Cloud souverain, Cloud de confiance, SecNumCloud… Les publications et posts des éditeurs et des fournisseurs Cloud font la part belle à la souveraineté numérique, française et/ou européenne, en unisson avec la classe politique. Sans aucun doute, il y a un vrai « buzz » autour du concept, ce qui amène aussi son lot de confusions, d’idées reçues et de questionnements.

Cloud souverain : qu’est-ce que c’est ?

Le terme désigne toute solution Cloud hébergée et exploitée dans les frontières légales d’un pays ou d’une union de pays, impliquant une régulation par les lois s’appliquant à la zone géographique.

Cloud de confiance : autre terme, même signification ?

Pas tout à fait, puisque le Cloud de confiance est un Cloud souverain spécifiquement qualifié SecNumCloud par l’ANSSI. Une solution « Logiciels et Cloud de confiance » garantit un niveau précis de sécurisation et plus généralement la conformité avec un cadre règlementaire strict.

SecNumCloud – juste une autre certification ?

Non, puisqu’il s’agit d’une qualification avec à la clé un visa de sécurité délivré par l’ANSSI et non d’une certification. Elle découle de la doctrine d’Etat « Cloud au centre » qui vise à créer un écosystème français et européen de solutions suivant des règles de sécurité « garantissant un haut niveau d’exigence tant du point de vue technique, qu’opérationnel ou juridique. D’une part, les prestataires proposant une offre d’informatique en nuage (cloud) doivent présenter une bonne hygiène informatique, d’autre part, les données doivent être protégées en conformité avec le droit européen. » (source : ANSSI)

Qu’est-ce qui est qualifié ?

Le processus de qualification s’applique uniquement au niveau des services et non à l’entreprise dans son ensemble. Les quatre activités traitées dans le référentiel sont la fourniture de service IaaS, PaaS, CaaS et SaaS. Mais, il est tout à fait possible pour un prestataire de proposer à ses clients des offres qualifiées en parallèle d’offres non-qualifiées.

Quels délais pour faire qualifier une offre ?

C’est un processus assez long, basé une méthodologie rigoureuse et faisant appel à un centre d’évaluation agréé par l’ANSSI. Il faut généralement compter près de 18 mois, si le processus se déroule sans encombre.

Qui doit souscrire à des offres qualifiées SecNumCloud ?

Le référentiel constitue un outil d’aide à la décision pour que toute organisation puisse évaluer le niveau de sécurisation requis pour les différents types de données (selon la criticité). Il n’y a pas de caractère obligatoire, sauf pour les administrations, les OIV et les OSE et plus généralement pour certaines données sensibles. La priorité aujourd’hui est à la constitution d’un écosystème englobant fournisseurs de Cloud (XaaS) et éditeurs, afin que les clients aient le choix des acteurs à qui confier leurs données.

N’étant pas un acteur public, ni un OIV/OSE, puis-je souscrire à ces offres ?

Oui, absolument, il est possible d’ accéder à des solutions dont le niveau de sécurité est garanti, offrant ainsi une Cyberprotection optimale. On peut également s’attendre à une standardisation de l’exigence SecNumCloud, c’est-à-dire que le caractère obligatoire soit étendu à d’autres acteurs du privé et/ou leurs données sensibles.

Les GAFAM peuvent-ils être qualifiés SecNumCloud ?

Les offres des Hyperscalers et autres éditeurs extra-communautaires ne peuvent pas être qualifiées. En revanche, plusieurs Joint-ventures se sont créées, pilotées par des acteurs industriels français et s’appuyant sur des briques technologiques d’Hyperscalers. Devant se conformer aux exigences du référentiel SecNumCloud, ces offres ne sont pas équivalentes aux solutions de Cloud public des GAFAM.

Alors, c’est fini pour le Cloud public en France et en Europe ?

Pas du tout ! Le Cloud public reste un vecteur essentiel de la transformation numérique et de l’innovation pour les organisations. Il est en revanche primordial pour les clients d’avoir le choix de ne pas s’orienter vers des solutions américaines ou plus généralement extra-communautaires pour leurs données les plus sensibles. Dans un contexte de Cybermenaces omniprésentes, à la fois par des opérateurs privés et des opérateurs d’Etat, opter pour une solution qualifiée SecNumCloud correspond à faire un choix éclairé pour bénéficier de la meilleure protection des données.

Va-t-on vers un standard européen ?

