4 Protéger les données n’est qu’une pièce du puzzle pour les organisations d’aujourd’hui. Elles doivent aussi relever des défis connexes en matière de souveraineté des données (en anglais) et de confidentialité. Selon le lieu d’implantation de votre organisation et son secteur, vous devez respecter de nombreuses réglementations sur la confidentialité des données, et la liste s’allonge. Sans oublier la souveraineté des données, qui concerne tout particulièrement les organisations implantées ou actives dans l’Union européenne. Face à ce triple défi, le choix de votre architecture de stockage (en anglais) IT joue un rôle clé. Les trois pieds du tabouret : confidentialité, protection et souveraineté des données La confidentialité des données consiste à empêcher que des informations soient vendues ou partagées, tandis que la protection des données vise plutôt à les mettre à l’abri des acteurs malveillants. Ce sont souvent les deux faces d’une même pièce. Autrement dit, la confidentialité définit qui a accès aux données, et la protection applique ces restrictions. La protection des données consiste bien sûr à sécuriser vos données. Mais à l’ère des ransomwares dopés à l’IA, cette idée simple devient complexe et critique. Par exemple, en plus des outils de cybersécurité classiques, les organisations ont besoin de sauvegardes immuables pour empêcher le chiffrement, la modification ou la suppression des données. Avec un accès rapide à une sauvegarde saine à restaurer, la capacité d’un attaquant à vous extorquer une rançon est neutralisée. La souveraineté des données est un sujet voisin mais lié, fondé sur l’idée qu’un pays ou une juridiction a l’autorité et le droit de régir et de contrôler les données produites sur son territoire. Ce terme peut aussi désigner la souveraineté d’une organisation sur ses propres données, notamment lorsqu’elle évalue sa dépendance au cloud public. Au fond, ces trois notions portent sur le contrôle des données : où et comment elles sont stockées, et comment elles sont protégées des mains malveillantes. Une mosaïque de réglementations et beaucoup de questions Les réglementations sur les données sont nombreuses. Si votre organisation opère dans une seule région géographique, c’est déjà complexe. Si elle distribue ou collecte des contenus à l’échelle mondiale, c’est encore plus difficile, car vous êtes alors soumis à tout un ensemble de réglementations floues selon l’endroit où vous stockez les données. Le Règlement général sur la protection des données (RGPD) de l’Union européenne est l’un des textes les plus connus — et l’un de ceux qui prévoient les plus lourdes amendes en cas de non-conformité — mais il est loin d’être le seul. Les infractions peuvent entraîner des amendes allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial de l’exercice précédent. Et le Data Governance Act (en anglais) européen, centré sur la souveraineté des données, comporte des exigences parfois difficiles à respecter. Aux États-Unis, il n’existe pas encore de politique globale sur la confidentialité ou la souveraineté des données. Ce sont plutôt les États qui adoptent leurs propres textes, dont le plus connu est le California Consumer Privacy Act (CCPA). Beaucoup d’autres sont en préparation (en anglais), car la dynamique en faveur de lois complètes sur la confidentialité ne faiblit pas. Au-delà des réglementations propres à chaque État, il existe aussi plusieurs obligations de conformité sectorielles ; l’une des plus connues est la HIPAA (en anglais) pour le secteur de la santé (en anglais). Lors d’un audit — par exemple pour la conformité au RGPD — votre organisation peut devoir indiquer où elle traite les données, où ses fournisseurs de services (en anglais) les traitent, la localisation, la nationalité et la résidence des personnes dont elle détient les données, les lieux où elle exerce physiquement son activité, ainsi que son lieu de constitution ou d’immatriculation. Cela représente beaucoup d’informations à rassembler, et un chantier considérable. Pour de nombreuses organisations, trouver ces réponses est un vrai défi, surtout avec plusieurs fournisseurs cloud. Comment relever les défis de la confidentialité, de la protection et de la souveraineté des données Votre architecture IT et vos choix de stockage jouent un rôle clé pour répondre à ces enjeux. Une étude mondiale d’IDC (en anglais) montre que 48 % des répondants estiment que la souveraineté des données et la conformité sectorielle ont pésé lourd dans les discussions sur leurs futures architectures IT. La souveraineté numérique pour l’IA occupe le devant de la scène. Elle est importante pour les modèles de langage locaux et la compréhension des nuances culturelles. S’associer à des fournisseurs cloud locaux est essentiel pour un modèle de données d’IA souverain. Le cloud public doit changer de rôle, car les entreprises s’inquiètent du contrôle. La question à se poser est la suivante : les solutions de cloud hybride rendent-elles le contrôle des données, du code et des coûts plus simple ou plus complexe ? C’est peut-être pour cela qu’IDC prévoit davantage de stockage sur site avec les solutions d’IA. Dans ce contexte, l’IA est une question de contrôle — des données, du code et des coûts. Comme l’a souligné IDC lors de son récent événement IDC Directions 2024, « l’avenir du cloud, c’est le contrôle ». Les organisations ont besoin d’une solution flexible et évolutive qui leur donne plus de contrôle ; superviser ses données sur site peut être un atout majeur. Tout revient à savoir où se trouvent vos données. Pour répondre aux audits liés à ces réglementations strictes, votre atout maître sera toujours la capacité à interroger les données, à contrôler les accès et à appliquer la sécurité. Tout cela doit faire partie de la chaîne de traçabilité. Pourquoi le stockage objet S3 est si bien adapté à ces enjeux À mesure que les réglementations s’étendent et que les organisations réfléchissent à la meilleure façon de garder le contrôle de leurs données, un cloud privé sur site peut être une bonne approche. L’une des raisons pour lesquelles le stockage objet est idéal, c’est qu’il repose sur les métadonnées — des attributs riches et personnalisables qui décrivent les propriétés, l’usage et la fonction des données stockées — ce qui permet une analyse et une récupération flexibles. Pour une protection maximale des données, les organisations doivent aussi rechercher une véritable immuabilité dans leur solution de stockage. Pourquoi ? Parce que certaines formes d’immuabilité — comme celle des snapshots de NAS ou de systèmes de fichiers, des appliances de déduplication, des dépôts Linux, des bandes ou des proxys S3 — laissent des fenêtres d’exposition exploitables. La forme d’immuabilité la plus forte est offerte uniquement par l’API S3 Object Lock (en anglais) mise en œuvre sur une architecture de stockage objet native intrinsèquement immuable. La solution de stockage objet S3 de Scality réunit les avantages du cloud public et la sécurité et le contrôle d’une infrastructure de cloud privé sur site. Alliant échelle et vitesse, elle évolue de façon exponentielle selon les besoins du client. C’est la seule solution du marché qui va au-delà de l’immuabilité pour offrir une cyber-résilience de bout en bout CORE5, avec des protections à chaque niveau du système — de l’API à l’architecture — pour fermer la porte au plus grand nombre possible de vecteurs de menace. Répondre aux exigences actuelles de conformité, de sécurité et de souveraineté Face à des attaques par ransomware toujours plus nombreuses et sophistiquées, les organisations se concentrent à juste titre sur la protection des données. Mais ce n’est pas leur seule préoccupation : elles doivent aussi gérer les enjeux connexes de souveraineté et de confidentialité des données. Heureusement, les entreprises n’ont pas à renoncer aux avantages du cloud public pour rester conformes et garder le contrôle de leurs données. La réponse ? Un environnement de cloud privé sur site qui offre le meilleur des deux mondes.
