveraineté numérique était principalement considérée comme une question de conformité. Il suffisait généralement de stocker les données dans la bonne zone géographique, de respecter les exigences réglementaires applicables et de répondre à quelques questions d’audit pour être en règle. Ce n’est plus le cas.
Aujourd’hui, la souveraineté fait l’objet de discussions au sein des conseils d’administration. Les gouvernements réécrivent leurs politiques. Les autorités de régulation renforcent leur surveillance. Et les dirigeants d’entreprise commencent à prendre conscience que la souveraineté ne se résume pas à la localisation des données : elle concerne la manière dont les organisations continuent de fonctionner lorsque les hypothèses géopolitiques, juridiques ou opérationnelles changent soudainement.
Dans le premier épisode de notre série STRIVE consacrée à la souveraineté numérique, j’ai rencontré Max Mortillaro, cofondateur et directeur de recherche chez Osmium Data Group. Ensemble, nous avons analysé ce que recouvre réellement la notion de souveraineté, les raisons pour lesquelles le débat s’est intensifié si rapidement, et les principaux écueils auxquels les organisations risquent de se heurter. Regardez l’épisode dans son intégralité.
Points clés à retenir
- La souveraineté numérique n’est plus seulement une question de conformité : c’est désormais un enjeu de résilience et de continuité d’activité.
- L’emplacement des données n’est qu’une pièce du puzzle. La juridiction, les opérations, les dépendances technologiques et la gouvernance jouent toutes un rôle important.
- De nombreuses organisations se concentrent sur les contrôles techniques avant même d’avoir cerné le problème métier qu’elles cherchent à résoudre.
- Les incertitudes géopolitiques accélèrent la mise en place d’initiatives en faveur de la souveraineté, notamment en Europe.
- Il n’existe pas d’environnement parfaitement souverain. Chaque organisation doit trouver un juste équilibre entre les risques, les coûts et les exigences opérationnelles.
Pourquoi la localisation des données n’est pas le seul critère à prendre en compte
L’une des idées reçues les plus courantes concernant la souveraineté numérique est qu’elle se limite strictement à la géographie. Selon ce raisonnement, si les données sont stockées dans un centre de données local, le problème de souveraineté est résolu. C’est une hypothèse tout à fait compréhensible. Après tout, bon nombre des premières discussions sur la souveraineté portaient principalement sur les exigences en matière de résidence des données et sur les lieux où les informations pouvaient légalement être stockées.
Mais comme le souligne Max au cours de notre discussion, ce n’est là qu’une dimension d’un défi bien plus vaste. La souveraineté ne se résume pas simplement à l’emplacement d’un centre de données. Elle concerne également qui l’exploite, quelles lois s’y appliquent, qui y a accès et quelles dépendances existent en coulisses.
Un service « cloud » peut être physiquement implanté dans un pays donné, mais cela ne signifie pas pour autant qu’il soit à l’abri d’influences juridiques, opérationnelles ou technologiques provenant d’ailleurs. C’est là que la discussion se complique considérablement.
Les dépendances cachées que la plupart des organisations négligent
Lorsque les organisations commencent à s’intéresser à la souveraineté, elles l’abordent souvent comme un projet technologique. Elles évaluent les sites d’hébergement. Elles analysent les stratégies de réplication. Elles examinent où les charges de travail doivent être exécutées. Ces discussions sont importantes, mais elles peuvent aussi donner un faux sentiment de confiance.
Comme l’explique Max, les environnements technologiques modernes reposent sur plusieurs couches de dépendances qui ne sont pas toujours visibles. Un service peut sembler local à première vue, mais il peut en réalité s’appuyer sur une infrastructure, des systèmes de gestion, des services de télémétrie ou des contrôles opérationnels situés ailleurs.
