Cas client : Choix d’un Acteur de Cloud Souverain

Dans un contexte où la souveraineté numérique devient une priorité stratégique pour les entreprises et les institutions publiques, les Directeurs des Systèmes d’Information (DSI) sont confrontés à des choix complexes. Cet article retrace le parcours d’un client accompagné par Syloé dans sa réflexion et sa migration vers un cloud souverain. Nous aborderons les différentes étapes de leur réflexion, les défis rencontrés et les solutions envisagées.

Contexte et Enjeux

Notre client, une entreprise française soucieuse de la protection de ses données et de sa souveraineté numérique, a initié une réflexion sur la migration vers un cloud souverain.

Les enjeux étaient multiples : conformité réglementaire, sécurité des données, indépendance technologique et résilience face aux cybermenaces.

L’objectif était de s’affranchir des risques liés aux lois extraterritoriales (Cloud Act, Patriot Act) et de garantir la conformité au RGPD.

L’enjeu principal était de retrouver le contrôle sur ses données critiques et de s’assurer que l’infrastructure, l’administration et la chaîne de confiance soient strictement soumises à la législation française.

Étape 1️⃣ : Identification des Besoins et des Contraintes

La première étape a consisté à identifier les besoins spécifiques du client et les contraintes réglementaires. Plusieurs questions clés ont été posées :

• Quelles sont les fonctionnalités dont nous avons réellement besoin ?
• Où ces fonctionnalités sont-elles disponibles ?
• Quel niveau de sécurité est requis ?
• Quelles sont les dépendances géopolitiques et les implications tarifaires ?

Étape 2️⃣ : Évaluation des Options de Cloud Souverain

Plusieurs options de cloud souverain ont été envisagées :

⚪️ Scaleway : Initialement choisi pour sa simplicité, mais limité en termes de services managés. Scaleway, acteur français reconnu, a été envisagé, mais la limitation des services managés a rapidement posé question. Le client avait besoin de fonctionnalités avancées (stockage, clusters, etc.) qui n’étaient pas toutes disponibles sous forme managée.

⚪️ Azure : Écarté en raison de son manque de souveraineté. Le choix d’Azure a été évoqué pour ses services riches et sa maturité. Mais la levée de boucliers a été immédiate : Azure, même hébergé en Europe, reste soumis à la législation américaine. La souveraineté n’était donc pas garantie.

⚪️ Bleu : Une solution prometteuse combinant la technologie Azure avec une infrastructure souveraine, mais en attente de certification SecNumCloud pour certains services. Le projet Bleu, porté par Orange et Capgemini, a retenu l’attention. Il s’agit d’un cloud souverain exploitant la technologie Microsoft, mais avec une infrastructure et une infogérance 100% françaises. Les données sont hébergées et administrées par des équipes françaises, mais l’offre n’est pas encore complète (attente de la certification SecNumCloud pour certains services).

⚪️ S3NS : Une autre solution souveraine utilisant la technologie Google, soutenue par Thales. S3NS, créé par Thales en partenariat avec Google Cloud, propose une infrastructure française, une infogérance locale, et vise la certification SecNumCloud. Ici aussi, Google fournit la technologie, mais l’exploitation reste sous contrôle français.

⚪️ OVHcloud : Acteur historique du cloud souverain, a également été étudié pour sa robustesse, sa transparence et son engagement sur la souveraineté numérique.

Étape 3️⃣ : Analyse des Solutions Souveraines

Les solutions souveraines comme Bleu et S3NS présentent l’avantage d’être gérées par des sociétés françaises, assurant ainsi une meilleure conformité avec les réglementations locales et une indépendance technologique. Cependant, elles dépendent encore partiellement de technologies américaines, ce qui pose la question de la résilience en cas de restriction d’accès à ces technologies.

Étape 4️⃣ : Réflexion sur la Résilience et l’Indépendance

Une question cruciale a été soulevée : que se passerait-il si les États-Unis décidaient de restreindre l’accès à leurs technologies ? Il est essentiel d’être prêt à migrer à tout moment. Cette réflexion a conduit à envisager des solutions hybrides, combinant des services managés et des infrastructures dédiées.

Étape 5️⃣ : Mise en Place d’une Solution Hybride

En attendant la disponibilité des services managés dans les clouds souverains, nous avons suggéré une approche hybride :

• Utilisation de Scaleway : Pour les fonctionnalités applicatives ne nécessitant pas de services managés.
• Déploiement de Services Managés : Mise en place de solutions comme un cluster CEPH pour le stockage de fichiers, en attendant les services managés équivalents dans les clouds souverains.
• Mettre sur le cloud souverain les fonctionnalités applicatives qui n’ont pas besoin de services managés.
• Passer en mode hybride selon les besoins réels.
• Anticiper les migrations futures dès que les solutions de services managés seront disponibles sur les clouds souverains (Bleu, S3NS, etc.).
• Construire ses propres services exploités (ex : cluster CEPH pour du stockage distribué, NFS managé, etc.) en attendant les offres managées complètes.

Étape 6️⃣ : Préparation à la Migration Future

La stratégie à long terme inclut une migration progressive vers les services managés des clouds souverains dès qu’ils seront disponibles. Cette approche permet d’anticiper les coûts, les adaptations nécessaires et le temps requis pour une migration réussie.

Focus sur SecNumCloud

La certification SecNumCloud, délivrée par l’ANSSI, garantit un haut niveau de sécurité et de souveraineté pour les infrastructures cloud. Elle assure que les données ne peuvent pas être aspirées par des législations extraterritoriales, offrant ainsi une protection juridique et technique renforcée. Pour les organismes publics et les entreprises françaises, SecNumCloud représente une assurance de conformité avec les réglementations locales et une protection contre les cybermenaces.

SecNumCloud, le visa de sécurité de l’ANSSI, garantit que les données et les services ne peuvent pas être soumis à des législations extraterritoriales. Il impose des exigences strictes sur la gestion des accès, l’exploitation, la sécurité des infrastructures et la conformité au droit européen. Pour un organisme public ou une société française, cela signifie :

• Immunité contre les lois étrangères : les données ne peuvent pas être aspirées par une autorité non-européenne.
• Transparence et traçabilité : seuls les prestataires qualifiés et leurs équipes peuvent intervenir sur les ressources.
• Sécurité renforcée : protection contre les cyberattaques, audit annuel, formalisation des processus.

En synthèse

Le cheminement vers le choix d’un acteur de cloud souverain est complexe et nécessite une réflexion approfondie.

Chez Syloé, nous accompagnons nos clients dans cette démarche en leur offrant des solutions adaptées à leurs besoins spécifiques, tout en anticipant les évolutions technologiques et réglementaires.

Notre accompagnement a permis au client de :

• Mieux cerner ses besoins fonctionnels et réglementaires.
• Choisir une solution adaptée à sa maturité cloud.
• Anticiper les évolutions du marché et les risques géopolitiques.
• S’engager dans une démarche progressive, sécurisée et conforme.
• Le choix d’un cloud souverain ne se résume pas à une simple migration technique. Il s’agit d’une démarche stratégique, qui doit intégrer la sécurité, la conformité, la résilience et l’anticipation des risques.

Chez Syloé, nous accompagnons les DSI à chaque étape : de la réflexion à l’implémentation, en passant par l’anticipation des évolutions futures.

Pour en savoir plus sur nos services et comment nous pouvons vous accompagner dans votre migration vers un cloud souverain, n’hésitez pas à nous contacter.