Points clés à retenir
- La souveraineté minimale viable (MVS) consiste à appliquer le niveau de contrôle adéquat aux charges de travail concernées.
- Traiter toutes les charges de travail de la même manière peut entraîner une complexité et des coûts inutiles, ou une protection insuffisante.
- Les organisations se répartissent généralement en trois profils de souveraineté : les entités véritablement souveraines, les entreprises réglementées et les environnements hybrides multicloud.
- Assurer une gouvernance cohérente dans des environnements mixtes constitue l’un des principaux défis opérationnels.
Il existe une version du débat sur la souveraineté numérique qui conduit les organisations vers une voie coûteuse, lourde sur le plan opérationnel et — si l’on est honnête — allant bien au-delà de ce qu’exigent leurs obligations réelles. Une souveraineté maximale semble être une approche responsable. En pratique, il s’agit souvent d’une erreur d’appréciation.
Il existe une autre approche tout aussi courante qui conduit à une situation dangereusement précaire : des contrôles qui cochent toutes les cases d’une liste de vérification, mais qui ne résisteraient pas à un audit, à un incident ou à un régulateur qui ne se contente plus d’une intention documentée comme preuve d’un contrôle effectif.
Les organisations qui maîtrisent correctement la souveraineté ont tendance à adopter une approche plus rigoureuse et plus pratique que ces deux extrêmes : elles se demandent ce qu’elles doivent réellement, à qui et dans quel but. Elles mettent ensuite en place des mesures conformes à cette norme — ni plus, ni moins.
C’est là la discipline du MVS, présentée dans le rapport et développé en détail ici.
Le MVS n’est pas un raccourci. C’est la prise de conscience que l’objectif réside dans un niveau de contrôle adéquat, appliqué de manière cohérente à toutes les charges de travail qui en ont besoin.
Toutes les charges de travail ne se valent pas
Le point de départ d’une approche MVS réside dans la classification des charges de travail — et la plupart des organisations l’ignorent complètement.
Un système de trading traitant des données financières réglementées est soumis à des obligations de souveraineté fondamentalement différentes de celles d’un outil interne de collaboration RH. Une base de données contenant des données à caractère personnel de citoyens de l’UE est soumise à un régime juridique et réglementaire différent de celui d’un environnement de développement exécutant des données de test anonymisées.
Traiter tous ces cas de la même manière — soit en appliquant systématiquement les contrôles de souveraineté les plus stricts, soit en partant du principe qu’un modèle de déploiement unique couvre tous les cas — conduit les organisations soit à une architecture trop complexe, soit à une protection insuffisante.
La bonne question à se poser avant toute décision de déploiement est la suivante : quels sont les besoins de cette charge de travail au regard de chacun des quatre piliers de la souveraineté ? Le rapport d’évaluation de l’état de préparation comprend une auto-évaluation structurée autour de cette question précise.
Les trois profils – et ce dont ils ont réellement besoin
Les entreprises réglementées se répartissent en trois profils distincts, chacun ayant des motivations principales et des priorités d’investissement différentes.
- Le véritable souverain. Les organismes publics, les sous-traitants du secteur de la défense et les opérateurs d’infrastructures nationales critiques. Pour ces organisations, la souveraineté n’est pas une simple exigence de conformité… c’est un impératif opérationnel. Un contrôle maximal sur chaque aspect de la pile technologique est souvent imposé par la loi, et les compromis en termes de coûts sont acceptés, car l’alternative ne l’est pas.
- Les entités soumises à une réglementation. Sociétés de services financiers, organismes de santé, entreprises du secteur de l’énergie. Ces entités sont soumises à des exigences contraignantes découlant de la directive DORA, de la directive NIS2, du RGPD et de cadres réglementaires spécifiques à leur secteur. Les obligations de conformité peuvent également s’inscrire dans le cadre de programmes de certification européens — notamment EUCS, EUCC, BSI C5 et SecNumCloud — en fonction du secteur et du contexte de déploiement.