C’est pourquoi la souveraineté n’est pas simplement une question de localisation. C’est une question d’influence. Qui contrôle en dernier ressort le service ? Quelle est la juridiction compétente en cas de litige ? Que se passe-t-il si des tensions géopolitiques entraînent de nouvelles restrictions, réglementations ou limitations d’accès ? Ce ne sont plus des questions hypothétiques. Elles font désormais partie intégrante des évaluations des risques dans le monde réel.
Aperçu : la souveraineté ne se résume pas à un simple problème technique
Dans cet extrait de la conversation, Max explique pourquoi les organisations abordent souvent la question de la souveraineté sous le mauvais angle – et pourquoi la compréhension des objectifs juridiques, opérationnels et commerciaux doit précéder toute décision technologique.
Pourquoi l’Europe est au cœur du débat
L’un des aspects les plus intéressants de notre débat porte sur les raisons pour lesquelles la souveraineté est devenue un sujet aussi central dans toute l’Europe. La réponse ne réside pas seulement dans la réglementation ; elle réside dans la dépendance. Les organisations européennes ont pris de plus en plus conscience que bon nombre des technologies dont elles dépendent au quotidien sont détenues, exploitées ou régies en dehors de leur contrôle direct. Pendant des années, cette réalité a été largement acceptée comme faisant partie intégrante de l’écosystème technologique mondial.
Aujourd’hui, cette hypothèse fait l’objet d’une réévaluation. Les tensions géopolitiques, l’évolution de la réglementation et les préoccupations croissantes concernant l’autonomie stratégique ont fait de la souveraineté une priorité de plus en plus importante, tant pour les gouvernements que pour les entreprises. Ce qui était autrefois considéré comme un cas marginal est désormais devenu une préoccupation majeure pour les entreprises. Il en résulte une prise de conscience croissante du fait que la résilience ne se limite pas à la capacité à se remettre de défaillances techniques. Elle consiste également à comprendre et à gérer les dépendances externes avant qu’elles ne se traduisent par des perturbations de l’activité.
La souveraineté et la résilience s’inscrivent dans un même débat
L’un des thèmes qui reviendra régulièrement tout au long de la discussion est le lien étroit qui existe entre souveraineté et résilience. À première vue, elles peuvent sembler être des disciplines distinctes. L’une se concentre sur la gouvernance, la réglementation et le contrôle. L’autre se concentre sur la reprise (Recovery), la continuité (Continuity) et la préparation (Readiness).
Dans la pratique, ces deux aspects sont étroitement liés. Si une entreprise ne peut pas accéder à ses systèmes essentiels en raison d’un événement géopolitique, d’une restriction réglementaire ou d’une dépendance vis-à-vis d’un tiers, les conséquences ne sont pas très différentes de celles des autres perturbations auxquelles les organisations se préparent depuis des années.
L’entreprise doit continuer à fonctionner. Les clients doivent continuer à être servis. Recovery doit tout de même avoir lieu. C’est pourquoi j’en viens de plus en plus à considérer la souveraineté sous le même angle que la cyber-résilience. Dans les deux cas, il s’agit avant tout de réduire l’exposition aux événements susceptibles de perturber les opérations et de préparer l’organisation à poursuivre son fonctionnement lorsque ces événements se produisent.
Commencez par identifier le problème métier
Le conseil le plus pratique que donne Max est peut-être aussi le plus simple. Avant d’évaluer les offres de cloud souverain, avant de faire appel à des prestataires et avant de débattre des architectures techniques, les organisations doivent d’abord bien cerner le problème qu’elles cherchent à résoudre. Cela implique de comprendre :
- Quels sont les processus métier les plus critiques ?
- Quelles sont les ressources de données les plus importantes ?
- Quelles sont les exigences réglementaires applicables ?
- Quels sont les risques qui sont réellement atténués ?
Ce n’est qu’une fois ces questions résolues qu’il est pertinent d’évaluer les différentes options technologiques. Trop souvent, les organisations partent des solutions et remontent ensuite vers le problème. La souveraineté exige l’approche inverse. La stratégie doit venir en premier. Voici l’architecture.
