🛡️ SecNumCloud : la souveraineté sans incantation, la sécurité sans slogans

SecNumCloud, on remet le clocher au milieu du village. La souveraineté numérique est devenue un mot magique. On l’invoque à chaque débat sur le cloud, on la brandit face aux hyperscalers, on la convoque dans les discours politiques comme une évidence morale. Et au milieu de tout cela, SecNumCloud est régulièrement sommé de répondre à une question qu’il n’a jamais prétendu résoudre : sommes-nous souverains, oui ou non ?

Pour les DSI et les RSSI, cette question est souvent mal posée. Elle mélange dépendance technologique, droit applicable, sécurité opérationnelle et ambitions industrielles. Résultat : beaucoup de bruit, peu de clarté, et parfois des décisions prises sur des slogans plutôt que sur une analyse de risques.

Il est donc temps de remettre SecNumCloud à sa juste place : non pas comme un totem de souveraineté, mais comme un outil de cybersécurité exigeant, conçu pour des usages sensibles et des organisations adultes.

🧭 SecNumCloud : ce que c’est vraiment (et ce que ce n’est pas)

SecNumCloud est une qualification de sécurité délivrée par l’ANSSI. Elle atteste qu’une offre de cloud présente un niveau de sécurité élevé, compatible avec des usages sensibles de l’État et des entreprises stratégiques.

Ce n’est :

• ni un label marketing,
• ni une médaille honorifique,
• ni un certificat de pureté souveraine.

C’est un processus long, exigeant, fondé sur un référentiel d’environ 1200 points de contrôle, audités sur site par des évaluateurs indépendants, sous supervision étroite de l’ANSSI. Architecture technique, gouvernance, exploitation, gestion des identités, sécurité des accès, ressources humaines, sous-traitance, droit applicable : tout est passé au crible.

SecNumCloud ne s’adresse pas à tous les usages. Une offre cloud “standard”, quelle que soit son origine, ne répond généralement pas à ces exigences. Et c’est parfaitement assumé.
SecNumCloud n’est pas là pour démocratiser le cloud, mais pour sécuriser les usages les plus sensibles.

Autrement dit : ce n’est pas une médaille en chocolat. Et ce n’est clairement pas pour tout le monde.

⚖️ Le droit extraterritorial : un risque réel, mais souvent caricaturé

Dès que l’on parle de cloud et de souveraineté, le droit extraterritorial surgit. CLOUD Act, FISA, lois chinoises sur le renseignement : le sujet est sérieux, documenté, et mérite mieux que des raccourcis.

Le risque n’est pas que des données soient hébergées physiquement hors d’Europe. Le risque est qu’un acteur soumis à un droit non européen dispose d’un contrôle effectif sur ces données : capacité d’accès, d’administration, ou de contrainte juridique sans voie de recours européenne.

C’est précisément là que SecNumCloud intervient.

La qualification impose notamment que :

• le prestataire soit européen, en termes de siège et de capital,
• il conserve le contrôle exclusif des données,
• ses sous-traitants non européens n’aient aucun accès aux données,
• il soit autonome dans l’exploitation de la solution.

La vraie question n’est donc pas :

« Quelle est la nationalité de la technologie ? »
mais bien :
« Qui a la capacité réelle d’agir sur mes données ? »

Et sur ce point, SecNumCloud apporte une réponse claire, vérifiable et juridiquement défendable.

🔌 Offres “hybrides” : le faux procès

L’apparition d’offres dites “hybrides” — reposant sur une technologie américaine opérée par un acteur européen — a suscité de vives réactions. À écouter certains commentaires, l’hybridation serait une trahison de la souveraineté, voire une faille béante.

C’est oublier un point essentiel : hybridation ne signifie pas accès aux données.

Dans une offre hybride qualifiée :

• le fournisseur de la technologie n’administre pas la plateforme,
• n’a pas accès aux données,
• ne gère ni les comptes, ni les clés, ni l’exploitation quotidienne.

Le prestataire qualifié doit démontrer son autonomie opérationnelle, exactement comme dans une offre dite “non hybride”.

La vérité est plus inconfortable : toutes les offres cloud ont des dépendances. CPU, microcodes, systèmes d’exploitation, composants open source, chaînes de compilation… Imaginer un cloud totalement affranchi de toute technologie non européenne relève davantage du conte que de l’ingénierie.

Ce n’est pas l’hybridation qui crée la dépendance.
C’est l’illusion de pureté qui empêche de la gérer.

🔐 Ce que SecNumCloud protège vraiment (et que les RSSI connaissent bien)

Le droit extraterritorial occupe une place démesurée dans le débat public. Pourtant, pour un RSSI, ce n’est qu’un risque parmi d’autres — et souvent pas le plus probable.

Les prestataires cloud sont des cibles de très haute valeur. Attaques avancées, compromissions de chaînes d’administration, erreurs humaines, insiders malveillants : les menaces sont permanentes, complexes, et bien réelles.

C’est là que SecNumCloud est particulièrement exigeant :

• cloisonnement strict entre clients,
• séparation forte des chaînes d’administration,
• supervision dédiée,
• chiffrement systématique des données au repos et en transit,
• gestion rigoureuse des accès et des privilèges,
• exigences fortes sur les ressources humaines.

Dans la majorité des incidents graves, le problème n’est pas une injonction étrangère.
C’est un compte trop permissif, une supervision défaillante ou une chaîne d’administration mal isolée.

Et sur ces sujets-là, SecNumCloud apporte des garanties que peu d’offres cloud standard peuvent revendiquer.

🧱 Le sujet qui fâche : la maturité SSI des organisations

C’est sans doute le point le plus délicat, et pourtant le plus important.

Un cloud qualifié SecNumCloud ne compense pas :

• l’absence de classification des données,
• un IAM approximatif,
• un PRA jamais testé,
• une gouvernance inexistante,
• une supervision au minimum syndical.

La tentation est grande de voir dans le “cloud souverain” une solution clé en main à des problèmes structurels. C’est une illusion dangereuse.

Un cloud qualifié ne transforme pas une organisation immature en forteresse numérique.

SecNumCloud élève le plafond de sécurité possible.
Il ne relève pas, à lui seul, le plancher de maturité SSI.

🏁 Conclusion — La souveraineté comme discipline, pas comme posture

La souveraineté numérique ne se décrète pas. Elle se construit, se contrôle, et s’entretient. Elle implique des audits, des contraintes, des compromis, et parfois des renoncements.

SecNumCloud n’est ni une arme géopolitique, ni une politique industrielle déguisée. C’est un cadre de sécurité exigeant, pragmatique, qui permet aux DSI et aux RSSI de parler de cloud sans se raconter d’histoires.

Il ne résout pas tous les problèmes.
Mais sans lui, il n’y a ni cadre commun, ni niveau de référence, ni discussion sérieuse possible.

Et dans un débat trop souvent dominé par les slogans, c’est déjà beaucoup.

Partager cet article : Twitter LinkedIn WhatsApp

🖋️ Publié sur SecuSlice.com