SecNumCloud
Qualification délivrée par l'agence nationale de cybersécurité aux offres de cloud qui satisfont des exigences techniques élevées et une immunité aux lois extraterritoriales, où le choix d'hébergement devient une question de risque politique.
SecNumCloud est un référentiel d'exigences publié par l'agence nationale de la sécurité des systèmes d'information, dont le respect ouvre droit à une qualification pour les prestataires d'informatique en nuage. Ses exigences sont d'abord techniques et organisationnelles : chiffrement, cloisonnement, gestion des accès, journalisation, sécurité physique, continuité. Sa révision de 2022 y a ajouté des critères de protection contre les lois extraterritoriales : le prestataire doit avoir son siège et ses données dans l'Union européenne, et aucun actionnaire extra-européen ne peut en détenir une part lui permettant de le contrôler, afin que les données ne puissent être réclamées par une autorité étrangère. La doctrine de l'État français impose depuis 2021 le recours à un cloud qualifié pour les données sensibles de l'administration, et certains secteurs, comme la santé, s'en inspirent. La qualification montre comment une question de sécurité informatique devient une question de souveraineté : le risque redouté n'est pas seulement l'attaque, mais la loi d'un autre État. Pour l'assurance, elle offre un critère lisible de sécurité d'un hébergeur, et elle rappelle que la concentration des données chez quelques fournisseurs mondiaux est aussi une exposition politique.
Une administration qui migre des données sensibles vers le cloud doit, selon la doctrine « cloud au centre » posée par l'État en juillet 2021, retenir une offre qualifiée SecNumCloud. Une offre d'un grand fournisseur mondial, même hébergée en France, ne l'est pas si la société qui l'exploite reste contrôlée par un actionnaire soumis à une loi permettant à une autorité étrangère d'exiger l'accès aux données.
qualification SecNumCloud, cloud de confiance, French trusted cloud label
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.