Qu'est-ce qu'un cloud souverain ?

Cloud souverain : définition

Un cloud souverain est un environnement de cloud computing conçu pour garantir que toutes les données – y compris les applications, les données stockées et les données qui circulent sur les réseaux – sont stockées, traitées et gérées dans un certain pays ou une certaine région et qu'elles sont conformes aux lois et réglementations relatives à la souveraineté des données en vigueur dans ce pays. 

La souveraineté des données est le concept selon lequel les données numériques sont soumises aux lois et à la gouvernance du pays où elles sont collectées, stockées ou traitées. Ceci s’applique même si les données sont gérées par une organisation située dans un autre pays. La souveraineté cloud est alors essentielle pour protéger et sécuriser les données. Cette importance se retrouve particulièrement  pour les agences gouvernementales et les entreprises dans des secteurs très réglementés (finance, santé, …). 

Avec un cloud souverain, les entreprises bénéficient :

• d’un contrôle total des données. 
• d’une sécurité renforcée. 
• d’une transparence accrue.

Tout ceci pouvant empêcher tout accès ou influence étrangère.

Les clouds souverains sont généralement exploités par des entités ou des entreprises nationales en partenariat avec des fournisseurs de clouds locaux. Ces derniers doivent être de confiance, pour garantir la souveraineté juridique et opérationnelle sur l'infrastructure et les données numériques.

Pour les entreprises, un cloud souverain est essentiel pour maintenir la conformité avec les exigences de souveraineté numérique.

Où sont stockées les données d’un cloud souverain ?

Les lois sur la souveraineté des données protègent majoritairement les données à caractère personnel (DCP) concernant les individus. Il peut aussi parfois s'agir de propriété intellectuelle, de secrets commerciaux, de pratiques commerciales, de données financières, etc. 

Les clouds souverains sont généralement situés dans de grands datacenters appartenant à des « hyperscalers ». Ils sont accessibles aux utilisateurs autorisés uniquement. L’accès se fait :

• soit par une connexion internet sécurisée.
• soit par des liens de communication dédiés qui sont dits « air-gap », c'est-à-dire non connectés à Internet.

Quand on parle de souveraineté des données, le terme « résidence des données » revient souvent. Mais il s'agit en fait de deux concepts différents. En effet, la résidence des données se réfère simplement à l'endroit où les données sont physiquement stockées. Même si vos données résident sur des serveurs en Allemagne, il n'est pas toujours évident de savoir qui peut y accéder. C'est là que la souveraineté des données entre en jeu. Elle prévoit que vos données soient soumises aux lois et réglementations du pays où elles résident. Ainsi, si votre entreprise est basée aux États-Unis, et que vos données résident en Allemagne, elles doivent être conformes aux réglementations allemandes. 

Avec un cloud souverain, par définition, les entreprises peuvent obtenir un contrôle maximal sur :

• leurs données, 
• leur infrastructure, 
• et leurs opérations.

Ce contrôle s’opère tout en respectant les lois et réglementations nationales. 

Les principales caractéristiques d’un cloud souverain

Les principales caractéristiques d'un cloud souverain sont les suivantes : 

• Accès restreint – Il s'agit de limiter l'accès et l'utilisation du cloud en fonction de la géographie, du rôle de l'entreprise, des autorisations de sécurité ou même de la citoyenneté de l'individu. Seuls les utilisateurs de confiance peuvent accéder aux données et aux systèmes à l'intérieur d'un cloud souverain. 
• Localisation et résidence des données – Les entreprises peuvent déterminer où doivent résider les différentes collections de données, qu'il s'agisse d'un pays particulier, d'une région spécifique ou même d'un datacenter unique. 
• Normes de conformité strictes – Basées sur des réglementations nationales ou sectorielles, ces normes comprennent des contrôles techniques sur les données ainsi que sur la manière dont les données doivent être traitées, stockées et protégées. 
• Politiques de soutien opérationnel – Elles peuvent exiger que le personnel du fournisseur de services cloud réponde à des critères spécifiques, tels que la citoyenneté, la résidence et l'habilitation de sécurité. Tout membre du personnel ne répondant pas à ces critères ne pourra pas travailler avec le cloud souverain. 
• Réseau dédié et sécurisé – Il s'agit d'un élément indispensable pour les clouds souverains, qui peut aller d'environnements isolés « air-gap » à des configurations VPN privées. Le cloud souverain est ainsi séparé du trafic réseau normal et du risque d'accès non autorisé. 
• Chiffrement avancé – Ce composant essentiel protège les données dans les clouds souverains contre les utilisateurs extérieurs. Il est courant qu'une entreprise gère ses propres clés de chiffrement, ce qui signifie que le fournisseur de cloud n'a aucune visibilité ni aucun contrôle sur les données dans le cloud souverain.

