Pour certaines organisations, choisir un cloud ne se résume plus à comparer des fonctionnalités, un prix ou une localisation de serveurs. La sensibilité des données traitées, l’exposition aux cybermenaces, la continuité de service et la maîtrise juridique deviennent des critères de sélection à part entière. C’est dans ce contexte qu’intervient SecNumCloud, une qualification portée par l’ANSSI dont on entend de plus en plus parler sans toujours savoir ce qu’elle recouvre précisément.
SecNumCloud : qu’est-ce que c’est ?
SecNumCloud est une qualification délivrée par l’ANSSI (Agence nationale de la sécurité des systèmes d’information) pour distinguer des offres cloud répondant à un niveau élevé d’exigences de sécurité. Elle vise à protéger les données et les traitements sensibles contre la cybermenace, mais aussi contre certains risques d’ordre juridique liés à des législations extraterritoriales, comme le Cloud Act américain.
Un point souvent mal compris : la qualification ne porte jamais sur un fournisseur dans son ensemble, mais sur une offre cloud déterminée, une infrastructure IaaS, une plateforme PaaS ou un logiciel SaaS métier précis. Un prestataire peut donc avoir une offre qualifiée SecNumCloud tout en proposant, en parallèle, d’autres services qui ne le sont pas. Vérifier le périmètre exact couvert est donc une étape indispensable, pas un détail.
Il faut également distinguer trois notions souvent confondues : le référentiel (l’ensemble des exigences publiées par l’ANSSI), l’audit (réalisé par un organisme évaluateur accrédité) et la qualification (la décision finale, délivrée par l’ANSSI, qui atteste que l’offre répond au référentiel).
Pourquoi le cloud de confiance est-il devenu un enjeu ?
Plusieurs risques concrets poussent les organisations à se pencher sur ce sujet : une cyberattaque paralysant l’activité, une indisponibilité prolongée du service, une compromission de données, des accès non maîtrisés par des administrateurs tiers, une dépendance excessive à des sous-traitants mal identifiés, ou encore une exposition juridique liée à l’hébergement des données.
L’ANSSI recommande, avant toute migration vers le cloud, de mener une étude d’impact métier et juridique ainsi qu’une analyse de risques. Cette démarche permet de qualifier la sensibilité réelle des données et traitements concernés : RH, finances, données de projet, informations clients.
Ce sujet touche particulièrement les organisations multi-sites, avec des collaborateurs en mobilité, qui s’appuient sur des outils métiers centralisant des données sensibles à l’échelle de toute la structure : gestion RH, finance, notes de frais, déplacements professionnels.
Quelles exigences couvre SecNumCloud ?
Le référentiel de l’ANSSI combine des exigences techniques, opérationnelles et juridiques de haut niveau, qu’on peut regrouper en quatre blocs.
Sécurité technique. Protection des accès, séparation des environnements, chiffrement des données, sauvegardes, journalisation et supervision des systèmes.
Sécurité opérationnelle. Gestion des incidents de sécurité, continuité d’activité, maintien en condition de sécurité dans la durée, gestion rigoureuse des changements techniques.
Gouvernance et sous-traitance. Responsabilités clairement identifiées entre les parties, contrôle effectif de la chaîne de fournisseurs, transparence sur les interventions techniques réalisées sur l’infrastructure.
Maîtrise juridique et souveraineté. Réduction de l’exposition aux lois extraterritoriales, garanties sur qui contrôle réellement l’offre : actionnariat, gouvernance, localisation des équipes techniques.
SecNumCloud, cloud souverain et ISO 27001 : quelles différences ?
Ces trois notions sont parfois utilisées de façon proche, alors qu’elles ne répondent pas exactement aux mêmes questions.
| Notion | Ce qu’elle permet de vérifier | Limite à comprendre |
|---|---|---|
| Hébergement en France | Où les données sont stockées | La localisation seule ne démontre ni le contrôle de l’offre, ni les protections juridiques associées |
| ISO 27001 | L’existence d’un système de management de la sécurité de l’information | Ce n’est pas une qualification spécifique à une offre cloud |
| Cloud souverain | Le niveau de maîtrise recherché sur les données et la gouvernance | Le terme n’est pas encadré juridiquement et peut recouvrir des réalités très variables selon le prestataire |
| SecNumCloud | Une offre cloud auditée et qualifiée au regard d’un référentiel ANSSI précis | Seul le périmètre explicitement qualifié est concerné pas l’ensemble de l’offre du prestataire |
La qualification vise des offres cloud de confiance, ce qui la distingue d’une simple localisation française des serveurs ou d’un positionnement de « souveraineté » qui reste à préciser.
Quelles organisations et quels usages sont concernés ?
La pertinence de SecNumCloud varie selon le secteur et le niveau de contrainte réglementaire ou métier.
Secteur public, chambres consulaires et organismes para-publics. Ces structures sont soumises à des exigences fortes de sécurité, de continuité de service et d’auditabilité, dans un contexte où la confiance des citoyens et des partenaires est directement engagée. C’est notamment le cas sur des processus sensibles comme la gestion des ordres de mission, qui impliquent des circuits de validation et un rattachement direct à la comptabilité publique.
Défense, industrie sensible, ETI et ESN travaillant sur des projets sensibles. La protection des données clients, des données de projet, des accès et des flux entre équipes y est un enjeu de premier plan, avec des exigences souvent renforcées par les donneurs d’ordre eux-mêmes.
Immobilier et bailleurs sociaux. Ces organisations gèrent des données locataires et des données RH sensibles, avec une gestion multi-entités et des services répartis sur tout le territoire.
Une nuance importante mérite d’être posée : SecNumCloud n’est pas automatiquement requis pour toute organisation. Sa pertinence dépend de la sensibilité réelle du système d’information concerné, de la réglementation applicable au secteur et des conclusions de l’analyse de risques.
En synthèse
Choisir un cloud de confiance relève d’une décision de gestion du risque, pas seulement d’un choix d’infrastructure technique. Comprendre ce que couvre réellement une qualification comme SecNumCloud et ce qu’elle ne couvre pas, aide à y voir plus clair et à poser les bonnes questions à ses prestataires.
