Il existe une croyance silencieuse mais largement répandue quant à la manière dont les entreprises adoptent le SaaS aujourd’hui : déléguer une application au cloud signifie, dans une certaine mesure, également déléguer la responsabilité de ce qu’elle contient. C’est une simplification compréhensible, mais c’est faux, et le prix de cette erreur se paie dans les pires moments.
Le modèle dit de responsabilité partagée a été créé pour clarifier précisément cette frontière. Le fournisseur de cloud garantit la disponibilité des services, la sécurité des infrastructures, la continuité opérationnelle de la plateforme. Tout le reste – données, identité, configurations, capacité à récupérer ces informations en cas d'accident – reste la propriété de l'entreprise cliente. Il ne s’agit pas d’une clause cachée dans le contrat, mais de la prémisse sur laquelle repose l’ensemble du modèle.
Pourtant, lorsqu’il est question de souveraineté des données, même les entreprises les plus structurées se retrouvent souvent à répondre à des questions qu’elles ne se sont jamais posées.
Résidence et souveraineté ne sont pas la même chose
Le premier malentendu à clarifier est d’ordre terminologique, mais avec des implications très pratiques. La résidence des données indique où les informations sont physiquement stockées ou traitées. La souveraineté des données est quelque chose de plus large et concerne qui en a le contrôle, quelle juridiction s'applique, les obligations réglementaires qui entrent en jeu et surtout qui peut y accéder et dans quelles conditions.
Cette distinction est devenue cruciale dans un contexte géopolitique de plus en plus fragmenté. Le RGPD européen et le Cloud Act américain, pour ne citer que deux exemples qui cohabitent en tension permanente, créent des obligations souvent difficiles à concilier. Une entreprise européenne qui stocke des données sur une plateforme américaine, même si les serveurs sont physiquement en Europe, pourrait toujours faire l'objet de demandes d'accès de la part des autorités américaines. La localisation géographique des données est importante, mais pas suffisante. Savoir où se trouvent vos données ne suffit pas. Vous devez savoir qui les contrôle et qui peut les revendiquer.
La conformité n'accepte pas les compromis
Ces dernières années, le cadre réglementaire est devenu plus exigeant et plus précis. En Europe, DORA et NIS2 exigent que les organisations démontrent des capacités concrètes de gestion des risques opérationnels, y compris la résilience des systèmes numériques critiques. Le RGPD exige depuis des années que les entreprises soient en mesure de démontrer, et non seulement de déclarer, où les données personnelles sont traitées et avec quelles garanties.
Aux États-Unis, les nouvelles règles de la SEC sur la divulgation des incidents de cybersécurité obligent les sociétés cotées à divulguer les impacts significatifs. En Californie, le CCPA continue de se développer.
Dans ce scénario, la réponse « les données sont dans le cloud, mais nous ne savons pas exactement où » n’est pas tenable. Selon les régulateurs, la délégation opérationnelle n’exonère pas de responsabilité et l’entreprise en est toujours responsable.
La sauvegarde ne suffit pas si elle n'est pas indépendante
Une autre vulnérabilité apparaît lorsque l’on pense en termes de résilience, et pas seulement de conformité. De nombreuses entreprises pensent être protégées car elles utilisent des solutions de sauvegarde pour leurs environnements SaaS. La bonne question, cependant, n'est pas « avons-nous une sauvegarde ? », mais « notre sauvegarde est-elle vraiment indépendante du système que nous protégeons ? Si la sauvegarde réside sur la même infrastructure que le fournisseur principal – même hyperscaler, même chaîne d’approvisionnement technologique – vous obtenez une redondance et non une indépendance. Et dans des scénarios de compromission importante, d’interruption de service ou de crise géopolitique, la redondance ne suffit pas. Nous avons besoin d’un véritable trou d’air, d’un système de protection capable de fonctionner même lorsque l’environnement primaire n’est pas disponible.
La souveraineté, en ce sens, est aussi une question de résilience opérationnelle : avoir la certitude que, dans n’importe quelle condition, vous pouvez récupérer ce dont vous avez besoin, d’où vous choisissez, dans le temps requis.
Le contrôle signifie aussi la liberté de changer
Enfin, il existe une dimension stratégique souvent négligée : la portabilité. La souveraineté des données inclut la capacité de se déplacer, de changer de fournisseur, de s'adapter aux nouvelles réglementations et de quitter un environnement cloud si les conditions changent. Cela nécessite des formats d'exportation utilisables, des SLA de récupération réalistes et une planification qui n'est pas théorique. Les entreprises qui ne se poseront pas ces questions aujourd’hui, dans des conditions normales, se retrouveront à y répondre en urgence, et les réponses, dans ce contexte, seront bien plus coûteuses.
Une échéance qui ne peut être reportée
Le cloud a transformé la façon dont les entreprises construisent et gèrent leur infrastructure numérique. Il a abaissé les barrières, accéléré l’innovation, réduit les coûts de fonctionnement, mais il n’a pas éliminé la responsabilité, il l’a redistribuée d’une manière qui nécessite une nouvelle prise de conscience.
La question que tout DSI, RSSI et responsable de la conformité devrait se poser n'est plus seulement « sommes-nous protégés ? », mais « sommes-nous souverains ? ». Où se trouvent nos données, qui les contrôle, comment nous les obtenons, comment nous les prouvons à un régulateur. Dans le modèle de responsabilité partagée, le fournisseur fait sa part, mais la souveraineté des données est et reste de la responsabilité du client.
Voir l’article original en italien
