2 Les régulateurs imposent des exigences de plus en plus strictes sur le lieu de stockage, de traitement et d’accès aux données. La souveraineté des données dans le cloud n’est plus une simple case de conformité : c’est une décision d’architecture stratégique qui façonne la résilience et l’indépendance de l’organisation. La souveraineté des données découle d’intérêts publics légitimes. Les régulateurs financiers exigent que les données de transaction soient stockées dans leur pays. Les autorités de santé exigent une gestion nationale des données des patients. Les États veulent garantir l’accès des forces de l’ordre. Ces objectifs entrent en conflit avec la centralisation mondiale des infrastructures des fournisseurs cloud. Comprendre le risque juridictionnel du stockage cloud mondial L’informatique sur site simplifiait la conformité juridictionnelle. Le stockage cloud a changé la donne. Les données résident physiquement dans des data centers que vous ne contrôlez pas, potentiellement hors de votre juridiction. Cela crée une exposition réglementaire. Prenons une société de services financiers européenne qui envoie des données clients dans un bucket situé dans une « région UE ». Le RGPD s’applique. Mais les fournisseurs cloud répliquent les données vers des systèmes de sauvegarde situés dans d’autres régions. S’il existe une sauvegarde aux États-Unis, les autorités américaines peuvent en exiger l’accès en vertu du CLOUD Act. La copie principale est dans l’UE, mais les copies répliquées créent une exposition juridique. Cette fragmentation s’étend au chiffrement et à la gestion des clés. Un fournisseur cloud qui chiffre avec ses propres clés peut déchiffrer à la demande. Il en résulte une tension entre la protection des données (le chiffrement empêche les accès non autorisés) et la souveraineté (les données résident dans des juridictions où les autorités peuvent y accéder). Les flux de données transfrontaliers aggravent le risque. Votre organisation peut traiter les données dans un pays, stocker les copies principales dans un deuxième, conserver les sauvegardes dans un troisième et exploiter ses systèmes depuis un quatrième. Chaque juridiction peut faire valoir des droits. Si l’une d’elles impose des exigences de souveraineté, votre architecture risque de les enfreindre. Maîtriser les bonnes pratiques de souveraineté des données (en anglais) aide à gérer ces flux complexes. Les exigences de résidence des données dans les secteurs réglementés Chaque secteur impose ses propres exigences de résidence. Il est essentiel de bien les comprendre. Services financiers : les exigences sont strictes dans la plupart des juridictions. Les réglementations bancaires imposent de stocker les données clients dans les pays où la banque opère. Le RGPD exige que les données des résidents de l’UE restent en Europe, sauf consentement explicite. Des exigences similaires s’appliquent au Canada, en Australie et dans la plupart des démocraties. La distinction entre souveraineté et résidence des données (en anglais) clarifie les attentes des régulateurs. Santé : les exigences sont tout aussi strictes. HIPAA laisse une certaine souplesse mais impose des garde-fous, que beaucoup interprètent comme une obligation de stockage sur site. Le RGPD prévoit des règles particulières pour les données de santé. Le Canada, l’Australie et le Japon exigent que les données de santé restent sur leur territoire. Comprendre les exigences du RGPD en matière de stockage des données (en anglais) est indispensable. Secteur public et défense : ce sont les exigences les plus strictes. Les sous-traitants de la défense américaine ne peuvent pas stocker d’informations classifiées sur une infrastructure cloud partagée. Les administrations britanniques sont soumises aux restrictions de l’Official Secrets Act. La Chine interdit la sortie des données sensibles de son territoire. Ces exigences empêchent certaines organisations d’utiliser des services cloud commerciaux. Sciences de la vie et industrie pharmaceutique : les exigences sont complexes et dictées par la réglementation des essais cliniques. Les données d’essai doivent résider dans les juridictions d’enregistrement. Les transferts internationaux nécessitent une autorisation explicite. Les essais multinationaux exigent des silos de données distincts. Concevoir une architecture de cloud souverain Bâtir une infrastructure cloud qui respecte la souveraineté tout en conservant les avantages de l’échelle du cloud exige des choix d’architecture explicites qui contraignent les données à rester dans les juridictions autorisées. Commencez par des frontières géographiques strictes. Utilisez des services de stockage verrouillés par région plutôt que la réplication mondiale par défaut. Configurez explicitement les politiques de réplication et supprimez les configurations de réplication par défaut. Étendez ces restrictions à tous les flux de données. Les données de sauvegarde doivent rester dans les régions autorisées. La réplication, les sauvegardes incrémentielles et les copies de reprise après sinistre doivent rester dans ces limites. Le traitement des données doit s’exécuter dans les juridictions autorisées. Même les flux temporaires (journaux, métriques) doivent rester dans ce périmètre. Mettez en place des frontières réseau qui empêchent tout flux sortant non autorisé. Utilisez des VPC, des groupes de sécurité et des ACL réseau. Surveillez en continu le trafic réseau pour détecter