Quel stockage objet pour le secteur public ?

11

Le stockage objet est aujourd’hui au cœur d’un large éventail de charges de travail du secteur public : preuves numériques et vidéos de caméras-piétons, archives administratives, sauvegardes protégées contre les ransomwares, vidéosurveillance, données de santé et d’action sociale, imagerie géospatiale, données de recherche et plateformes de données des services aux citoyens. Les administrations choisissent le stockage objet parce qu’il passe à l’échelle du pétaoctet, protège les données efficacement et fonctionne avec l’interface S3 qu’attendent les applications modernes. Mais les acheteurs publics l’évaluent différemment de la plupart des entreprises. Homologation de sécurité, souveraineté des données, règles de la commande publique, conservation longue durée et redevabilité publique pèsent sur chaque décision.

Ce guide explique comment les administrations évaluent le stockage objet, quelles exigences comptent le plus, comment les référentiels diffèrent selon les régions et comment choisir entre déploiement sur site, cloud gouvernemental et hybride. Il fait le lien avec nos guides plus spécifiques, notamment CJIS compliant storage, FedRAMP compliant object storage et CMMC compliant storage for defense contractors (en anglais).

Ce que les administrations stockent sur du stockage objet

• Preuves numériques et vidéos de caméras-piétons pour la police, le parquet et les tribunaux.
• Documents et archives conservés pendant des années, voire définitivement, au titre du droit des archives publiques.
• Sauvegardes et copies de reprise après ransomware pour les systèmes critiques.
• Vidéosurveillance pour les villes, les transports et les bâtiments publics.
• Données de santé, d’action sociale et de prestations soumises à des règles strictes de confidentialité.
• Données géospatiales, satellitaires et scientifiques pour la cartographie, l’environnement et la recherche.
• Data lakes et plateformes analytiques pour les politiques publiques, la détection de fraude et l’IA.

Beaucoup de ces données partagent trois caractéristiques : de gros volumes, une longue durée de conservation et une forte sensibilité.

Les exigences qui comptent le plus

Sécurité et homologation

Les administrations doivent démontrer que le stockage respecte leurs référentiels de sécurité avant toute mise en production des données. Les attentes habituelles comprennent le chiffrement au repos et en transit, une authentification forte et un contrôle d’accès par rôles, la séparation des tâches, des journaux d’audit détaillés, la gestion des vulnérabilités et des configurations de référence sécurisées. Les produits peuvent aussi devoir utiliser des modules cryptographiques validés lorsque les référentiels l’exigent.

Immuabilité et résilience face aux ransomwares

Les organismes publics sont des cibles fréquentes de ransomwares. L’Object Lock en mode conformité, qui empêche toute suppression ou modification des données jusqu’à leur date de fin de rétention, est devenu une exigence de base pour les sauvegardes, les éléments de preuve et les archives. Des identifiants distincts et des copies isolées renforcent encore la protection.

Souveraineté et localisation des données

La plupart des États exigent qu’une partie ou la totalité de leurs données reste sur le territoire national et sous contrôle juridique national. Cela inclut les répliques, les sauvegardes, les métadonnées et les journaux, et limite souvent qui peut administrer les systèmes ou en assurer le support.

Conservation et gestion des archives

Le droit des archives publiques, les règles relatives aux preuves et les réglementations sectorielles fixent des durées de conservation qui peuvent atteindre plusieurs décennies. Le stockage doit appliquer à grande échelle les politiques de rétention, les gels juridiques et une suppression justifiable, et traverser plusieurs générations de matériel sans migration de données.

Résilience et continuité

Les services publics critiques ne peuvent se permettre ni perte de données ni longue interruption. L’erasure coding, le déploiement multisite, la reprise testée et la protection contre les sinistres régionaux font partie des attentes standard.

Coûts et commande publique

Les budgets sont examinés de près et pluriannuels. Les administrations comparent le coût total sur cinq à sept ans et doivent suivre les règles de la commande publique, qui privilégient souvent les standards ouverts et l’absence de dépendance à un fournisseur.