Pourquoi il n’y a pas de réponse parfaite
L’une des réalités que les dirigeants doivent accepter est qu’il n’existe pas d’environnement parfaitement souverain. Chaque organisation évolue au sein d’un réseau de dépendances. Chaque choix technologique implique des compromis. Chaque décision en matière de risque nécessite de trouver un équilibre entre les exigences opérationnelles, les obligations de conformité, les considérations de coût et les résultats commerciaux.
L’objectif n’est pas la perfection. L’objectif est de bien comprendre ces compromis afin de prendre des décisions éclairées. Les organisations qui abordent la souveraineté comme une question binaire (oui ou non) se heurtent souvent à des difficultés. Celles qui l’abordent comme un exercice de gestion des risques ont tendance à obtenir de meilleurs résultats.
Pourquoi cette discussion est-elle importante ?
La souveraineté numérique est en train de passer rapidement du statut de sujet de conformité marginal à celui d’enjeu stratégique pour les entreprises. Les conseils d’administration posent des questions. Les autorités de régulation renforcent leur surveillance. Les clients sont de plus en plus conscients de l’endroit où sont stockées leurs données et de qui les contrôle. Parallèlement, les incertitudes géopolitiques continuent de redéfinir la manière dont les organisations appréhendent le risque. Cela ne signifie pas pour autant que toutes les entreprises doivent opérer dès demain une transformation radicale en matière de souveraineté.
Mais cela signifie que les organisations qui commencent dès aujourd’hui à élaborer une stratégie claire se trouveront dans une position bien plus solide que celles qui attendront que le débat devienne inévitable. La souveraineté n’est pas un choix technologique déguisé en problème commercial. Il s’agit d’un véritable problème commercial qui nécessite la coordination de décisions juridiques, opérationnelles et techniques.
Regardez l’épisode dans son intégralité
Dans cet épisode, Max et moi abordons les thèmes suivants :
- Ce que signifie réellement la souveraineté numérique.
- Pourquoi la localisation des données ne suffit pas à elle seule.
- Les aspects juridiques et opérationnels que les organisations ont souvent tendance à négliger.
- Comment les évolutions géopolitiques influencent les stratégies de souveraineté.
- Pourquoi la souveraineté et la résilience deviennent indissociables.
FAQ
Q : Qu’est-ce que la souveraineté numérique ?
R : La souveraineté numérique désigne la capacité d’une organisation à garder le contrôle de ses données, de ses technologies, de ses opérations et de sa gouvernance dans le cadre de limites juridiques et juridictionnelles spécifiques.
Q : La souveraineté numérique est-elle la même chose que la localisation des données ?
R : Non. La localisation des données est l’un des aspects de la souveraineté, mais celle-ci englobe également la compétence juridictionnelle, le contrôle opérationnel, les dépendances technologiques et la gouvernance.
Q : Pourquoi la souveraineté numérique a-t-elle pris de l’importance ces derniers temps ?
R : L’incertitude géopolitique croissante, l’évolution de la réglementation et les inquiétudes grandissantes concernant la dépendance vis-à-vis des technologies ont renforcé l’intérêt pour les initiatives en matière de souveraineté.
Q : Quelle est la plus grande erreur commise par les organisations ?
R : Considérer la souveraineté comme un simple défi technique plutôt que comme un enjeu plus large lié aux risques d’entreprise et à la résilience.
Q : Quel est le lien entre la souveraineté et la cyber-résilience ?
R : Ces deux disciplines visent à assurer la continuité des opérations face à des perturbations, qu’elles soient d’ordre technique, juridique, géopolitique ou réglementaire.
Q : Par où les organisations devraient-elles commencer ?
R : Commencez par identifier les résultats commerciaux que vous cherchez à protéger, les risques que vous souhaitez atténuer, ainsi que les données et les processus les plus essentiels à votre activité.
Alex Zinin est vice-président et directeur général de la division « Fournisseurs de services gérés » chez Commvault.
