Migration vers un cloud qualifié SecNumCloud : les meilleures pratiques

Protéger ses données sensibles lorsqu’elles sont stockées dans le cloud est une préoccupation croissante. Si le cloud offre l’agilité et la fluidité dont les organisations ont besoin pour mener leurs activités, il ne permet cependant pas toujours de répondre aux exigences de sécurité, de souveraineté et de conformité auxquelles sont soumises de plus en plus de structures. Des textes comme le RGPD, la directive NIS 2 ou encore la doctrine « cloud au centre » de l’État accroissent la pression réglementaire en matière de protection des données, de souveraineté et de cyber résilience.

Choisir de migrer ses données vers un cloud qualifié SecNumCloud répond à l’ensemble de ces exigences, et devient même un enjeu stratégique. Cet article passe en revue les meilleures pratiques pour réussir sa migration SecNumCloud.

Pourquoi migrer vers un cloud qualifié SecNumCloud ?

Le choix de migrer vers un cloud qualifié SecNumCloud est souvent dicté par le besoin impérieux de sécuriser une infrastructure existante, quelle qu’elle soit. Qu’il s’agisse de sortir d’un environnement on-premise pour gagner en agilité ou de se prémunir contre l’extraterritorialité de lois non-européennes (telles que le Cloud Act ou FISA) qui pourraient s’appliquer à un cloud public américain, la démarche est la même : garantir la souveraineté et le plus haut niveau de sécurité pour les données sensibles. Réussir cette transition commence par une cartographie précise des données et des flux existants, une étape fondamentale pour définir le périmètre critique qui doit impérativement bénéficier de la protection renforcée SecNumCloud.

SecNumCloud, le référentiel français de la confiance numérique

Élaboré par l’ANSSI, SecNumCloud est un référentiel attestant du plus haut niveau de sécurité et de confiance pour les services cloud ayant obtenu la qualification. Celle-ci valide le respect d’un ensemble de règles strictes à la fois sur le plan technique, organisationnel et juridique. Obtenue par les prestataires cloud au terme d’un processus exigeant, la qualification SecNumCloud est valable 3 ans, avec des audits annuels. L’ensemble des critères de qualification est détaillé dans le référentiel d’exigences publié sur le site de l’ANSSI.

La qualification SecNumCloud a fait l’objet d’une actualisation en 2022. La version 3.2 intègre désormais des critères de souveraineté numérique et de protection vis-à-vis des lois extra-européennes. En hébergeant leurs données sensibles sur un cloud de confiance qualifié par l’ANSSI, les organisations sont certaines que leurs données ne peuvent pas être soumises à des lois non européennes.

Une obligation pour de nombreux secteurs sensibles

La qualification SecNumCloud répond aux enjeux des organisations manipulant des données sensibles et stratégiques. Certaines de ces organisations sont d’ailleurs dans l’obligation réglementaire de recourir à un cloud qualifié SecNumCloud pour héberger leurs données sensibles. C’est le cas des services de l’État, dans le cadre de la doctrine « cloud au centre ».

Les opérateurs d’importance vitale (OIV) sont également dans l’obligation d’utiliser des solutions qualifiées SecNumCloud pour l’hébergement de leurs données sensibles (énergie, transports, télécommunications, gestion de l’eau, etc.).

Parce qu’ils traitent des données à caractère personnel, les établissements de santé doivent de leur côté conjuguer certification HDS et qualification SecNumCloud pour assurer une protection maximale à ces données.

En introduisant des exigences de sécurité renforcées, notamment pour les « entités essentielles » et les « entités importantes », la directive européenne NIS 2 allonge la liste des organisations soumises à des exigences très strictes en matière de sécurité et de cyber résilience.

De manière générale, le recours à des solutions qualifiées SecNumCloud constitue un gage de sécurité pour toutes les organisations appelées à manipuler des données sensibles et soumises à de fortes exigences de conformité. Les établissements financiers en sont un bon exemple.

Oodrive : la suite qualifiée SecNumCloud

Oodrive est le seul éditeur qualifié SecNumCloud version 3.2 de bout en bout : de l’infrastructure au logiciel.