toute violation de ce périmètre. Pour les exigences les plus strictes, envisagez une infrastructure dédiée, séparée des fournisseurs commerciaux. AWS GovCloud et Microsoft Government Cloud proposent des services cloud entièrement situés dans les juridictions autorisées, avec une conformité dédiée. Mettez en place des pistes d’audit explicites. Journalisez tous les accès aux données, les changements d’emplacement et les mouvements entre juridictions. Ces pistes constituent vos preuves de conformité. La gestion des clés, levier de souveraineté La gestion des clés de chiffrement est déterminante. Des clés détenues par le fournisseur cloud créent des revendications juridictionnelles implicites : si le fournisseur détient les clés, il peut déchiffrer à la demande. Mettez donc en œuvre un chiffrement côté client avec des clés entièrement sous votre contrôle. Chiffrez les données avant de les envoyer vers le stockage cloud. Votre fournisseur gère alors des données chiffrées auxquelles il n’a pas accès. Si des autorités en exigent l’accès, le fournisseur ne peut pas y donner suite sans les clés. Déployez votre infrastructure de gestion des clés dans des installations sécurisées que vous contrôlez : HSM sur site, infrastructure cloud dédiée dans des juridictions autorisées ou services spécialisés de gestion des clés. L’exigence essentielle : vous maîtrisez la distribution, la rotation et l’accès aux clés. Décrivez l’architecture de chiffrement dans votre documentation de conformité : les données sont chiffrées au repos dans les systèmes cloud et ne peuvent pas être déchiffrées sans vos clés. Cela démontre une séparation claire entre votre responsabilité et le rôle du fournisseur en tant qu’infrastructure de stockage. Gérer la reprise après sinistre et la résilience multirégion Les exigences de souveraineté entrent en conflit avec la reprise après sinistre classique, qui copie les données entre régions géographiques. Si les données principales sont en Europe, la pratique courante consiste à les copier vers des régions éloignées. Or des copies situées hors des juridictions autorisées enfreignent la souveraineté. Mettez donc en place une redondance au sein de la juridiction. L’Europe compte de nombreux data centers géographiquement séparés (Allemagne, France, Irlande, Pays-Bas). Répliquez entre data centers européens sans franchir les frontières. Cette approche assure la résilience face à la défaillance d’un data center tout en préservant la souveraineté. Les copies de reprise après sinistre restent dans les juridictions autorisées. Votre organisation conserve toute sa capacité opérationnelle tout en respectant les exigences. Pour les activités multijuridictionnelles, maintenez une infrastructure distincte dans chaque juridiction. Une société de services financiers présente en Europe, en Asie et sur le continent américain dispose d’un stockage séparé dans chaque région : les données européennes restent en Europe, les données asiatiques en Asie. Cette ségrégation empêche les flux de données transfrontaliers. Le juste équilibre entre souveraineté et économie Une souveraineté stricte augmente les coûts. Maintenir une infrastructure dédiée dans plusieurs juridictions exige davantage de systèmes de stockage et d’équipes opérationnelles. Une reprise après sinistre limitée à une juridiction offre moins de diversité géographique. Mais les bénéfices en matière de conformité réglementaire et d’indépendance opérationnelle justifient ces coûts. Les architectures souveraines réduisent l’exposition réglementaire, évitent la dépendance aux fournisseurs cloud et préservent la maîtrise des données critiques. Dans les secteurs réglementés, les bénéfices dépassent souvent les coûts supplémentaires. Pour les activités mondiales, évaluez explicitement les compromis selon la classification des données. Les données les plus sensibles justifient une infrastructure souveraine ; les données moins sensibles peuvent s’appuyer sur le cloud mondial. Cette approche par niveaux concilie conformité et efficacité. Bâtir une infrastructure de cloud souverain Commencez par documenter explicitement les exigences juridictionnelles, avec vos équipes juridiques, conformité et réglementaires. Identifiez quelles données relèvent de quelles juridictions, quelles réplications sont autorisées et quels flux sont interdits. Mettez en place une architecture cloud qui applique ces exigences par des contrôles techniques : stockage verrouillé par région, réplication restreinte, chiffrement côté client et pistes d’audit. Pour les données les plus sensibles, évaluez si une infrastructure de cloud souverain (services dédiés au secteur public) ou une infrastructure sur site répond mieux à vos obligations que les services cloud commerciaux. Considérez la souveraineté des données comme une opportunité stratégique : celle de concevoir une infrastructure cloud qui préserve l’indépendance et la maîtrise de votre organisation. Pour aller plus loin Les réglementations sur la protection des données (en anglais) Le stockage conforme HIPAA pour les données de santé (en anglais) Le chiffrement des données : guide pour les responsables conformité et IT (en anglais) Souveraineté des données ou cloud public : faire le bon choix (en anglais) NIS2 : la directive européenne sur la cybersécurité expliquée (en anglais) L’architecture zero trust : guide complet de mise en œuvre (en anglais) Guide de conformité FIPS pour un stockage sécurisé (en anglais)