Idéalement oui, mais c’est loin d’être gagné. L’ANSSI a mis la barre très haute avec SecNumCloud et milite pour que l’équivalent européen EUCS (European Union Cybersecurity Certification Scheme) s’en inspire largement. Plusieurs autres États membres s’y opposent, estimant que le référentiel SecNumCloud est trop restrictif et peut contribuer à rendre les entreprises européennes moins compétitives. L’EUCS dans son état actuel ne tient pas compte de la protection des données stockées contre l’accès par des puissances étrangères.

Par GABRIEL Jan chez ITS Integra

Par Steven Commander, Directeur Consultants et Régulations HID – ASSA ABLOY

La fin du « sneaker net » : quand la tradition devient vulnérabilité

Pendant des années, la gestion des lecteurs de contrôle d’accès reposait sur des cartes de configuration physiques. Distribuées de service en service, elles voyageaient de bureau en bureau et finissaient parfois oubliées dans un tiroir. Cette méthode, surnommée sneaker net, consistait à transporter manuellement les supports nécessaires pour installer ou mettre à jour un système de sécurité.

Un modèle adapté… hier

À une époque où les réseaux n’étaient pas interconnectés et où les infrastructures IT restaient limitées, cette approche avait ses avantages : elle garantissait une certaine autonomie et permettait d’assurer la continuité des opérations, même sans connexion réseau.

… devenu vulnérabilité aujourd’hui

En 2025, dans un contexte où cybersécurité et sécurité physique convergent, cette pratique apparaît comme une vulnérabilité majeure :

• Perte de contrôle : une carte oubliée ou copiée peut être utilisée en dehors de tout cadre autorisé.
• Absence de traçabilité : il est difficile de savoir qui a utilisé la carte et quand.
• Non-conformité réglementaire : à l’heure où les obligations de transparence et de cybersécurité se renforcent, cette approche n’est plus défendable.

La comparaison est simple :  Personne ne met plus à jour ses systèmes avec un CD-ROM ou une clé USB. Pourquoi continuer à gérer le contrôle d’accès de cette manière ? Les organisations doivent désormais privilégier des solutions connectées, centralisées et sécurisées, qui garantissent à la fois rapidité, conformité et résilience.

Vers une gestion numérique et tracée

Le secteur s’oriente désormais vers des modèles numériques où les droits sont délivrés, modifiés ou supprimés à distance. Cette gestion centralisée permet d’attribuer une autorisation limitée dans le temps, de la révoquer instantanément, et de tracer chaque action. L’installateur ou le technicien reçoit ses droits directement sur son smartphone, ce qui réduit la dépendance à des supports matériels.

Au-delà de l’aspect technique, cette évolution traduit un changement d’usage.  Le smartphone, déjà adopté comme moyen de paiement, devient aussi une clé numérique pour sécuriser les entrées. Le déploiement du premier site français utilisant la solution d’accès Mobile dans l’Apple Wallet au sein d’une grande compagnie d’assurance, constitue un signal fort.

Les 4 piliers d’une gestion sécurisée des clés

L’abandon du sneaker net ne suffit pas : il doit s’accompagner d’une gestion rigoureuse des clés. Les bonnes pratiques reposent sur quatre principes :

1. Key Generation : générer les clés dans des Hardware Security Modules (HSM) certifiés, sans intervention humaine.
2. Key Data Storage : stocker toutes les clés de manière chiffrée et redondante.
3. Key End-Point Storage : intégrer un élément sécurisé (secure element) dans chaque lecteur, badge ou encodeur pour protéger les opérations cryptographiques.
4. Key Transfer : fragmenter les clés et les transférer via des cérémonies de clés, selon des procédures strictes de conformité et de gouvernance.

Ces standards, largement adoptés dans l’industrie, garantissent un meilleur niveau de sécurité de bout en bout.

Conclusion

L’ère du sneaker net touche à sa fin. Dans un contexte où la sécurité physique et la cybersécurité convergent, il est indispensable de s’appuyer sur des solutions connectées, traçables et conformes aux standards les plus récents. Le contrôle d’accès n’est pas uniquement une question de portes et de badges. Il n’y a plus de frontière entre le physique ou numérique : la gestion des accès doit être pensé comme un tout, avec les mêmes exigences de sécurité et de traçabilité.

Par Eric BUHAGIAR, DG ASC Technologies

Dans un secteur où la conformité et la sécurité sont non négociables, le choix de l’infrastructure de communication devient stratégique.

Les communications réglementées exigent des systèmes sécurisés et une infrastructure flexible. Pour de nombreuses institutions financières, le cloud s’impose comme la solution privilégiée pour répondre aux exigences croissantes de conformité. Le choix entre cloud et on-premise ne se limite plus à l’informatique : il définit la capacité d’une organisation à affronter l’avenir.