En savoir plus

Conformité, protection des données, différenciation : des bénéfices stratégiques multiples

Le cadre réglementaire européen, notamment avec le RGPD et la directive NIS 2, est de plus en plus strict en matière de protection des données. En parallèle, la norme internationale ISO 27001 est de plus en plus demandée, notamment dans les appels d’offres. Dans ce contexte, migrer vers un cloud qualifié SecNumCloud permet de répondre simultanément à plusieurs obligations réglementaires et favorise la mise en conformité.

Les données bénéficient d’une sécurité maximale et d’une protection renforcée vis-à-vis des lois extra-européennes. La qualification SecNumCloud garantit que le fournisseur de services cloud et les données qu’il traite ne peuvent être soumis à des lois étrangères. Une manière de réduire les risques d’atteintes aux données.

Elle apporte également des bénéfices opérationnels concrets. Les accès à distance, y compris hors UE, sont strictement encadrés et supervisés afin de prévenir tout accès non maîtrisé et d’assurer une traçabilité complète des actions. De leur côté, les interfaces d’administration sont protégées par une authentification forte et une séparation stricte entre celles du prestataire et du client, ce qui limite considérablement les risques de compromission et renforce la responsabilité de chacun.

D’un point de vue stratégique, le recours à des solutions cloud souveraines tend à devenir un marqueur de différenciation, et un avantage concurrentiel certain. De plus en plus d’entreprises du CAC 40 font d’ailleurs ce choix.

Préparer son projet de migration SecNumCloud : étapes et bonnes pratiques

La préparation et la réussite d’une migration SecNumCloud dépassent le simple transfert technique. Elles nécessitent une compréhension fine de son patrimoine informationnel et une vision claire de ses objectifs stratégiques.

Auditer l’existant et mettre en place une gouvernance de la donnée

Cette phase d’audit est indispensable pour s’assurer que le périmètre de la migration SecNumCloud est clairement défini. Elle consiste à passer en revue la cartographie des données, à identifier les flux de données et les applications critiques.

La mise en place d’une gouvernance de la donnée doit identifier les données à migrer en priorité, grâce à une classification tenant par exemple compte de leur criticité et des usages métiers. Les données financières, de R&D, avec mention Diffusion Restreinte, les signatures électroniques ou les échanges stratégiques nécessitent une protection renforcée que seul un cloud qualifié SecNumCloud peut garantir.

Définir les objectifs stratégiques du projet SecNumCloud

Une organisation souhaitant migrer vers un cloud qualifié SecNumCloud doit également formaliser ses objectifs. Comme l’indique Sylvain Lefeuvre, Expert en protection des données sensibles chez Oodrive, il est essentiel de connaître les raisons poussant à se tourner vers un cloud souverain : « est-ce en raison d’attaques subies, de données collectées par des acteurs américains ? La classification qui en découle ne se fera pas de la même manière ».

Les objectifs d’une migration SecNumCloud peuvent d’ailleurs être multiples.

• Sécurité : protection renforcée contre les cyber menaces et les atteintes aux données.
• Souveraineté : immunité aux lois extraterritoriales (Cloud Act, FISA).
• Conformité réglementaire : respect des obligations RGPD, NIS 2 et sectorielles.
• Résilience opérationnelle : garantir la disponibilité des données et la continuité de service pour les activités critiques.

Choisir une offre réellement qualifiée SecNumCloud par l’ANSSI

Certaines entreprises affichent « être en route vers la qualification SecNumCloud » avant même d’être certaines d’avoir fait qualifier leurs offres. Le processus de qualification SecNumCloud est très exigeant, et la qualification n’est attribuée qu’à une petite liste d’offres. La meilleure manière de vérifier la qualification d’une offre cloud est de consulter la liste des solutions qualifiées par l’ANSSI, disponible sur le site Internet de l’Agence.

Au-delà de la qualification, le choix d’une offre qualifiée doit reposer sur des critères techniques précis (disponibilité des services, compatibilité avec certaines technologies spécifiques, couverture des besoins métiers, etc.). La capacité du fournisseur à accompagner la migration, à former les équipes et à nouer un partenariat sur le long terme est un critère déterminant.

Quelques conseils complémentaires pour réussir sa migration SecNumCloud et dérouler chaque étape :

• Constituer une équipe projet pluridisciplinaire et établir une gouvernance claire.
• Capitaliser sur l’accompagnement du fournisseur SecNumCloud et l’engagement des équipes internes.
• Planifier une migration progressive afin de minimiser les interruptions, en prévoyant des tests et en assurant un suivi post-migration.