Le cloud souverain

LE CONTEXTE

Le cloud computing, c’est-à-dire l’exploitation de la puissance de calcul ou de stockage de serveurs informatiques distants, loués à la demande, par l’intermédiaire d’un réseau, pose pour les États, les utilisateurs et les industriels la question de la confiance que l’on accorde aux hébergeurs de ces données, localisés le plus souvent hors des frontières françaises et européennes.  

L’ambition française d’un cloud souverain s’est concrétisée en 2011 avec le « projet Andromède » qui a vu la création de Numergy (porté par Bull et SFR) et Cloudwatt (Thales et Orange) dans lesquels l’Etat français a injecté 150 millions d’euros. Mais ces deux clouds ont été des échecs commerciaux et ils ont disparu trois ans plus tard. L’urgence de créer une offre indépendante et souveraine s’est accentuée en mars 2018 avec le « Cloud Act ». Cette loi fédérale américaine étend la portée géographique des demandes éventuelles du gouvernement américain à pouvoir accéder aux données stockées dans des datacenters appartenant à des sociétés d’origine américaine. Or, l’essentiel du marché du cloud computing (plus de 60%) est aujourd’hui capté par trois acteurs américains : Amazon (AWS), Microsoft (Azure) et Google (Google Cloud Platform). La France et l’Europe (au travers du projet Gaia-X qui réunit 22 acteurs européens) tentent aujourd’hui de relancer ce projet de cloud souverain avec la signature, le 8 février 2022, d’un « projet important d’intérêt européen commun” (PIIEC). Il sera financé à hauteur de 7 milliards d’euros (l’État français mettra 670 millions d’euros) par des fonds publics et privés. Parallèlement, les pouvoirs publics français et l’ANS poussent pour que soit adopté massivement le « Cloud de confiance » un label reposant sur un ensemble de règles fixées par l’ Agence nationale de la sécurité des systèmes d’information (ANSSI) et son référentiel SecNumCloud.

LES ENJEUX

Sécuriser les données de santé :

• La certification et l’agrément HDS

Depuis le 1er avril 2018, une nouvelle procédure de certification remplace l’agrément auparavant délivré par le Ministère de la Santé. Elle encadre l’activité d’hébergeur de données de santé (HDS) par une évaluation de conformité au regard du référentiel HDS. La loi (L.1111-8 du code de la santé publique, modifié par la loi n° 2016-41 du 26 janvier 2016) indique que « toute personne physique ou morale qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi médico-social pour le compte de personnes physiques ou morales à l’origine de la production ou du recueil de ces données ou pour le compte du patient lui-même, doit être agréée ou certifiée à cet effet. » Cette certification est délivrée par le ministère de la Santé. Le décret 2018-137 du 26 février 2018 définit la procédure de certification et organise la transition entre l’agrément et la certification. (Liste des hébergeurs agréés / Liste des hébergeurs certifiés).

• Le label « Cloud de Confiance »

Le 17 mai 2021, Bruno Lemaire, ministre de l’Economie et des Finances et Cédric O, secrétaire d’État chargé du Numérique, ont annoncé la création d’un nouveau label « Cloud de Confiance ». Ce label repose sur un ensemble de règles fixées par l’ Agence nationale de la sécurité des systèmes d’information (ANSSI) et son référentiel SecNumCloud.