Comment s’assurer de garder la maîtrise de ses données ?

Face à une réglementation de plus en plus complexe, les organisations doivent s’assurer que leurs données demeurent sous contrôle. Thales, pour soutenir les organisations vis-à-vis de leurs obligations tout en leur permettant d’évoluer vers le cloud, déploie des solutions avancées de chiffrement de l’ensemble des données et de gestion des clés d’encryption.

Les enjeux de souveraineté numérique sont au cœur de nombreuses discussions. Alors qu’un nombre croissant d’acteurs souhaitent profiter de la flexibilité offerte par le cloud public et les solutions innovantes proposées par les hyperscalers, des inquiétudes liées à la sécurité et à la confidentialité des données persistent. Alors que la réglementation est appelée à évoluer, appelant les acteur à s’assurer de la maîtrise de leurs données et plus encore de celles des citoyens qui leur font confiance, comment aborder ces aspects ? « Un projet de migration vers le cloud soulève en effet de nombreuses questions, commente Steven Maas, Sales Director Encryption – Belgium, Luxembourg & The Netherlands. Les inquiétudes relatives à la gestion des données exigent notamment de s’assurer que l’on garde le contrôle sur ses données, sur le hardware et le software. C’est ce qui définit la souveraineté. Dans un modèle cloud, qui fait intervenir des opérateurs tiers, de telles garanties sont difficiles à acquérir. »

Nouvelles obligations et responsabilités

Prenons l’exemple d’une organisation qui souhaite se retirer du cloud ou encore récupérer ses données pour les placer auprès d’un autre opérateur. Comment s’assurer que l’hyperscaler a effectivement supprimé l’ensemble de ses données de ses environnements, que celles-ci n’ont pas été répliquées et conservées ailleurs ?

Ces questions, les autorités entendent y répondre en adaptant la législation, clarifiant la responsabilité des acteurs en présence lorsqu’il est question d’utilisation et d’externalisation de ressources numériques, de confidentialité et de sécurité des données. « Les textes réglementaires se sont multipliés ces dernières années, de GDPR à DORA, en passant par NIS2 ou encore de nombreuses circulaires des autorités de surveillance, comme la Commission de Surveillance du Secteur Financier, poursuit Steven Maas. Aujourd’hui, s’ils souhaitent recourir au cloud, les acteurs sont tenus d’évaluer les risques inhérents à un tel projet d’un point de vue opérationnel, technique, de sécurité ou encore de conformité. En fonction des risques, il faut mettre en place une gouvernance adaptée et apporter des garanties en matière de confidentialité. »

Il s’agira par exemple d’évaluer la dépendance du business à un opérateur ou à une solution cloud et, le cas échéant, de se doter d’une stratégie de sortie. Au niveau technique et opérationnel, il faudra notamment s’assurer de la législation applicable dans le pays où sont hébergées les données. Les autorités du pays tiers, en sachant que les hyperscalers sont essentiellement américains, pourraient-ils accéder aux données ?

Chiffrer l’ensemble des données

Vis-à-vis de ces questions, Thales a développé des réponses permettant aux organisations d’avoir des garanties que les données seront bien protégées, que l’on opte pour un cloud souverain ou encore un hyperscaler. « Nos solutions de chiffrement des données et de gestion des clés à l’échelle de l’entreprise permettent à nos clients de s’assurer que les données, où qu’elles soient hébergées, ne pourront pas être accessibles par une personne extérieure à l’organisation, commente Steven Maas. Grâce à des technologies avancées, l’ensemble des données sont chiffrées et ne pourront pas être exploitées par un tiers. La sécurité, dès lors, ne se concentre plus sur les données, mais bien sur les clés. Celles-ci, le plus souvent, sont hébergées et protégées au niveau d’un environnement distinct de celui des données et sur lequel on garde la maîtrise, comme un cloud privé ou une infrastructure on premise. »

Quel que soit la plateforme privilégiée pour héberger ou traiter des données, souveraine ou non, celles-ci ne pourront dès lors pas être exploitées par tiers, quel qu’il soit.