Migration des SI sensibles vers le cloud : l’ANSSI clarifie sa position

Diffusion restreinte : les offres commerciales qualifiées SecNumCloud envisageables sous conditions

Par ailleurs, l’agence apporte une réponse aux responsables de SI diffusion restreinte, un élément attendu par les industriels de la défense.

« L’ANSSI préconise les offres cloud qualifiées SecNumCloud non commerciales (internes et communautaires) et commerciales privées permettant de disposer d’une infrastructure dédiée évitant le risque de latéralisation d’un attaquant depuis l’environnement d’un client vers un autre », note-t-elle.

Les offres de cloud commerciales publiques ou communautaires « peuvent être envisagées », mais la mutualisation des infrastructures est toutefois présentée comme un risque que les acteurs concernés par le sigle « DR » doivent anticiper. Cette décision sera, de préférence, justifiée par une analyse de risques, informe l’ANSSI. « Il est envisageable d’héberger un SI Diffusion restreinte sur une offre commerciale qualifiée SecNumCloud en démontrant que la solution est protégée au niveau adéquat », retient Victor Vuillard, Chief Security Officer chez S3NS, sur LinkedIn.

L’ANSSI ajoute toutefois une condition supplémentaire, puisque l’accès aux informations diffusion restreinte est conditionné par la nationalité. Il existe typiquement un niveau DR français et un autre régi par l’Union européenne. « Une attention particulière doit être portée au lieu d’hébergement et à la nationalité des administrateurs », insiste l’agence.

Pour rappel, S3NS, la joint-venture de Thales et de Google Cloud n’a pas encore obtenu sa qualification SecNumCloud. Le dossier de candidature a été déposé le mois dernier.

L’agence rappelle par ailleurs que ces conseils « ne s’appliquent pas aux systèmes d’information classifiés et que tous les systèmes d’information n’ont pas vocation à recourir aux solutions cloud ».

Les OIV et les OSE invités à opter pour les clouds de confiance

Quant aux OSE et aux OIV, l’ANSSI leur recommande de se tourner vers tout type d’offres SecNumCloud pour leurs systèmes d’information sensibles et vers les offres internes et communautaires, ainsi que les offres commerciales privées pour leur SIIV. 

Comme l’indique Victor Vuillard, l’autorité ne s’opposera pas à l’hébergement d’un SI d’Importance Vitale sur une offre cloud commerciale, à condition qu’elle soit qualifiée SecNumCloud et « sous réserve d’une analyse de risques argumentée ».

En revanche, les SI sensibles rattachés à la doctrine « Cloud au centre », ceux des ministères et des administrations, ne peuvent être hébergés que sur les offres qualifiées SecNumCloud. 

Logiquement, les fournisseurs ayant déjà obtenu la qualification SecNumCloud saluent ces recommandations, considérant qu’elles clarifient les chemins de migration des SI sensibles vers le cloud et valident leur stratégie d’investissement.

« Ces recommandations, par ailleurs en cohérence avec la doctrine “Cloud au centre” de l’État, valident la stratégie d’OVHcloud d’investir dans la qualification SecNumCloud et ce, depuis 2020 », se félicitent les porte-parole d’OVHcloud, dans un communiqué de presse.

« Outscale salue cette initiative de l’ANSSI, qui fournit un guide clair et accessible pour tous les décideurs », déclare pour sa part David Chassan, directeur de la Stratégie, OUTSCALE, Dassault Systèmes.

Un guide « non contraignant »

Pour autant, les OSE et les OIV ne sont pas forcément soumis aux mêmes règles. Le document n’est pas forcément contraignant, rappelle l’ANSSI ; et de recommander d’éclairer systématiquement le choix de la solution cloud par des analyses d’impact et de risques, conduites par des équipes juridiques, les responsables des opérations des SI, des traitements de données et de la cybersécurité. La qualification SecNumCloud ne préjuge pas des mesures prises par les clients des offres commerciales, qui sont censées configurer les règles de filtrage et d’accès et idéalement se former aux évolutions induites par le cloud.

« Il est, par ailleurs, important de prévoir une clause de réversibilité permettant de faciliter la migration d’une technologie cloud vers une autre, afin de limiter la dépendance à une seule offre cloud, et à ses évolutions fonctionnelles et de sécurité », lit-on dans le document.

Enfin, comme le schéma de certification européen pour les services cloud (EUCS) n’est pas encore entré en application, l’ANSSI indique qu’elle fera évoluer ses recommandations en conséquence.

Article mis à jour le 15 juillet 2024 avec les précisions de l’ANSSI quant au statut des offres non commerciales de l’État au regard de la qualification SecNumCloud.