Les avantages de la souveraineté du cloud

Conformité aux réglementations locales

Les clouds souverains sont construits pour répondre aux exigences légales des pays et régions spécifiques où les données sont stockées. Les entreprises doivent respecter :

• les lois sur la protection des données.
• les normes sectorielles.
• les réglementations relatives à la protection de la vie privée, à la sécurité et au contrôle d'accès. 

Les entreprises qui stockent des données à l'intérieur de frontières légales définies, sous juridiction locale, par le biais de clouds souverains, peuvent réduire les risques juridiques. Elles restent prêtes pour l'audit et renforcent la confiance avec les régulateurs et les clients.

Sécurité et confidentialité des données

Les clouds souverains renforcent la sécurité et la confidentialité des données grâce à des contrôles d'accès stricts, à un chiffrement avancé et à une infrastructure dédiée. Cette dernière empêche tout accès non autorisé par des entités étrangères. Les clouds souverains fonctionnent sous des juridictions nationales et locales. Ce fonctionnement réduit le risque d'exposition des données en raison de lois étrangères et de programmes de surveillance internationaux.

Les normes de sécurité élevées et les caractéristiques de confidentialité des clouds souverains en font un composant essentiel pour les entreprises. Elles sont particulièrement importantes pour celles qui travaillent avec des données confidentielles ou classifiées. Cela inclut notamment les agences gouvernementales et les fournisseurs d'infrastructures critiques.

Réduction du risque de violation des données

Les clouds souverains peuvent éviter les violations de données potentielles. En effet, ils :

• respectent les restrictions d'utilisation autorisées dans des régions spécifiques,
• se conforment aux lois et réglementations locales,
• et soumettent les usagers à des autorisations de sécurité strictes.

L'infrastructure d’un cloud souverain est, par définition, isolée. Par ailleurs, des réseaux dédiés et des clés de chiffrement gérées par le client fonctionnent ensemble. Cette mécanique permet de réduire l'exposition et d’empêcher tout accès non autorisé. D'autres mesures de sécurité peuvent contribuer à réduire l'exposition aux attaques au-delà de l'infrastructure du cloud public. Tout ce système rend difficile l'accès aux données par des acteurs externes et étrangers.

Flexibilité opérationnelle

Avec un cloud souverain, les entreprises peuvent personnaliser leurs services cloud. Ceci permet  de  répondre à leurs exigences légales, à leurs besoins en matière de sécurité et à leurs objectifs commerciaux. Les entreprises peuvent choisir l'endroit où leurs données sont stockées et définir qui y a accès en fonction de :

sa nationalité,

• son habilitation,
• et/ou son rôle au sein de l'entreprise.

Les clouds souverains offrent également une certaine souplesse dans leur déploiement.  Qu'il s'agisse d'un environnement totalement isolé ou d'une configuration hybride, ce type de cloud peut être déployé. La flexibilité de ce cloud permet aux entreprises de conserver le contrôle de leurs données, tout en bénéficiant de l'évolutivité et de l'innovation.

Les défis liés à la souveraineté du cloud 

Conformité et complexité réglementaire

Les lois et les normes varient considérablement d'un pays à l'autre et d'un secteur à l'autre. De ce fait, il peut être difficile de rester en conformité.

Les entreprises doivent gérer un paysage complexe d'exigences légales qui incluent la résidence des données, les contrôles d'accès, le chiffrement, et plus encore. En outre, ces normes sont souvent révisées. La plupart des entreprises investissent dans des services de conseil juridique, des infrastructures spécialisées et des audits réguliers pour garantir leur conformité.

Une difficulté supplémentaire s'ajoute lorsqu'il s'agit de s'aligner sur les directives de conformité nationales et internationales. Par exemple, une entreprise qui doit rester en conformité à la fois avec les lois allemandes et celles de l'Union européenne. Toute cette complexité rend plus difficile l'adoption des clouds souverains.

