Le terme SecNumCloud est parfois présenté comme une certification, y compris dans des communications commerciales. Cette différence de vocabulaire compte : la qualification de l’ANSSI s’applique à une offre cloud évaluée, et non automatiquement à l’ensemble d’un prestataire.
Pour un organisme qui confie des données sensibles à un service distant, elle apporte un cadre de sécurité vérifié et des exigences de confiance renforcées. Comprendre ce qu’elle couvre, et ce qu’elle ne couvre pas, aide à choisir un cloud de confiance adapté.
A retenir :
- Une qualification ANSSI portant sur une offre cloud définie
- Des exigences techniques, opérationnelles, juridiques et organisationnelles
- Une démarche distincte d’une certification générique de fournisseur
- Un périmètre à vérifier avant tout transfert de données sensibles
SecNumCloud : une qualification ANSSI attachée au service
Cette distinction devient concrète lorsqu’une organisation compare plusieurs solutions : la qualification vise un service identifié, pas une marque entière. Selon l’ANSSI, les visas de sécurité reposent sur une évaluation conduite selon une méthodologie définie.
Pourquoi parler de qualification plutôt que de certification
Dans le vocabulaire de l’ANSSI, un visa de sécurité peut prendre la forme d’une certification ou d’une qualification, selon le dispositif concerné. SecNumCloud relève de la qualification : elle atteste qu’une offre répond aux exigences du référentiel de sécurité applicable.
Un prestataire cloud peut donc proposer plusieurs services, dont certains seulement sont qualifiés. Une équipe informatique doit vérifier le nom exact de l’offre, son périmètre et son statut, plutôt que de se fier à une mention générale sur le site du fournisseur.
Cette vérification évite notamment de confondre une norme de management ou une certification portant sur une organisation avec les exigences propres à SecNumCloud. Les démarches peuvent se compléter, mais elles ne sont pas interchangeables.
Repères pour distinguer les dispositifs :
- SecNumCloud : qualification ANSSI d’une offre cloud déterminée
- ISO 27001 : certification de systèmes de management de la sécurité
- HDS : cadre de certification pour l’hébergement de données de santé
- Visa de sécurité : appellation générale couvrant plusieurs formes d’évaluation
Ce que l’évaluation examine
Au sein de cette qualification, l’évaluation ne se limite pas à un contrôle technique ponctuel. Elle examine notamment l’organisation, les procédures, l’architecture et les configurations du service afin d’évaluer leur conformité aux exigences retenues.
Le référentiel vise ainsi plusieurs dimensions de la sécurité cloud, dont la maîtrise opérationnelle et la protection des systèmes hébergés. Pour l’acheteur, la question utile est simple : les contrôles couvrent-ils les risques associés à ses données et à ses usages ?
Élément
Ce qu’il désigne
Point à contrôler
SecNumCloud
Qualification de sécurité
Offre précisément qualifiée
ANSSI
Autorité délivrant le visa
Statut et périmètre reconnus
Prestataire
Opérateur du service
Responsabilités contractuelles
Référentiel
Exigences d’évaluation
Version applicable à l’offre
Ce que SecNumCloud apporte à la sécurité cloud
Une qualification encadrée donne un point de départ pour apprécier les risques, mais elle ne dispense pas l’organisme d’analyser ses propres besoins. C’est particulièrement important pour les acteurs publics, les OIV et les OSE, dont les activités peuvent dépendre de services numériques critiques.
Souveraineté numérique et maîtrise des accès
Dans ce cadre, la souveraineté numérique concerne la maîtrise des données, des opérations et des accès, pas seulement l’adresse d’un centre de données. Les exigences liées à la protection juridique et à l’exploitation du service contribuent à évaluer les risques d’accès non autorisé.
Selon l’ANSSI, l’évaluation porte sur l’organisation et les choix techniques autant que sur les procédures. Une collectivité qui héberge des dossiers sensibles doit donc examiner les responsabilités du fournisseur, les accès d’administration et les mécanismes prévus pour gérer les incidents.