Les référentiels par région

Les exigences diffèrent selon les pays, et les administrations ont généralement besoin d’un stockage compatible avec le référentiel applicable :

• États-Unis : les agences fédérales s’appuient sur FedRAMP pour les services cloud et sur les contrôles de sécurité du NIST ; les données des forces de l’ordre relèvent de la CJIS Security Policy ; les sous-traitants de la défense qui traitent des informations non classifiées contrôlées sont soumis à la CMMC.
• France : les données publiques sensibles exigent de plus en plus des services qualifiés selon le référentiel SecNumCloud de l’ANSSI, qui inclut une protection contre les accès juridiques extra-européens.
• Allemagne : le catalogue de critères C5 du BSI est une référence clé pour les services cloud utilisés par les organismes publics et les acteurs de santé.
• Royaume-Uni : la plupart des données du secteur public sont classées OFFICIAL et traitées avec un niveau de sécurité commercial conforme aux principes de sécurité cloud du NCSC.
• Japon : les achats publics de services cloud reposent sur l’enregistrement ISMAP.
• Émirats arabes unis : les données publiques et de santé doivent généralement rester dans le pays, en vertu des règles fédérales et propres à chaque émirat.
• Union européenne : le RGPD s’applique aux données personnelles, et NIS2 renforce les obligations de sécurité des administrations publiques et des services essentiels.

Les options de déploiement

Sur site, dans les datacenters publics

Les administrations exploitent le stockage objet sur leur propre infrastructure ou dans des datacenters publics mutualisés. Cette approche offre un contrôle maximal sur la localisation, les accès et le support, et convient aux données sensibles, à la conservation longue durée et aux gros volumes. Elle exige une planification de capacité et des équipes d’exploitation.

Cloud gouvernemental ou souverain

Les services cloud autorisés pour un usage public, ou opérés par des fournisseurs nationaux dans le cadre de référentiels de souveraineté, offrent une exploitation cloud assortie de garanties définies. Les administrations doivent vérifier où se trouvent les données, les clés et le support, et comment fonctionne la réversibilité.

Hybride

De nombreuses administrations combinent les deux : les données sensibles et volumineuses sur site ou dans des installations souveraines, les charges moins sensibles dans des services cloud autorisés. Un stockage objet compatible avec l’API S3 rend les données portables entre environnements.

Comment évaluer un stockage objet pour le secteur public

Domaine	Ce qu’il faut vérifier
Sécurité	Chiffrement, cryptographie validée si nécessaire, administration par rôles, journaux d’audit, guides de durcissement
Immuabilité	Object Lock en mode conformité, identifiants distincts, copies isolées
Souveraineté	Données, métadonnées, journaux et support entièrement dans les juridictions requises
Conservation	Rétention pilotée par des politiques, gels juridiques, suppression vérifiable
Résilience	Erasure coding, déploiement multisite, reprise testée
Échelle	Croissance jusqu’au pétaoctet sans migration, renouvellement du matériel sur place
Ouverture	Compatibilité S3, matériel standard, procédures d’export documentées
Coût	Coût sur cinq à sept ans par téraoctet utile, licences à la capacité projetée

Des plateformes mutualisées entre administrations

De nombreux États regroupent leur stockage dans des plateformes mutualisées au service de plusieurs ministères, agences ou collectivités. Une plateforme de stockage objet mutualisée peut réduire le coût au téraoctet, standardiser les contrôles de sécurité et simplifier l’exploitation, mais elle doit cloisonner strictement les données de chaque entité. Recherchez des comptes, identifiants, politiques, quotas et chiffrement propres à chaque entité, ainsi qu’un reporting permettant à chaque administration de consulter sa propre consommation et sa propre piste d’audit.