Associées à Microsoft Teams comme plateforme centrale pour les services de conseil client, la communication et la collaboration, les solutions cloud offrent des avantages significatifs : intégration transparente aux infrastructures existantes, mises à jour automatisées et normes de pointe en matière de protection des données et d’évolutivité. Microsoft a certifié plusieurs éditeurs pour l’enregistrement de conformité, mais certains ont fait le choix d’une approche entièrement cloud native sur Azure et Teams. Ce positionnement permet d’exploiter pleinement les avantages du cloud, là où les solutions on-premise simplement adaptées atteignent rapidement leurs limites.

Avantages des solutions cloud pour le secteur financier

Le choix entre cloud et on-premise a des implications considérables, en particulier pour les institutions financières qui cherchent à moderniser leurs communications tout en respectant des exigences strictes en matière de conformité et de sécurité. Comparées aux infrastructures sur site traditionnelles, les solutions cloud offrent des avantages stratégiques évidents :

• Rentabilité et approvisionnement simplifié : les services cloud ne nécessitent aucun investissement matériel et suivent des modèles d’abonnement prévisibles, ce qui simplifie la budgétisation et réduit les coûts initiaux.

• Déploiement et évolutivité rapides : de nouveaux sites, équipes ou fonctionnalités peuvent être activés en quelques heures, sans installations locales ni projets informatiques complexes.

• Flexibilité maximale : les plateformes cloud s’adaptent rapidement aux nouvelles exigences réglementaires, aux évolutions du marché ou à l’augmentation des volumes de données, sans mise à niveau matérielle ni interruption du système.

• Coûts d’exploitation réduits : la suppression des serveurs sur site réduit la maintenance, la consommation d’énergie et le recours aux ressources informatiques internes.

• Sécurité et conformité : les fournisseurs cloud investissent en permanence dans le chiffrement, la protection des identités et la conformité aux normes internationales. Certains renforcent cette approche avec des certifications ISO 27001 et SOC2, un chiffrement de bout en bout, un double chiffrement des données au repos, ainsi que des options avancées comme le BYOK (Bring Your Own Key) et le BYOS (Bring Your Own Storage).

Pourquoi les solutions On-Premise n’accompagnent pas pleinement les environnements IT de nouvelle génération ?

La comparaison entre le cloud et le on-premise montre clairement que le on-premise atteint ses limites dans les environnements numériques et réglementés actuels, en particulier dans le secteur financier. Ces infrastructures entravent souvent la flexibilité et l’innovation nécessaires pour rester compétitif.

Trois limites principales des systèmes sur site :

• Fardeau de maintenance et risque d’interruption de service : les déploiements sur site nécessitent des fenêtres de maintenance régulières et des mises à jour manuelles. Cela entraîne non seulement des perturbations opérationnelles, mais augmente également l’exposition aux vulnérabilités, notamment lorsque les correctifs de sécurité sont retardés.

• Besoins élevés en ressources : l’exploitation de systèmes sur site requiert des ressources internes spécialisées pour gérer les serveurs, la sécurité et les mises à jour. Cela conduit souvent à un verrouillage de version et à une dépendance coûteuse vis-à-vis de prestataires tiers.

• Évolutivité et flexibilité limitées : l’adaptation aux nouvelles exigences de conformité ou à l’augmentation des volumes de données est difficile dans les environnements statiques. Chaque évolution requiert des investissements matériels, des processus d’approbation longs et des coûts élevés. À l’inverse, une architecture cloud native bénéficie de la haute disponibilité, de la redondance géographique et de l’élasticité d’Azure, sans contrainte matérielle.

Une décision stratégique pour les institutions financières

Pour de nombreuses institutions financières, le choix entre cloud et on-premise est déjà fait. De plus en plus d’organisations délaissent les infrastructures rigides pour se tourner vers des plateformes cloud natives offrant flexibilité, conformité réglementaire et innovation continue.

La migration vers le cloud ne se résume pas à une mise à niveau technique : c’est une décision stratégique. Elle permet non seulement de renforcer la sécurité et la conformité, mais aussi de simplifier l’expérience utilisateur. Avec certaines solutions, l’intégration est perçue comme naturelle dans Microsoft Teams, la formation des administrateurs prend seulement quelques heures, celle des utilisateurs encore moins, et l’accès est possible à distance via l’application Teams ou un simple navigateur. En somme, le cloud apporte aux institutions financières un socle technologique moderne, sécurisé et évolutif, qui leur permet de se concentrer sur leur cœur de métier : la relation client et l’innovation.