Points clés à retenir
- La « résidence des données » désigne le lieu où celles-ci sont stockées, mais la souveraineté numérique implique également le contrôle de l’accès et des opérations, ainsi qu’une bonne compréhension des implications juridictionnelles.
- La souveraineté opérationnelle est souvent l’élément le plus fragile et le moins maîtrisé de la plupart des programmes de souveraineté.
- Une approche globale de la souveraineté repose sur quatre piliers : la localisation des données, la souveraineté technologique, la souveraineté opérationnelle et la souveraineté juridictionnelle.
- La souveraineté n’est pas une notion binaire ; les organisations doivent définir une approche adaptée à leurs obligations réglementaires et opérationnelles.
Voici une question qui mérite réflexion : lorsque votre organisation a pris sa décision en matière de souveraineté, qu’a-t-elle décidé exactement ? Pour la plupart, la réponse revient au même. Choisir une région. Déplacer les charges de travail. Choisir un fournisseur de cloud disposant de centres de données dans le pays. Cochez la case. La question de l’emplacement des données a trouvé une réponse, et le débat sur la souveraineté a été considéré comme clos.
Mais ce n’était pas fini. Cela venait à peine de commencer. La localisation des données répond à une question : « Où ? ». La souveraineté numérique en pose trois autres : « Qui ? », « Comment ? » et « Dans quelles conditions ? ». L’amalgame entre résidence et souveraineté est compréhensible. Les hyperscalers ont donné l’impression que le choix d’une région relevait d’une décision de souveraineté. Les listes de contrôle de conformité demandent où les données sont stockées. Les recommandations réglementaires, du moins dans leurs premières versions, mettaient fortement l’accent sur la géographie.
Le choix d’un cloud souverain est une décision importante : elle a des implications opérationnelles et constitue une première étape indispensable. Mais ce n’est qu’une première étape. Et la plupart des entreprises s’en sont tenues là.
Ce à quoi la « résidence » ne répond pas
Voyez les choses ainsi : choisir une région de cloud souverain, c’est comme acheter un coffre-fort. Cela vous indique où vos objets de valeur sont stockés. Cela ne dit rien sur qui détient une copie de la combinaison, qui a fabriqué le coffre-fort, quelles lois régissent le fabricant, ni si vous pouvez l’ouvrir en cas de contrainte.
Le choix de la région répond à une question. Trois autres restent entièrement en suspens – et ce sont précisément ces questions que les autorités de régulation, les comités d’appel d’offres et les auditeurs posent désormais avec une précision croissante :
- Qui peut exploiter votre environnement, et depuis où ? La question de savoir si le personnel d’assistance de votre fournisseur de cloud est soumis à une juridiction étrangère est une question de souveraineté que la résidence des données ne peut résoudre. Une fenêtre de maintenance de routine effectuée par un ingénieur d’assistance dans une juridiction différente constitue une voie d’accès que votre politique de résidence ne couvre pas. C’est là le domaine de la souveraineté opérationnelle – le pilier le plus difficile à auditer et le plus souvent négligé.
- Dans le cadre de quel régime juridique vos données peuvent-elles être consultées ? Le fait qu’un fournisseur de technologies étranger exploite une infrastructure sur le territoire national ne le soustrait pas automatiquement à l’application de la législation de son pays d’origine. La portée extraterritoriale des régimes juridiques étrangers constitue un risque que la seule situation géographique ne suffit pas à éliminer.
- Pouvez-vous récupérer vos données en cas de problème ? La plupart des programmes de souveraineté s’articulent autour du contrôle d’accès. Très peu abordent la question de la récupération : vos données peuvent-elles être restaurées correctement, dans des limites définies, par du personnel opérant à l’intérieur de vos frontières de souveraineté ? C’est sur cette lacune que les stratégies de souveraineté échouent le plus souvent dans la pratique.
Le cadre qui comble cette lacune
Une stratégie globale en matière de souveraineté repose sur quatre piliers interdépendants. Le rapport sur l’état de préparation à la souveraineté numérique – disponible sur readiverse.com – les passe en revue en détail. En bref :
- La localisation des données désigne les chemins empruntés par les données et les métadonnées.
- La souveraineté technologique englobe le contrôle du chiffrement, de la conservation des clés et de la portabilité de l’architecture.
- La souveraineté opérationnelle porte sur la question de savoir qui gère l’environnement et depuis quel endroit.
- La souveraineté juridictionnelle définit le cadre juridique qui régit et influence tous les éléments susmentionnés.
Aucun pilier ne suffit à lui seul. Une stratégie solide en matière de localisation des données, associée à des contrôles opérationnels insuffisants, ne constitue pas une souveraineté : il s’agit d’une résidence comportant des risques non évalués.
Ce qui rend ce cadre utile, ce n’est pas sa complexité, mais les questions qu’il soulève. Lorsqu’une organisation évalue pour la première fois sa situation actuelle à l’aune de ces quatre piliers, elle constate presque toujours des lacunes dont elle ignorait l’existence – non pas parce que les contrôles font défaut, mais parce que ces questions n’avaient jamais été posées.
La souveraineté est une notion relative
Une dernière chose mérite d’être soulignée : la souveraineté n’est pas un état binaire. Il n’existe aucune certification qui l’accorde ni aucun modèle de déploiement unique qui la garantisse. C’est une posture – un ensemble de décisions délibérées et vérifiables. Et le niveau adéquat de cette posture varie selon l’organisation, la charge de travail et ce que vous devez réellement aux régulateurs et aux clients.
C’est précisément ce qu’implique la « souveraineté minimale viable » – thème abordé dans le deuxième article de cette série. La confiance des autorités de régulation se construit bien avant l’audit proprement dit, grâce à des exigences clairement définies, et non à des hypothèses liées à la situation géographique. Téléchargez le rapport « Digital Sovereignty Readiness Report » pour découvrir le cadre en quatre piliers et un outil pratique d’auto-évaluation.
FAQ
Q : Quelle est la différence entre la résidence des données et la souveraineté numérique ?
R : La « résidence des données » concerne le lieu où les données sont physiquement stockées. La souveraineté numérique va plus loin en s’intéressant aux personnes autorisées à accéder aux données, au mode de fonctionnement des systèmes et aux juridictions susceptibles de présenter un risque juridique.
Q : Pourquoi le choix d’une région ne suffit-il pas à garantir la souveraineté ?
R : Le choix d’un cloud ne concerne que l’aspect géographique. Il ne résout pas les problèmes liés à l’accès opérationnel, à l’exposition aux risques juridiques ou aux capacités de reprise après sinistre.
Q : Quels sont les quatre piliers de la souveraineté numérique ?
R : Ces quatre piliers sont la localisation des données, la souveraineté technologique, la souveraineté opérationnelle et la souveraineté juridictionnelle. Ensemble, ils constituent, selon nous, un cadre plus complet pour évaluer l’état de préparation en matière de souveraineté.
Q : Pourquoi la souveraineté opérationnelle est-elle difficile à gérer ?
R : La souveraineté opérationnelle implique de contrôler qui peut accéder aux systèmes, depuis quel endroit ces personnes opèrent et sous quel régime juridique. Ces contrôles sont plus difficiles à vérifier que de simples exigences relatives à la localisation des données.
Q : La souveraineté numérique est-elle une certification figée ?
R : Non. La souveraineté est un processus continu qui repose sur des décisions mûrement réfléchies et vérifiables, lesquelles varient en fonction de l’organisation, de la charge de travail et du cadre réglementaire.
Ruben Renders est directeur des solutions MSP chez Commvault.
