Pourquoi une landing zone échoue souvent après six mois
Les erreurs les plus courantes des landing zones cloud et les actions pour les rendre pérennes au-delà des premiers mois.
Vous confiez vos objets les plus précieux à un coffre bancaire. La banque vous en montre les épaisses portes d'acier, les caméras, le double sas : la serrure est irréprochable, et vous dormez tranquille. Mais imaginez que cette banque, si sûre soit-elle, soit installée dans un pays dont les lois autorisent un juge étranger à ordonner l'ouverture de votre coffre - sans vous prévenir, et sans que la qualité de la serrure y change quoi que ce soit. Soudain, la vraie question n'est plus « mon coffre est-il bien fermé ? » mais « qui, en dehors de moi, détient un passe légal ? ». C'est très exactement la question à laquelle répond SecNumCloud.
À mesure que les données sensibles migrent vers le cloud, cette interrogation revient sans cesse : à qui fait-on réellement confiance pour les héberger ? En France, la réponse porte ce nom : SecNumCloud, la qualification de l'ANSSI pour les offres de « cloud de confiance ». Voici ce qu'elle recouvre, et quand elle est vraiment pertinente.
En résumé
- La vraie question n'est pas « mon coffre est-il bien fermé » mais « qui, en dehors de moi, détient un passe légal ». Une serrure irréprochable ne dit rien du droit qui s'applique au coffre.
- SecNumCloud atteste d'un haut niveau de sécurité technique et organisationnelle, mais son apport distinctif est ailleurs : l'immunité vis-à-vis des législations extraterritoriales, comme le CLOUD Act.
- La qualification répond donc à deux questions qu'on confond : mes données sont-elles protégées, et qui pourrait légalement y accéder ? On peut avoir une serrure parfaite et un passe dans une poche étrangère.
- Elle prend son sens pour les données sensibles (santé, données personnelles à grande échelle, secrets industriels), les secteurs régulés, et les traitements dont l'interruption ou la divulgation aurait un impact stratégique.
- La souveraineté n'est pas un interrupteur : c'est une décision par usage. On réserve le cloud de confiance là où l'enjeu le justifie, sans s'interdire l'agilité ailleurs.
- Le préalable est donc de classifier ses données avant de choisir où les héberger.
Ce que garantit SecNumCloud
SecNumCloud est un référentiel exigeant qui atteste qu'un prestataire cloud respecte un haut niveau de sécurité technique et organisationnelle - c'est la porte d'acier et les caméras de notre coffre. Mais son apport ne s'arrête pas là, et c'est ce qui le distingue d'un simple label de sécurité : la qualification vise aussi à garantir une immunité vis-à-vis des législations extraterritoriales, comme le CLOUD Act américain qui peut contraindre un fournisseur soumis au droit américain à divulguer des données, y compris hébergées en Europe. C'est la garantie que personne ne détient de passe légal sur votre coffre.
Autrement dit, SecNumCloud répond à deux questions bien distinctes, qu'on a trop souvent tendance à confondre : « mes données sont-elles bien protégées ? » - la solidité de la serrure - et « qui, en dehors de moi, pourrait légalement y accéder ? » - l'existence d'un passe. On peut avoir une serrure parfaite et un passe dans une poche étrangère ; c'est précisément cette situation que la qualification écarte. Ce second point en fait un pilier de la souveraineté numérique.
Quand cela compte vraiment
Tout ne nécessite pas un cloud qualifié. SecNumCloud prend tout son sens pour :
- Les données sensibles : santé, données personnelles à grande échelle, secrets industriels.
- Les secteurs régulés et les organisations soumises à des exigences de souveraineté.
- Les traitements où une interruption ou une divulgation aurait un impact stratégique.
Pour d'autres usages, un cloud classique bien configuré et bien gouverné reste pertinent. La bonne démarche consiste à classifier ses données avant de choisir où les héberger.
La souveraineté n'est pas un interrupteur
Ce n'est pas « tout souverain » ou « rien ». C'est une décision par usage : quelles données, quel niveau de sensibilité, quelle exposition juridique acceptable. On réserve le cloud de confiance là où l'enjeu le justifie, sans s'interdire l'agilité ailleurs.
En conclusion
SecNumCloud n'est pas qu'un label de sécurité de plus : c'est la combinaison d'un haut niveau de protection et d'une protection contre les accès extraterritoriaux. Savoir quand il est nécessaire suppose d'abord de connaître la valeur et la sensibilité de ses données. C'est là que se joue une stratégie cloud à la fois performante et maîtrisée.
Définir votre stratégie cloud de confiance
Kenawek vous aide à classifier vos données et à décider, usage par usage, où placer le curseur entre agilité et souveraineté. Parlons-en.