Les garanties concrètes dépendent toutefois du service qualifié et de ses conditions d’exploitation. Il faut lire les documents contractuels et techniques associés : la qualification ne transforme pas, à elle seule, chaque usage du client en usage conforme.
Contrôles utiles avant le choix :
- Périmètre exact de l’offre et services inclus
- Localisation et conditions d’exploitation annoncées
- Gestion des accès administrateurs et des incidents
- Responsabilités respectives du client et du fournisseur
Limites à connaître avant la migration
La qualification ne signifie pas que tous les composants d’un système d’information sont couverts. Une application, ses interconnexions, les postes des utilisateurs et les pratiques internes restent à sécuriser par l’organisation.
Un audit de sécurité interne peut ainsi compléter l’examen du service : il identifie les dépendances, les flux de données et les écarts de configuration. Selon l’ANSSI, le visa atteste une évaluation du produit ou service visé, sans remplacer la responsabilité de l’utilisateur.
Question
À examiner
Quelle offre est qualifiée ?
Nom, version et périmètre du service
Quels traitements sont concernés ?
Données, applications et flux hébergés
Qui administre le service ?
Rôles, habilitations et modalités d’accès
Que reste-t-il à sécuriser ?
Usages, postes, interconnexions et procédures client
Vérifier une offre SecNumCloud avant de s’engager
Une fois les exigences comprises, le choix se joue dans les preuves documentaires et la correspondance avec les besoins métier. Pour un responsable informatique, cette étape transforme une promesse de sécurité en critères vérifiables et discutables avec le fournisseur.
Contrôler le périmètre et les preuves
Commencez par rechercher l’offre concernée dans les informations publiées par l’ANSSI, puis confrontez-les aux documents commerciaux et contractuels. Les attestations et rapports disponibles peuvent préciser le périmètre évalué, sous réserve des conditions de communication prévues par le prestataire.
Un acheteur peut ensuite comparer les usages envisagés avec les caractéristiques annoncées : stockage, services managés, administration et dépendances techniques. Si un service complémentaire n’apparaît pas dans le périmètre qualifié, il doit faire l’objet d’une analyse distincte.
Vérifications documentaires à effectuer :
- Correspondance entre le service acheté et l’offre qualifiée
- Documents décrivant les limites et exclusions du périmètre
- Conditions d’accès aux rapports et attestations disponibles
- Engagements contractuels relatifs aux opérations et aux données
Intégrer la qualification à une stratégie cloud
La qualification constitue un critère de sélection, pas une stratégie complète de migration. L’organisation doit aussi définir ses niveaux de sensibilité, ses exigences de continuité et les responsabilités de chaque équipe.
Pour un établissement public, par exemple, un inventaire des applications aide à distinguer les traitements qui exigent un cadre renforcé des usages moins sensibles. Cette démarche évite de déplacer des données sans avoir clarifié les accès, les dépendances et les mesures de reprise.
Le bon arbitrage associe donc qualification, conformité réglementaire et analyse des risques propres au métier. La souveraineté numérique devient alors un ensemble d’exigences vérifiables, plutôt qu’une simple formule commerciale.
Source : ANSSI, « Cloud ».
Une souveraineté numérique qui se construit dossier après dossier
Qu'il s'agisse de cloud souverain, d'intelligence artificielle, de cybersécurité, de réglementation ou de semi-conducteurs, chaque rubrique raconte une facette différente de la même question : qui contrôle les infrastructures numériques dont dépend l'Europe. Rien n'est figé : chaque texte adopté et chaque investissement engagé peut encore faire évoluer cet équilibre.
Pour aller plus loin
- Comparer plusieurs sources avant de juger la fiabilité d'un chiffre ou d'une échéance réglementaire
- Replacer chaque texte européen dans son calendrier d'application réel, pas seulement sa date d'adoption
- S'intéresser aux dépendances industrielles autant qu'aux textes de loi
- Suivre l'actualité européenne pour voir ces équilibres évoluer d'une année à l'autre
