Pourquoi nous avons choisi d’entreprendre la démarche de qualification ?
Dans un contexte global d’externalisation des systèmes d’information, les entreprises Françaises ont progressivement pris conscience de la valeur de l’information et la considèrent désormais comme un élément de performance dans l’entreprise.
Les données représentent un produit des valeurs générées par le partage et l’échange, devant être à la fois confidentielles et disponibles. Sous l’action conjointe de la règlementation et des exigences de leurs propres clients, les entreprises françaises, adoptent des stratégies de gestion de la sécurité de leur patrimoine informationnel différenciées, en fonction de la nature des processus métiers.
Les architectures des systèmes d’information deviennent progressivement hybrides, mixant à la fois infrastructures cloud public, infrastructures cloud privé et hébergements internalisés.
Cependant, ces deux dernières années, les frontières d’usage entre les clouds publics et privés se sont progressivement effacées et les comparaisons des niveaux de sécurité entre l’un et l’autre tiennent désormais du débat d’expert. La réalité de la protection de l’information des entreprises, dans un contexte international complexe, impose aux offreurs d’infrastructures privées de disposer d’offres fortement différenciatrices sur les niveaux de sécurité mis en œuvre. C’est à la fois une nécessité pour les offreurs et pour les clients.
Cloud Temple (ex-Intrinsec) considère que proposer au marché une offre d’infrastructures privées s’appuyant sur le référentiel SecNumCloud, de qualité industrielle, est un élément essentiel de sa stratégie. Ceci étant renforcé par les annonces gouvernementales du 17 mai 2021 sur la politique cloud de la France, la souveraineté et les clouds de confiance.
Dans la continuité des démarches ISAE 3402, ISO 27001.2013, Cloud Temple a pris la décision de créer son offre Secure Temple, la vocation étant de devenir une référence sur le marché Français en matière d’implémentation du référentiel SecNumCloud.
Comment Cloud Temple a travaillé à décrocher la qualification ?
Une qualification fortement sponsorisée au plus haut niveau de Cloud Temple
Le processus de qualification SecNumCloud a été une priorité stratégique traduisant une forte volonté au sein de la Direction Générale de Cloud Temple. L’effort de qualification a été un chantier majeur et prioritaire pour Cloud Temple et a engagé des investissements en centaines de milliers d’euros durant une période de 3 ans.
L’ensemble de l’offre Cloud Temple monte en rigueur !
La fourniture du service qualifié Secure Temple n’est pas un service de plus au sein du catalogue de l’offre de Cloud Temple. Il s’agit d’une volonté de transformation et de monter en rigueur l’ensemble de l’offre de Cloud Temple.
Dans le cadre de son effort de qualification, Cloud Temple a fait évoluer l’ensemble de son architecture pour se mettre en conformité avec les exigences du référentiel SecNumCloud au lieu de créer une « enclave » respectant les contraintes de ce dernier. Cloud Temple souhaite proposer à l’ensemble de ses clients de migrer leurs opérations vers son offre Secure Temple, de manière transparente et avec un coût maitrisé du fait du volume de ses opérations qualifiées.
La qualification comme preuve de talents et de compétences interne chez Cloud Temple
L’équipe Sécurité de Cloud Temple, sous la responsabilité du Directeur de la cybersécurité, Giuliano IPPOLITI , a travaillé activement sur le projet de qualification. Le RSSI et son équipe SSI interne sont rattachés hiérarchiquement à la Direction Générale. Les efforts de l’équipe SSI ont été égalés par les équipes responsables de la production, l’administration, l’évolution et le maintien de l’infrastructure ainsi que les équipes de développement interne, produisant l’ensemble des projets permettant le fonctionnement et la différenciation de l’offre Secure Temple.
Pour Cloud Temple, il est vital que les compétences soient internalisées à toutes les phases think/design/build/run à la fois sur l’infrastructure que sur le développement logiciel. Le service Secure Temple (de manière spécifique) et les opérations de Cloud Temple (de manière générale) ne dépendent quasiment d’aucun développement externe.