Ces exigences sont non négociables dans certains domaines – notamment en matière de résidence des données, de contrôles d’accès opérationnels et de Recovery dans les limites juridictionnelles. Mais toutes les charges de travail ne sont pas soumises aux mêmes obligations.
- L’entreprise hybride multi-cloud. Il s’agit d’entreprises ayant déjà investi dans des hyperscalers et confrontées à une pression croissante en matière de souveraineté de la part de leurs clients, des autorités de régulation ou des exigences d’approvisionnement. Leur défi ne réside pas dans une migration en bloc, mais dans la mise en place de contrôles souverains au sein d’un environnement mixte et le maintien d’une gouvernance cohérente à l’échelle de l’ensemble de cet environnement.
Le coût d’un mauvais équilibrage
Une approche excessive de la souveraineté engendre ses propres risques opérationnels. Les organisations qui appliquent un maximum de contrôles souverains à des charges de travail qui n’en ont pas besoin supportent des coûts et une complexité qui ne servent aucun objectif réglementaire ou commercial.
La sous-ingénierie est le mode de défaillance le plus courant, et le plus dangereux. Elle ne se révèle généralement qu’au moment de l’audit – ou, plus grave encore, lorsqu’un incident survient et que Recovery devient un problème soumis à des contraintes juridiques. (Ce mode de défaillance fait l’objet duquatrième article de cette série.)
Un point de départ pratique
Une approche MVS suit trois étapes :
- Classez les charges de travail en fonction de leurs besoins réels en matière de souveraineté pour chaque pilier — ne partez pas des modèles de déploiement.
- Associez chaque classe de charge de travail au niveau de déploiement qui répond à ces exigences, sur l’ensemble du spectre allant des régions des hyperscalers publics au cloud public souverain, en passant par les environnements gérés sur site.
- Gérer de manière cohérente l’environnement mixte ainsi constitué : les contrôles, les preuves d’audit et les capacités de Recovery doivent être démontrables dans l’ensemble de l’environnement, et pas seulement au niveau le plus souverain.
C’est à la troisième étape que la plupart des programmes rencontrent des difficultés. Le maintien de contrôles de souveraineté cohérents dans un environnement mixte constitue un défi de gouvernance opérationnelle – et relève plus particulièrement du domaine de la souveraineté opérationnelle –,sujet du troisième article de cette série, le pilier que la plupart des stratégies traitent comme une considération secondaire.
Utilisez l’auto-évaluation durapportpour évaluer votre situation actuelle sur l’ensemble des quatre piliers.
FAQ
Q : Qu’est-ce que la « souveraineté minimale viable » (MVS) ?
R : Le MVS consiste à mettre en œuvre des contrôles de souveraineté en fonction des besoins réels de l’entreprise et des exigences réglementaires. Il vise à éviter à la fois une conception trop complexe et une protection insuffisante.
Q : Pourquoi la classification des charges de travail est-elle importante ?
R : Les charges de travail varient selon les obligations réglementaires et opérationnelles qui leur sont associées. La classification des charges de travail aide les organisations à mettre en œuvre le niveau approprié de contrôles en matière de souveraineté.
Q : Quels sont les trois profils de souveraineté les plus courants ?
R : Ces trois profils sont les suivants : les organisations véritablement souveraines, les organisations réglementées et les organisations hybrides multi-cloud. Chacune d’entre elles présente des exigences distinctes en matière d’exploitation et de conformité.
Q : Quels sont les risques liés à une conception trop sophistiquée de la souveraineté ?
R : Des contrôles excessifs peuvent accroître la complexité opérationnelle et les coûts sans pour autant apporter de valeur ajoutée significative en matière de conformité ou d’activité.
Q : Pourquoi les environnements mixtes posent-ils des défis en matière de gouvernance ?
R : Les organisations opèrent souvent sur plusieurs modèles de cloud et d’infrastructure. Il est difficile de garantir la cohérence des contrôles, des éléments probants d’audit et des normes de Recovery dans tous les environnements.
Ruben Renders est directeur des solutions MSP chez Commvault.
