You Don’t Have a Sovereignty Strategy. You Have a Residency Policy.

Points clés à retenir

• La « résidence des données » désigne le lieu où celles-ci sont stockées, mais la souveraineté numérique implique également le contrôle de l’accès et des opérations, ainsi qu’une bonne compréhension des implications juridictionnelles.
• La souveraineté opérationnelle est souvent l’élément le plus fragile et le moins contrôlé de la plupart des programmes de souveraineté.
• Une approche globale en matière de souveraineté repose sur quatre piliers : la localisation des données, la souveraineté technologique, la souveraineté opérationnelle et la souveraineté juridictionnelle.
• La souveraineté n’est pas une notion binaire ; les organisations doivent définir une approche adaptée à leurs obligations réglementaires et opérationnelles.

Voici une question qui mérite réflexion : lorsque votre organisation a pris sa décision en matière de souveraineté, qu’a-t-elle décidé exactement ? Pour la plupart, la réponse revient au même. Choisir une région. Y transférer les charges de travail. Sélectionner un fournisseur de cloud disposant de centres de données dans le pays. Cocher la case. La question de la localisation des données avait trouvé une réponse, et le débat sur la souveraineté était considéré comme clos. Mais ce n’était pas fini. Ça venait à peine de commencer.

La localisation des données répond à une question : « Où ? ». La souveraineté numérique en pose trois autres : « Qui ? », « Comment ? » et « Dans quelles conditions ? ». Il est compréhensible que l’on confonde résidence et souveraineté. Les hyperscalers ont donné l’impression que le choix d’une région relevait d’une décision de souveraineté. Les listes de contrôle de conformité demandent où les données sont stockées. Les directives réglementaires, du moins dans leurs premières versions, mettaient fortement l’accent sur la géographie.

Le choix d’une cloud souverain est une décision importante : elle a des implications opérationnelles et constitue une première étape indispensable. Mais ce n’est qu’une première étape. Et la plupart des entreprises s’en sont tenues là.

Ce à quoi « Residency » ne répond pas

Voyez les choses ainsi : choisir une région cloud souveraine, c’est comme acheter un coffre-fort. Cela vous indique où vos objets de valeur sont stockés. Cela ne dit rien sur qui détient une copie de la combinaison, qui a fabriqué le coffre-fort, quelles lois régissent le fabricant, ni si vous pouvez l’ouvrir en cas de contrainte.

Le choix de la région répond à une question. Trois autres restent entièrement en suspens – et ce sont précisément ces questions que les autorités de régulation, les comités d’appel d’offres et les auditeurs posent désormais avec une précision croissante :

• Qui peut exploiter votre environnement, et depuis où ? La question de savoir si le personnel d’assistance de votre fournisseur de services cloud est soumis à une juridiction étrangère relève de la souveraineté et ne peut être résolue par la résidence des données. Une fenêtre de maintenance de routine effectuée par un ingénieur d’assistance situé dans une juridiction différente constitue une voie d’accès que votre politique de résidence ne couvre pas. C’est là qu’intervient la « souveraineté opérationnelle » — le pilier le plus difficile à auditer et le plus souvent négligé.
• Dans le cadre de quel régime juridique vos données peuvent-elles être consultées ? Le fait qu’un fournisseur de technologies étranger exploite une infrastructure sur le territoire national ne le soustrait pas automatiquement à l’application de la législation de son pays d’origine. La portée extraterritoriale des régimes juridiques étrangers constitue un risque que la seule situation géographique ne suffit pas à éliminer.
• Pouvez-vous récupérer vos données en cas de problème ? La plupart des programmes de souveraineté s’articulent autour du contrôle d’accès. Très peu d’entre eux abordent la question de la récupération, à savoir si vos données peuvent être restaurées correctement, dans des limites définies, par du personnel opérant dans le périmètre de votre souveraineté. C’est sur ce point que les stratégies de souveraineté échouent le plus souvent en conditions réelles.

Le cadre qui comble cette lacune

Une approche globale de la souveraineté repose sur quatre piliers interdépendants. Le rapport – disponible surreadiverse.com– les passe en revue en détail. En bref :

• La localisation des données désigne les chemins empruntés par les données et les métadonnées.
• La souveraineté technologique englobe le contrôle du chiffrement, de la conservation des clés et de la portabilité de l’architecture.
• La souveraineté opérationnelle concerne la question de savoir qui gère l’environnement et depuis quel endroit.
• La souveraineté juridictionnelle définit le cadre juridique qui régit et influe sur tous les éléments susmentionnés.

Aucun pilier ne suffit à lui seul. Une stratégie solide en matière de localisation des données, associée à des contrôles opérationnels insuffisants, ne constitue pas une souveraineté : il s’agit d’une résidence comportant des risques non évalués.

Ce qui rend ce cadre utile, ce n’est pas sa complexité, mais les questions qu’il suscite. Lorsqu’une organisation évalue pour la première fois sa situation actuelle à l’aune de ces quatre piliers, elle constate presque toujours des lacunes dont elle ignorait l’existence – non pas parce que les contrôles font défaut, mais parce que ces questions n’avaient jamais été posées.

La souveraineté est une notion relative

Une dernière chose mérite d’être soulignée : la souveraineté n’est pas un état binaire. Il n’existe aucune certification qui la confère, ni aucun modèle de déploiement unique qui la garantisse. Il s’agit d’une posture – un ensemble de décisions délibérées et vérifiables. Et le niveau approprié de cette posture varie selon l’organisation, la charge de travail et les obligations réelles envers les autorités de régulation et les clients.

C’est précisément cet ajustement qui définit la « souveraineté minimale viable » – le sujet de l’articledeuxième article de cette série. La confiance des autorités de régulation se construit bien avant l’audit proprement dit, grâce à des exigences clairement définies, et non à des hypothèses liées à la situation géographique. Téléchargez lerapport« Digital Sovereignty Readiness Report

FAQ

Q : Quelle est la différence entre la résidence des données et la souveraineté numérique ?

R :La « résidence des données » porte sur le lieu où les données sont physiquement stockées. La souveraineté numérique va plus loin en s’intéressant aux personnes autorisées à accéder aux données, au mode de fonctionnement des systèmes et aux juridictions susceptibles de présenter un risque juridique.

Q : Pourquoi le choix d’une région ne suffit-il pas à garantir la souveraineté ?

R :Le choix d’une cloud ne concerne que l’aspect géographique. Il ne résout pas les problèmes liés à l’accès opérationnel, à l’exposition aux risques juridiques ou aux capacités de reprise après sinistre.

Q : Quels sont les quatre piliers de la souveraineté numérique ?

R :Ces quatre piliers sont la localisation des données, la souveraineté technologique, la souveraineté opérationnelle et la souveraineté juridictionnelle. Ensemble, ils constituent, selon nous, un cadre plus complet pour évaluer l’état de préparation en matière de souveraineté.

Q : Pourquoi la souveraineté opérationnelle est-elle difficile à gérer ?

R :La souveraineté opérationnelle implique de contrôler qui peut accéder aux systèmes, depuis quel endroit ces personnes opèrent et sous quel régime juridique. Ces contrôles sont plus difficiles à vérifier que de simples exigences relatives à la localisation des données.

Q : La souveraineté numérique est-elle une certification définitive ?

R :Non. La souveraineté est une démarche continue qui repose sur des décisions mûrement réfléchies et vérifiables, lesquelles varient en fonction de l’organisation, de la charge de travail et du cadre réglementaire.

Ruben Renders est directeur des solutions MSP chez Commvault.