Problèmes liés à l'interopérabilité des clouds souverains et non souverains

L'interopérabilité peut constituer un défi pour les clouds souverains, car par définition, ils sont souvent isolés pour répondre aux exigences de conformité. Cet isolement limite l'intégration avec de nombreux services cloud, ainsi qu'avec des applications tierces et des environnements multicloud. La diversité des normes et des API se conjugue souvent avec les réglementations régionales. Cette association complique le partage des données et la compatibilité des systèmes entre les clouds.

Le déplacement des charges de travail entre les clouds souverains et non souverains constitue également un défi. Ces problèmes d'interopérabilité réduisent l'agilité et compliquent les stratégies globales d'une entreprise en matière de cloud.

Dépendance à l'égard des fournisseurs locaux

Il est facile pour les entreprises de s'appuyer sur un seul fournisseur lorsqu'elles construisent et déploient un cloud souverain. Une grande partie de ce travail implique des adaptations aux besoins uniques de l'entreprise en matière de souveraineté. Et si ces adaptations contribuent à renforcer la sécurité et la conformité, elles réduisent la flexibilité. Ainsi, elles peuvent créer des obstacles au changement de fournisseur ou de plateforme. Le passage à un autre service cloud pourrait nécessiter un remaniement substantiel des applications ainsi qu'une nouvelle certification.

La dépendance vis-à-vis des fournisseurs de cloud souverain tend en fin de compte à :

• augmenter les coûts,
• réduire la vitesse d'innovation,
• et nuire à l'agilité d'une entreprise.

Adoption d’un cloud souverain : définition des facteurs à considérer

Sécurité et confidentialité des données

Il est important de trouver un fournisseur de cloud souverain fiable. En d’autres termes, il doit proposer les politiques de contrôle et les normes de chiffrement exigées par les réglementations en vigueur. Ces réglementations peuvent varier d'un secteur à l'autre ou d'un pays à l'autre. Veillez donc à bien comprendre l'expertise du fournisseur et sa capacité à vous fournir ce dont vous avez besoin.

Choix du fournisseur de cloud souverain

Il existe différents types de fournisseurs de clouds souverains. Parmi ceux-ci, on retrouve notamment les acteurs :

• soutenus par des gouvernements,
• soutenus par le secteur privé,
• hybrides, qui travaillent avec les deux.

Les fournisseurs soutenus par un gouvernement accordent généralement la priorité à la sécurité nationale. Ils se focalisent donc sur la souveraineté des données et le respect des lois locales. Cependant, ils peuvent être moins bien informés ou moins préoccupés par les considérations commerciales.

Les fournisseurs de cloud souverain du secteur privé s’associent souvent à des agences locales. Ils ont donc tendance à offrir davantage de scalabilité, de fonctionnalités modernes et d’innovation. Toutefois, ils peuvent poser des problèmes liés à la propriété ou à l’influence étrangère.

Les fournisseurs hybrides, quant à eux, combinent des éléments des deux autres types. Ils impliquent souvent une collaboration entre les gouvernements et les entreprises commerciales. Un fournisseur hybride peut trouver un équilibre entre la conformité gouvernementale et une plus grande flexibilité technologique. 

Évolutivité et flexibilité

Les réglementations continueront toujours d'évoluer, tout comme les technologies. Il est essentiel d’ être en mesure d'adopter les nouvelles technologies au fur et à mesure qu'elles apparaissent. Votre fournisseur de cloud souverain doit donc proposer des solutions qui offrent l'évolutivité et la flexibilité dont votre entreprise aura besoin à l'avenir.

Au fur et à mesure que votre entreprise se développe, votre cloud souverain devra évoluer pour s'adapter aux évolutions. Celles-ci peuvent porter sur :

• l'IA,
• le machine learning,
• le big data,
• l'analyse en temps réel,
• les technologies de demain que nous ne connaissons pas encore.