Cloud Temple et la doctrine “Cloud au centre” de l’État
Annoncée le 17 mai 2021 par Bruno LE MAIRE, Ministre de l’économie et des Finances, Amélie DE MONTCHALIN, Ministre de la transformation et de la fonction publique ainsi que par Cédric O, Secrétaire d’État chargé de la transition numérique et des communications électroniques, la doctrine de la France s’appelle « Cloud au centre ».
Parmi les axes fondamentaux de cette nouvelle doctrine, il faut retenir que le cloud est désormais le mode d’hébergement par défaut des projets numériques des administrations de l’État.
La stratégie cloud de la France pour les administrations et les entreprises du privé va reposer sur 3 piliers visant à créer une notion de “Cloud de confiance” :
- La protection, sur un aspect technique de l’hébergement des données via la qualification SecNumCloud, et un aspect juridique, contre les lois étrangères (notamment américaines) à caractère extraterritorial via l’imposition d’un hébergement en France et d’une nature et propriété des entreprises européennes. Ces dispositions protègent notamment contre la récupération des données européennes par des entités étrangères.
- L’accès aux meilleurs services cloud disponibles sur le marché mondial via le recours à un mécanisme de licence permettant aux entreprises et administrations françaises d’exploiter les solutions américaines en protégeant sa souveraineté. Ce biais a pour but de faire adhérer les entreprises, contrairement aux tentatives précédentes de création d’un cloud souverain, qui se sont soldées par un échec.
- Une cohérence avec les initiatives dans le domaine du cloud au niveau européen et en particulier avec la stratégie européenne de GAIA-X.
Les clouds à même de répondre à cette doctrine et cette stratégie seront exclusivement :
- Le cloud interne de l’État.
- Les prestataires de cloud privés qualifiés SecNumCloud par l’ANSSI “protégeant ainsi contre toutes règles extraterritoriales”.
Cette doctrine s’appliquera à tout projet déjà engagé par les administrations qui auront 12 mois pour se mettre en conformité à partir du moment où les offres “Cloud de confiance” existeront.
Ces annonces ont conforté Cloud Temple dans sa démarche de qualification lancée depuis 2019 et son approche consistant en une transformation profonde de ses opérations applicables à l’ensemble de son offre IaaS.
Cloud Temple a également un œil tourné sur l’Europe
Les investissements consentis ainsi que l’approche de Cloud Temple vis à vis de la qualification SecNumCloud représentent un gage de compétitivité à moyen terme, à l’échelle européenne en anticipation aux schémas de certification communautaires tels que : l’European Cybersecurity Certification Scheme for Cloud Services.
Ce schéma de certification constitue l’un des éléments de base du cadre de certification de la cybersécurité harmonisée au niveau européen, tel que défini dans le Cybersecurity Act et porté par l’ENISA. Un draft de ce schéma a déjà été publié début 2021 et il est constitué de trois niveaux d’assurance : basique, substantiel et élevé.
Le niveau élevé est destiné à des applications plus sensibles comme des applications gouvernementales ou traitants de données personnelles particulièrement sensibles. Ce niveau est conçu pour des services devant résister à des attaquants confirmés avec des moyens significatifs. Il inclut en particulier des éléments du référentiel SecNumCloud, ainsi que des obligations d’automatisations plus poussées.
Le référentiel SecNumCloud va être renforcé pour porter une confiance globale dans les solutions, à la fois du point de vue technique et opérationnel comme c’est déjà le cas, mais également pour clarifier des choses sur la sécurité juridique des offres de cloud […] Vérifier notamment l’immunité des solutions à des droits qui ne seraient pas européens. C’est pour rappel un des piliers du cloud de confiance.
Enfin, Guillaume POUPARD confirme également que SecNumCloud s’effacera au profit d’un schéma européen, « le jour où on aura un schéma d’évaluation de niveau élevé pour les services de cloud à l’échelle européenne ».
Ces perspectives confortent une fois de plus Cloud Temple dans sa démarche qui consiste à mettre l’ensemble de ses opérations à un niveau de rigueur, de sécurité et d’exigence conforme à SecNumCloud et d’en faire une culture « Business As Usual » au sein de ses équipes et pour ses clients. La confiance et la souveraineté ne sont pas un luxe mais un basique !