Anticiper la croissance et le renouvellement

Les données du secteur public diminuent rarement. Les programmes de caméras-piétons s’étendent, l’imagerie se développe, les archives s’accumulent et les projets d’IA apportent de nouveaux jeux de données. Planifiez la capacité sur au moins cinq ans et choisissez un stockage qui s’étend par petits incréments. Le renouvellement est tout aussi important : des données conservées pendant des décennies survivront à plusieurs générations de matériel, et un stockage qui remplace ses nœuds sur place sans migrer les données évite des projets répétés et risqués.

Préparer l’homologation

Homologations et audits sont plus rapides lorsque les équipes stockage préparent les preuves en amont : schémas d’architecture montrant la localisation et les flux de données, traces de configuration du chiffrement et de l’Object Lock, revues d’accès des administrateurs, échantillons de journaux, résultats des tests de reprise et documentation des modalités de support du fournisseur. Les plateformes qui exposent leur configuration et leurs journaux via des API facilitent la production continue de ces preuves.

Les erreurs fréquentes

• Réduire la souveraineté à la localisation des données, alors que les journaux, la télémétrie ou les accès de support quittent le pays.
• Laisser les sauvegardes modifiables, si bien qu’un ransomware peut atteindre chaque copie.
• Dimensionner pour la capacité actuelle, puis devoir mener une migration complète quelques années plus tard.
• Négliger la conservation, si bien que les données s’accumulent indéfiniment ou sont supprimées sans preuve.
• Documenter insuffisamment les contrôles, ce qui ralentit homologations et audits.

Les questions à poser aux fournisseurs

• La plateforme peut-elle fonctionner entièrement sur notre infrastructure, sans service externe obligatoire ?
• Quels référentiels et certifications prend-elle en charge dans notre pays ?
• Comment le support est-il assuré, et l’accès distant peut-il être contrôlé et journalisé ?
• Comment la capacité évolue-t-elle, et que se passe-t-il lors du renouvellement du matériel ?

En résumé

Le stockage objet pour le secteur public doit allier échelle et efficacité à l’homologation de sécurité, à l’immuabilité, à la souveraineté, à la conservation longue durée et à la redevabilité publique. Les exigences diffèrent entre les États-Unis, la France, l’Allemagne, le Royaume-Uni, le Japon, les Émirats arabes unis et l’ensemble de l’UE, mais la démarche d’évaluation reste la même : vérifier les contrôles de sécurité, la protection immuable, les limites de localisation et de support, la conservation et la résilience, puis comparer le coût à long terme. Les déploiements sur site et souverains restent centraux pour les données publiques sensibles et volumineuses, souvent associés à des services cloud autorisés dans un modèle hybride.

Questions fréquentes

Pourquoi les administrations utilisent-elles le stockage objet ?

Parce qu’il passe à l’échelle du pétaoctet, protège efficacement les données grâce à l’erasure coding, prend en charge l’immuabilité et fonctionne avec les applications modernes via l’API S3.

Quelles fonctionnalités de sécurité les administrations exigent-elles ?

Le chiffrement, une authentification forte, une administration par rôles, la journalisation d’audit, l’Object Lock en mode conformité et, lorsque les référentiels l’exigent, des modules cryptographiques validés.

Les données publiques doivent-elles rester dans le pays ?

Souvent, oui, en particulier pour les données sensibles. Les exigences varient selon le pays et le type de données, et couvrent généralement les sauvegardes, les métadonnées et les accès de support.

Le stockage cloud est-il autorisé pour les données publiques ?

Oui, lorsque les services respectent le référentiel applicable, comme FedRAMP aux États-Unis, SecNumCloud en France, C5 en Allemagne ou ISMAP au Japon.

Combien de temps faut-il conserver les données publiques ?

Cela dépend du droit des archives et du type de données. Certains documents sont conservés pendant des décennies, voire définitivement : le stockage doit donc permettre une conservation longue durée et le renouvellement du matériel.

Pour aller plus loin

• CJIS compliant storage (en anglais)
• FedRAMP compliant object storage (en anglais)
• CMMC compliant storage (en anglais)
• Digital evidence storage (en anglais)
• Sovereign cloud storage (en anglais)