SecNumCloud : ce que la qualification couvre vraiment

La question posée par un acheteur est presque toujours mal formulée. Demander si un fournisseur est qualifié n'a pas de sens : la qualification ne porte jamais sur une entreprise, elle porte sur une offre de service donnée, opérée depuis des sites nommés, pendant une durée fixée. Un même acteur peut donc proposer côte à côte une offre qualifiée et une offre qui ne l'est pas, sans rien dissimuler.

Un référentiel en deux moitiés

La première moitié du référentiel est un socle de sécurité de facture classique, proche de ce que l'on trouve dans les normes internationales de management de la sécurité de l'information : gouvernance, gestion des risques, gestion des identités et des accès, cloisonnement entre clients, journalisation, chiffrement et gestion des clés, sécurité physique, gestion des vulnérabilités, réponse aux incidents, continuité. Le niveau d'exigence est élevé et la démonstration se fait par audit, mais la nature des exigences ne surprendra personne.

La seconde moitié est celle qui distingue réellement ce dispositif. Elle traite du droit applicable et de l'exposition aux législations extraterritoriales. Elle impose que le prestataire soit établi dans l'Union européenne, que les données et les journaux techniques y soient stockés et traités, que l'administration du service s'opère depuis l'Union, et elle plafonne la détention capitalistique par des entités extra-européennes. Ce volet est la raison pour laquelle cette qualification n'est pas interchangeable avec une certification internationale, quelle que soit la qualité de cette dernière.

Le périmètre, encore le périmètre

Trois écarts reviennent systématiquement entre ce que l'acheteur croit acheter et ce que la décision de qualification couvre. Le premier concerne les services connexes : une offre de calcul qualifiée ne rend pas qualifiés l'annuaire, le service de messagerie ou l'outil de supervision qui l'accompagnent. Le deuxième concerne les régions : un service qualifié dans deux centres de données ne l'est pas dans un troisième ouvert depuis. Le troisième concerne le temps : une qualification a une date de fin, et un renouvellement peut être en cours d'instruction sans être acquis.

La bonne pratique consiste donc à annexer au contrat la décision elle-même, avec sa date, sa version de référentiel et la liste exhaustive des services couverts, puis à prévoir ce qui se passe si la qualification n'est pas renouvelée. Cette dernière hypothèse est rarement traitée, alors qu'elle constitue un motif de sortie légitime, ce qui renvoie directement à la rédaction de la clause de réversibilité.

Ce que la qualification ne dit pas

Elle ne dit rien de la sécurité de vos applications. Un service qualifié héberge parfaitement une application vulnérable, un compte d'administration sans double authentification ou une base ouverte sur l'extérieur. La responsabilité partagée reste entière, et elle doit figurer dans une matrice explicite.

Elle ne dit rien non plus de la disponibilité. Les engagements de service se lisent séparément, avec leurs exclusions et leurs modalités de mesure, selon la méthode que nous décrivons dans notre décorticage d'un SLA d'infogérance ligne à ligne. Un service très sécurisé peut afficher une disponibilité ordinaire, et inversement.

Elle ne dispense enfin d'aucune obligation sectorielle. Pour les données de santé, la certification prévue par le code de la santé publique s'applique en propre, avec son propre découpage en activités, que nous avons détaillé dans notre analyse de ce que la certification HDS impose vraiment. Les deux dispositifs se cumulent : l'un traite de la souveraineté et du socle de sécurité, l'autre du régime applicable aux données de santé.

Le coût réel du choix

Opter pour une offre qualifiée a trois conséquences budgétaires qu'il vaut mieux anticiper. Le catalogue de services est plus étroit que celui des grandes plateformes internationales, ce qui déplace une part du travail vers vos équipes : ce que vous ne consommez pas comme service managé, vous l'exploitez vous-même. Les tarifs unitaires de calcul et de stockage sont souvent plus lisibles, avec moins de lignes annexes, mais rarement les plus bas du marché. Enfin, les frais de transfert de données restent un poste à modéliser, sujet que nous traitons en détail dans notre méthode pour lire une facture cloud à l'envers.

Ce transfert de charge vers l'interne rejoint un arbitrage plus général sur l'outillage que l'on décide d'exploiter soi-même. Nous l'avons posé en chiffres à propos de l'orchestration de conteneurs, dans notre analyse du seuil à partir duquel Kubernetes sur site se défend.