La souveraineté du cloud en Europe

En Europe, la question de la souveraineté du cloud prend de plus en plus d'importance. Cette question évolue à mesure que les préoccupations concernant la confidentialité, la sécurité et le contrôle des données augmentent. Cette dynamique s'observe en particulier à la lumière de la loi américaine du CLOUD Act et de la dépendance croissante du monde à l'égard des données numériques. L'UE a, elle aussi, introduit des réglementations telles que le Règlement général sur la protection des données (RGPD)., Ce règlement s'applique à tous les États membres et a bouleversé la gestion des données. En effet, il établit des lignes directrices strictes sur la manière dont les entreprises doivent traiter, stocker et transférer les données.

En parallèle, les différents pays introduisent leurs propres lois et réglementations concernant les clouds souverains, définition de la complexité de la situation. Par exemple :

• L'initiative française du « Cloud de Confiance » exige que les services de cloud certifiés soient hébergés par des fournisseurs basés dans l'UE, afin de rester à l'abri de toute influence juridique extracommunautaire.
• L'Allemagne s'intéresse à la localisation stricte des données et a collaboré avec des partenaires privés dans le cadre de programmes tels que Gaia-X, un projet d'infrastructure de données fédérées.
•  D'autres pays, comme l'Italie et l'Espagne, font pression pour que les services de cloud soient nationaux ou européens afin de réduire la dépendance à l'égard des géants de la tech étrangers.

Les détails de ces réglementations nationales émergentes varient d'un pays à l'autre. Ceci accroît certainement la complexité pour les entreprises qui opèrent dans plusieurs pays de l'UE. Les entreprises doivent naviguer entre les réglementations de l'UE et les normes spécifiques à chaque pays. Cette dynamique peut avoir une incidence sur leur stratégie en matière :

•  d'informatique dématérialisée,
•  de sélection des fournisseurs,
•  et des opérations de mise en conformité.

Pour rester en conformité, il faut souvent s'associer à des fournisseurs locaux ou hybrides. Ceci garantit l'alignement juridique, tout en conservant la possibilité d'accéder aux fonctionnalités modernes du cloud souverain.

L'avenir de la souveraineté

Une pression réglementaire croissante

Au fur et à mesure de l'évolution de la souveraineté du cloud, la pression réglementaire devrait s'intensifier dans le monde entier. Les gouvernements et les industries continueront à créer des lois plus strictes en matière de protection des données et de localisation. Ces évolutions pousseront les entreprises à augmenter la demande de clouds souverains pour rester en conformité. Ceci permettra aussi d’ empêcher l'accès non autorisé aux données.

Les approches hybrides et multicloud

Les entreprises mettront de plus en plus en œuvre des solutions de souveraineté hybrides et multicloud. Cette mise en place leur permettra de rester agiles et de favoriser la flexibilité, l'innovation et l'évolutivité.

Les clouds souverains peuvent héberger les données les plus sensibles d'une entreprise. Ainsi, elle peut utiliser les clouds publics pour les charges de travail qui ne sont pas soumises à des réglementations aussi strictes.

Il serait bénéfique pour les entreprises et les régulateurs de développer des normes et des cadres internationaux. Une unicité réglementaire pourrait simplifier la conformité, un des défis majeurs du cloud souverain. Cela permettrait aussi une interopérabilité globale entre les clouds souverains et d'autres environnements clouds mondiaux.

Nutanix et le cloud souverain, définition d’une combinaison gagnante

Nutanix aide les entreprises à renforcer leur souveraineté dans le cloud en facilitant :

• la sécurisation des données,
• le respect des règles de conformité,
• et l'architecture de systèmes résilients, sans être entravées par la dépendance vis-à-vis des fournisseurs ou les risques géopolitiques.

Avec Nutanix, les entreprises peuvent naviguer dans des mandats de souveraineté complexes tout en augmentant la performance et la sécurité des charges de travail critiques. Cette plateforme multicloud permet :

• d’exécuter des applications et des données dans n'importe quel environnement,
• d’appliquer des politiques de résidence strictes,
• de mettre en œuvre un chiffrement complet,
• d’appliquer un contrôle d'accès granulaire,
• de construire des architectures résilientes,
• et d’opérer de manière transparente dans des environnements déconnectés et isolés. 

La plateforme cloud flexible et puissante de Nutanix est gérée de manière cohérente à travers la périphérie, les datacenters et les clouds publics. , Ce système confère différents avantages, et notamment le contrôle des données et des opérations. Il aide aussi à répondre aux besoins de conformité et permet à l'entreprise d'évoluer plus rapidement, de manière plus sûre et plus intelligente.