Points clés à retenir
- La souveraineté opérationnelle concerne les personnes autorisées à accéder aux systèmes et les juridictions dont relèvent ces derniers.
- L’accès des fournisseurs, les flux de télémétrie et les canaux d’assistance peuvent créer des failles cachées en matière de souveraineté.
- La souveraineté opérationnelle est plus difficile à certifier, car elle nécessite une visibilité et un contrôle permanents.
- Les organisations doivent être en mesure de démontrer et de documenter chaque voie d’accès aux environnements souverains.
Demandez à la plupart des organisations où réside la principale force de leur programme de souveraineté, et la réponse portera généralement sur l’une ou l’autre de ces deux notions : la localisation des données et le chiffrement. Elles savent où se trouvent leurs données principales. Elles ont mis en place des dispositifs de « bring-your-own-key » (apportez votre propre clé) ou de « hold-your-own-key » (conservez votre propre clé). Elles peuvent présenter des certifications.
Demandez-leur qui a accédé à leur environnement souverain au cours des quatre-vingt-dix derniers jours, depuis quels pays et sous quelles juridictions – et la confiance a tendance à s’évaporer. La souveraineté opérationnelle est le pilier le plus difficile à auditer, le plus susceptible d’être sous-estimé, et le domaine où, le plus souvent, une posture de souveraineté qui semble solide sur le papier s’effondre dans la pratique. Le rapport « Digital Sovereignty Readiness Report » la désigne comme l’un des quatre piliers – cet article va plus loin. La question à laquelle la plupart des organisations ne peuvent pas répondre : « Qui a accédé à votre environnement souverain au cours des 90 derniers jours, depuis quels pays et sous quelles juridictions ? »
Ce que signifie réellement la « souveraineté opérationnelle »
La souveraineté opérationnelle ne dépend pas de l’emplacement des données. Elle dépend de qui gère l’environnement – et de qui y a accès. Elle recouvre trois aspects que la plupart des programmes de souveraineté traitent comme des détails de mise en œuvre plutôt que comme des enjeux prioritaires :
- Accès du personnel et juridiction. Toute personne ayant accès à votre environnement souverain – que ce soit à des fins d’assistance, de maintenance, de surveillance ou de gestion des incidents – relève d’une juridiction légale bien définie. Si un ingénieur d’assistance basé dans un pays soumis à une législation étrangère en matière d’accès aux données peut accéder à vos systèmes, la souveraineté de votre infrastructure n’est pas plus solide que ne l’est la protection juridique dont bénéficie cet ingénieur.
La plupart des organisations, lorsqu’elles procèdent à un audit de ce type pour la première fois, découvrent au moins un parcours d’accompagnement qui franchit une frontière territoriale qu’elles n’avaient pas répertoriée.
- Accès des tiers et des fournisseurs. La limite de votre souveraineté s’étend à tous les fournisseurs, prestataires de services gérés et plateformes logicielles ayant accès à votre environnement souverain. Plateformes ITSM, outils de surveillance, systèmes SIEM : si ceux-ci se situent en dehors de la limite de votre souveraineté mais ont accès à des données ou métadonnées qui s’y trouvent, il existe une faille que les contrôles de localisation des données ne peuvent combler.
- Télémétrie, facturation et trafic du plan de contrôle. Les programmes de souveraineté des données se concentrent sur les données primaires. La souveraineté opérationnelle nécessite de cartographier la destination de toutes les autres données : la télémétrie générée par votre infrastructure, les métadonnées collectées par vos systèmes de surveillance, les données de facturation traitées par votre fournisseur. Ces flux peuvent franchir les frontières juridictionnelles même lorsque les données primaires ne le font pas – et ils sont rarement cartographiés.
Pourquoi ce pilier est-il plus difficile à certifier – et pourquoi est-ce important ?
La localisation des données est relativement simple à documenter. Vous pouvez citer une région de stockage, un accord de résidence des données, un audit réalisé par un tiers. La souveraineté opérationnelle ne dispose pas de la même trace écrite. Il n’existe aucune certification garantissant le statut juridictionnel de chaque ingénieur de support susceptible d’accéder à votre environnement.
