Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 320

FOCUS
Cloud de confiance
L'étanchéité au Cloud Act
en question
Une étude commandée par le ministère de la
Justice néerlandais sur l'application du Cloud
Act aux fournisseurs européens de cloud
européen conclut qu'ils peuvent y être soumis
s'ils utilisent une infrastructure ou un logiciel
américain. Ce qui est le cas des offres de « cloud
de confiance » de Capgemini ou de Thales.
U
ne étude réalisée par
le bureau européen
du cabinet d'avocats
américain Greenberg
Traurig LLP, pour le compte du
ministère de la Justice et de la
Sécurité des Pays-Bas, alerte les
Européens sur un possible accès des
autorités américaines aux données
européennes, en vertu du Cloud
Act (Clarifying Lawful Overseas
Use of Data Act), simplement en
utilisant des technologies d'acteurs
américains. Une conclusion qui
repose la question de la souveraineté
du « cloud de confiance »,
annoncé par le gouvernement
le 17 mai 2021, qui permet à des
entreprises françaises de distribuer,
sous licence, des services proposés
par des entreprises étrangères. De
quoi s'interroger sur les deux grands
projets Capgemini et Microsoft avec
Bleu ainsi que Thales et Google avec
S3NS. Ces deux offres n'ont pas
encore reçu le label SecNumCloud,
délivré par l'Agence nationale de la
sécurité des systèmes d'information
(Anssi), contrairement à OVH qui
utilise la solution Google Anthor.
La question de l'extraterritorialité
des lois américaines n'avait pas été
escamotée par le gouvernement.
A-t-elle été complètement résolue ?
Après l'échec du cloud souverain, le
gouvernement s'est orienté en 2021
vers un concept moins ambitieux,
le « Cloud de confiance », dans
le cadre de sa stratégie « Cloud
au centre » où le cloud devient
320
la méthode d'hébergement par
défaut pour les services numériques
de l'Etat. Concernant les projets
plus « sensibles » comportant
des
données
personnelles
ou
stratégiques, celles-ci doivent être
hébergées soit dans le cloud interne
de l'État, soit dans un cloud externe
qui respecte les critères du « cloud
de confiance »,
qualification SecNumCloud de
l'Anssi.
Le recours à des prestataires
étrangers et plus particulièrement
américains n'est pas exclu. Le
gouvernement souhaite que les
entreprises,
les
administrations
et les citoyens français puissent
« bénéficier des meilleurs services
cloud mondiaux » tout en protégeant
les données. Lors du lancement
du « cloud de confiance », Bruno
Le Maire avait insisté sur la sécurité
juridique, notamment par rapport
aux effets extraterritoriaux des
législations américaines comme
le Cloud Act. Cette loi fédérale
de mars 2018 permet en effet aux
autorités des États-Unis disposant
d'un mandat et de l'autorisation
d'un juge, d'accéder aux données
hébergées dans des serveurs situés
en dehors des Etats-Unis, au nom
de sa protection de la sécurité
publique et de la lutte contre les
infractions les plus graves dont les
crimes et le terrorisme. Il y a aussi
le Foreign Intelligence Surveillance
Act (FISA) du 25 octobre 1978 qui
oblige les entreprises à coopérer
EXPERTISES OCTOBRE 2022
avec les autorités américaines pour
permettre l'accès de ces dernières
aux informations en leur possession.
Pour protéger les données européennes,
le gouvernement impose
que « les
infrastructures
impliquant une
et
les
systèmes » soient localisés en
Europe. Et « les portages opérationnels
et commerciaux de
l'offre » devront être assurés par une
entité européenne détenue par des
acteurs européens. Selon le ministre
de l'Economie, les offres américaines
peuvent cependant être souveraines
si elles sont commercialisées par
le biais de joint-ventures de droit
français, comme les projets Bleu
pour Microsoft avec Orange
Capgemini,
et
avec Thales qui
S3NS pour Google
devraient
être
opérationnels en 2024. Bleu mettra
à disposition de ses clients les
solutions sécurisées cloud du géant
américain, en l'occurrence les suites
de collaboration et de productivité
Microsoft 365 ainsi que l'ensemble
des services de la plateforme cloud
Microsoft Azure. Elle fournira ses
solutions aux opérateurs d'importance
vitale (OIV), aux opérateurs
de services essentiels (OSE), à l'État
français, à la fonction publique,
aux hôpitaux et aux collectivités
territoriales. Les entreprises américaines
devront commercialiser
leurs offres sous licence accordée
à des fournisseurs français. Ainsi,
les données seront stockées sur des
serveurs français appartenant à des
fournisseurs français.
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia
