Qu’est-ce que la souveraineté des données ?

Alors que de plus en plus d’applications d’entreprise migrent vers le cloud, l’environnement cloud devient une infrastructure critique, aussi importante pour la santé d’une entreprise qu’une usine, un immeuble de bureaux ou une propriété intellectuelle précieuse.

Les exigences en matière de souveraineté des données sont généralement liées aux réglementations sur la confidentialité des données applicables dans un pays ou une région spécifique. Les principales préoccupations des organisations cherchant à se conformer aux lois locales portent généralement sur la cybersécurité, la sécurité et la confidentialité des données, la protection des données sensibles contre les violations et les logiciels malveillants, et le contrôle de l’accès des individus, des entités et des applications aux données.

Par exemple, l’Union européenne (UE) dispose d’un Règlement général sur la protection des données (RGPD) qui oblige les entreprises opérant sur le territoire de l’UE et traitant les données des citoyens de l’UE à engager une personne dénommée « Délégué à la protection des données » (DPO ou Data Protection Officer), afin de s’assurer que les organisations respectent strictement la confidentialité, l’intégrité et l’accessibilité des données qu’elles génèrent, traitent et stockent.

Ces lois varient d’un territoire à l’autre, mais en règle générale, lorsqu’un pays est dit « souverain » sur un élément de données, cela signifie qu’il détient la juridiction et l’autorité sur la manière dont ces données peuvent être utilisées et les personnes autorisées à y accéder. Cependant, les données sont souvent soumises aux législations de plusieurs pays (résidence des données et localisation des données) si bien que leur gestion, leur stockage et leur traitement deviennent de plus en plus complexes.

Dans les cas où les données sont générées dans un pays ou une région, mais stockées et/ou traitées ailleurs, l’organisation responsable des données doit s’assurer qu’elle respecte toutes les exigences légales liées au traitement des ensembles de données dans les deux emplacements. Par exemple, les entreprises peuvent estimer nécessaire d’établir des accords particuliers de protection des données ou de concevoir et mettre en œuvre des protocoles de transfert de données spécifiques pour maintenir la conformité et éviter les conflits potentiels dans un ou plusieurs territoires. De plus, les organisations qui stockent et traitent des données dans plusieurs régions ou pays doivent être informées de toutes les lois de protection des données, restrictions transfrontalières et autres obligations à respecter afin de préserver la confidentialité et l’intégrité des données.

Pour être efficace, l’approche d’une organisation en matière de souveraineté des données doit également inclure deux autres composantes essentielles : la souveraineté opérationnelle et la souveraineté numérique. La souveraineté des données, la souveraineté opérationnelle et la souveraineté numérique sont les trois composantes les plus importantes d’une infrastructure de cloud souverain. La souveraineté opérationnelle garantit que les infrastructures critiques sont toujours disponibles pour les personnes, les entités et les applications qui en ont besoin, tandis que la souveraineté numérique garantit qu’une organisation a toujours le contrôle de ses actifs numériques. Examinons de plus près ces deux concepts et pourquoi ils sont importants.

Souveraineté opérationnelle

La souveraineté opérationnelle garantit que l’infrastructure critique associée aux applications enrichies en données est permanente et accessible. En outre, la souveraineté opérationnelle aide les entreprises à assurer la transparence et le contrôle sur leurs processus opérationnels et à repérer les inefficacités. 

Avec une approche solide de la souveraineté opérationnelle, une entreprise est en mesure de garantir la résilience de son infrastructure critique, même lorsqu’une région particulière est touchée par une catastrophe. Pour ce faire, de nombreuses approches de souveraineté opérationnelle prévoient un plan de reprise après sinistre et de continuité des activités (BCDR) ou de reprise après sinistre en tant que service (DRaaS). Enfin, la souveraineté opérationnelle aide les entreprises à se conformer aux réglementations locales régissant l’infrastructure nécessaire pour prendre en charge les environnements cloud dans une région donnée.

Souveraineté numérique

La souveraineté numérique décrit le niveau de contrôle d’une organisation sur ses actifs numériques, tels que les données, les logiciels, le contenu et l’infrastructure numérique. La souveraineté numérique est un élément important du concept de cloud souverain, principalement du point de vue de la gouvernance et de la transparence. Les entreprises qui appliquent un contrôle des accès à leurs actifs numériques doivent définir des règles qui déterminent les autorisations d’accès à accorder en fonction des différents utilisateurs. Ces règles doivent être mises en place de façon à être facilement applicables, par exemple à l’aide de « règles en tant que code », un processus qui permet aux organisations de gérer leur infrastructure et leurs procédures de manière reproductible.