C’est précisément ce qui en fait à la fois le pilier le plus difficile à auditer et le plus important à mettre en place correctement. Cela est également directement lié au défi de la « souveraineté minimale viable » : pour appliquer les contrôles opérationnels adaptés aux charges de travail concernées, il faut savoir en quoi consistent ces contrôles – et c’est justement dans le domaine de la souveraineté opérationnelle que cette connaissance fait le plus souvent défaut.
La dimension « chaîne d’approvisionnement »
La directive NIS2, qui étend les obligations en matière de cybersécurité aux secteurs de l’énergie, des transports, de la santé et des infrastructures numériques, impose désormais aux organisations d’évaluer les pratiques de cybersécurité de leurs fournisseurs de technologies. Pour les programmes de souveraineté, cela a une implication directe : la posture des fournisseurs en matière de souveraineté n’est plus une simple considération dans le cadre des marchés publics. Il s’agit désormais d’une exigence soumise à un audit.
Cela implique de poser de nouvelles questions à chaque fournisseur relevant de votre périmètre de souveraineté : Où se trouve votre personnel d’assistance ? Sous quelle juridiction opère-t-il ? Qu’adviendra-t-il de ses droits d’accès à mon environnement si votre entreprise est rachetée par une entité non européenne ?
À quoi ressemble la qualité ?
Un environnement opérationnel souverain présente quatre caractéristiques qui peuvent être démontrées, et pas seulement documentées :
- Chaque voie d’accès à l’environnement souverain est répertoriée : il ne s’agit pas seulement des accès principaux, mais aussi des accès des fournisseurs, des services d’assistance et des systèmes de surveillance.
- Le statut juridictionnel de chaque personne ou système disposant de cet accès est consigné et fait l’objet d’un audit à une fréquence définie.
- Les flux de télémétrie, de métadonnées et du plan de contrôle sont recensés et soit confinés à l’intérieur des limites de la souveraineté, soit explicitement évalués et considérés comme hors champ.
- L’organisation est en mesure de répondre à toute question relative à l’accès dans un délai de quatre-vingt-dix jours – et ce, de manière précise, en s’appuyant sur des éléments de preuve.
Une dernière chose : la souveraineté opérationnelle ne se limite pas au contrôle d’accès. Si la reprise des activités nécessite l’intervention de personnel opérant en dehors de vos limites de souveraineté, votre dispositif échoue dès la survenue d’un incident. C’est le sujet du quatrième article de cette série. Le rapport sur l’état de préparation en matière de souveraineté numérique comprend une question d’évaluation directe portant sur la souveraineté opérationnelle.
FAQ
Q : Qu’est-ce que la souveraineté opérationnelle ?
R : La souveraineté opérationnelle concerne les personnes qui gèrent un environnement et y ont accès, notamment le personnel, les prestataires et les systèmes d’assistance. Elle va au-delà du simple lieu de stockage des données.
Q : Pourquoi la souveraineté opérationnelle est-elle souvent négligée ?
R : De nombreuses organisations se concentrent principalement sur l’emplacement et le chiffrement des données. Les voies d’accès, le personnel d’assistance et les flux de télémétrie ne font souvent pas l’objet d’un audit complet.
Q : Quel est l’impact des fournisseurs sur la posture en matière de souveraineté ?
R : Les fournisseurs et les prestataires de services gérés peuvent avoir accès à des systèmes sensibles ou à des métadonnées. Leurs juridictions et leurs pratiques opérationnelles peuvent avoir une incidence sur la conformité globale en matière de souveraineté.
Q : Pourquoi la télémétrie et les métadonnées sont-elles importantes ?
R : Même si les données primaires restent stockées localement, les données de télémétrie et les métadonnées peuvent franchir les frontières juridictionnelles. Ces flux peuvent entraîner des risques en matière de conformité s’ils ne sont pas gérés.
Q :
En quoi consiste un modèle de souveraineté opérationnelle solide ?
R : Il comprend des voies d’accès cartographiées, des contrôles réglementaires documentés, un accès des fournisseurs soumis à des audits, ainsi qu’une visibilité sur l’ensemble des flux de télémétrie et de métadonnées.
Alex Zinin est vice-président et directeur général de la division « Fournisseurs de services gérés » chez Commvault.