La transparence, un autre aspect important de la souveraineté numérique, fait référence à la capacité d’une organisation à vérifier ses processus et ses résultats. La transparence permet aux organisations d’identifier ce qui fonctionne et ce qui doit être amélioré dans leurs workflows opérationnels.

D’une manière générale, les organisations qui souhaitent adopter une approche de cloud souverain pour la souveraineté des données dans un environnement de cloud computing disposent de deux options : le cloud public ou le cloud distribué. Dans la plupart des pays, les déploiements de cloud public et multicloud permettent aux organisations de déployer leurs workloads cloud tout en gardant le contrôle sur leurs données dans une région particulière. Une architecture de cloud public typique comprend une couche cloud de plateforme, par exemple une plateforme cloud hybride, qui assure un déploiement cloud stable et cohérent.

La seconde option est le modèle de déploiement cloud distribué, par exemple un fournisseur d’infrastructure local ou un centre de données sur site. Ces solutions sont intéressantes pour les entreprises qui souhaitent mieux contrôler leurs données. Fondamentalement, un modèle de déploiement cloud distribué vous permet de déployer des workloads et des plateformes dans l’infrastructure de votre choix.

Dans les années à venir, la manière dont les organisations collectent, sécurisent, stockent et contrôlent l’accès à leurs données aura des répercussions considérables sur la croissance et la sécurité, en particulier si elles souhaitent exploiter de nouvelles technologies riches en données telles que l’IA et le ML. La souveraineté des données est donc un enjeu majeur, et le choix d’un fournisseur de cloud qui maîtrise parfaitement le sujet aidera les entreprises à mettre en œuvre une approche solide du cloud souverain et à atteindre leurs objectifs de transformation numérique. Les partenaires dans les régions et les pays où les entreprises cherchent à établir un environnement cloud doivent disposer de stratégies pour atténuer les risques courants tels que les cyberattaques, les catastrophes naturelles et les temps d’arrêt.

Enfin, les entreprises qui cherchent à élaborer une approche solide en matière de souveraineté des données et de cloud souverain doivent s’assurer que leur fournisseur de cloud dispose d’une stratégie cloud globale robuste qui respecte les législations des pays ou des régions dans lesquels ils opèrent. Voici quelques-uns des éléments les plus importants à prendre en compte par les entreprises qui envisagent de faire appel à des CSP et à d’autres partenaires potentiels pour élaborer une approche rigoureuse de la souveraineté des données.

Fonctionnalités de gouvernance des données : l’approche d’un CSP en matière de gouvernance des données doit démontrer qu’il dispose des règles et procédures adéquates pour gérer correctement les données sensibles et appliquer les restrictions d’accès nécessaires. Il doit également fournir des audits réguliers, prouvant que les directives qu’il a mises en place sont respectées.

Contrats de niveau de service (SLA) : lorsqu’il s’agit d’établir un SLA pour la souveraineté des données dans un environnement cloud souverain, les trois domaines les plus importants à couvrir sont le contrôle (cloud management), la disponibilité et les performances.

Conformité : les CSP et autres partenaires qui aident les entreprises à se conformer aux exigences en matière de souveraineté des données doivent posséder une connaissance approfondie des différentes législations de protection des données en vigueur dans les régions où ils opèrent. Idéalement, les entreprises et leurs CSP devraient partager la responsabilité de se tenir informés des nouvelles réglementations et d’élaborer des stratégies pour y faire face.

Chiffrement des données : il est essentiel que les CSP dans l’espace cloud souverain disposent de solides capacités de chiffrement des données, telles que les clés cryptographiques, afin de garantir la sécurité et l’accessibilité des données sensibles. Les clés cryptographiques transforment les données en un algorithme de chiffrement qui ne peut être déchiffré que par une personne disposant des autorisations nécessaires (c.-à-d. une clé). Les entreprises bénéficient ainsi d’une assurance et d’un contrôle techniques complets sur qui peut accéder à leurs données et quand.

Résilience : une approche rigoureuse de la souveraineté des données et des environnements de cloud souverain doit comprendre de solides fonctionnalités de résilience. Les entreprises ne devraient s’adresser qu’aux CSP ayant fait leurs preuves en matière d’aide aux clients dans leurs efforts de résilience et de reprise dans les pays ou régions concernés. Dans le cas d’un environnement cloud souverain, tous les déploiements cloud doivent disposer de capacités de récupération et de basculement intégrées adaptées à chaque domaine de conformité pour la région dans laquelle les données sont stockées.