Le 29 avril 2025, le prestigieux Palais Brongniart a accueilli le S3NS Summit, événement phare dédié au Cloud de Confiance en France.
Dans un contexte international marqué par des tensions géopolitiques croissantes et des préoccupations grandissantes autour de la sécurité des données, cette journée a rassemblé experts, décideurs et acteurs majeurs du numérique autour d’une question centrale : comment concilier innovation technologique, respect des régulations et autonomie stratégique dans l’écosystème cloud ?
Le Cloud de confiance entre droit, technologie et usage
Dans un paysage numérique en constante évolution, où l’agilité technologique se heurte parfois aux impératifs de souveraineté nationale et européenne, une question cruciale émerge pour les organisations : comment concilier l’innovation rapide et l’exploitation des services cloud les plus performants avec la nécessité absolue de garder la maîtrise de nos données sensibles ? C’est au cœur de cette problématique que s’est tenue une table ronde éclairante, animée par Audrey Huvet, Directrice Marketing & Communication au sein de Devoteam, réunissant des experts aux profils complémentaires pour partager leurs visions et retours d’expérience concrets sur le Cloud de confiance.
L’expertise juridique de Charlotte Barraco-David, la vision cybersécurité de Bertrand Helfre (Devoteam), le témoignage utilisateur de Victor Boissiere (Qonto), et les détails techniques de Quentin Reynaud (Devoteam) ont permis d’aborder avec pragmatisme et humilité les enjeux complexes du Cloud de confiance, de l’autonomie et de la souveraineté numérique.
Cette discussion s’est articulée autour de trois axes majeurs :
- Les impératifs politiques, contraintes juridiques et réalités opérationnelles et technologiques.
- L’établissement de la confiance par les usages, pas seulement dans le discours.
- Le Cloud de confiance comme catalyseur de stratégie.
Naviguer entre souveraineté théorique et confiance certifiée
La distinction entre Cloud souverain et Cloud de confiance, souvent source de confusion, a été précisément abordée sous l’angle juridique. Comme l’a souligné Charlotte Barraco-David, le terme « Cloud souverain » est, d’un point de vue légal, une notion plutôt floue, renvoyant à un idéal de contrôle absolu non soumis à une puissance étrangère. Historiquement lié à l’hébergement sur le territoire français par une entité de droit français, il ne correspond pas à une catégorie juridique définie aujourd’hui ; il est plus un terme politique ou marketing qu’une réalité légale tangible.
La qualification SecNumCloud
Le Cloud de confiance, en revanche, se rattache concrètement à la qualification SecNumCloud délivrée par l’ANSSI. Bien que « Cloud de confiance » ne soit pas une appellation juridique en soi, le visa SecNumCloud est une attestation technique et organisationnelle de très haut niveau qui garantit le respect de critères stricts pour les prestataires de services cloud. Un élément central de cette qualification est l’immunisation contre les ingérences extra-territoriales, visant notamment à protéger les données face à des lois comme le Cloud Act américain de 2018 et ses effets potentiels sur l’accès aux données des citoyens européens.
L’évolution ne réside pas tant dans un changement fondamental de la réglementation, mais dans une prise de conscience accrue des entreprises face aux enjeux géopolitiques. Au-delà du RGPD ou des exigences de cybersécurité, le choix d’un prestataire cloud intègre désormais la dimension de protection face aux demandes d’accès émanant d’États étrangers. Les textes européens, comme la transposition de la Directive NIS 2 , et les réglementations sectorielles, telle que le règlement DORA (Digital Operational Resilience Act) pour le secteur financier applicable à partir du 17 janvier 2025, renforcent d’ailleurs l’analyse des risques liés aux prestataires tiers. Ces réglementations n’inventent pas de nouvelles règles mais structurent l’analyse et la gestion des risques, notamment en matière de résilience opérationnelle et de gestion de la chaîne de sous-traitance.
Les défis cyber
Du côté de la cybersécurité opérationnelle, Bertrand Helfre a mis en lumière les défis pratiques rencontrés par les entreprises. Il observe que de nombreuses organisations découvrent tardivement l’étendue de leur dépendance vis-à-vis des grands fournisseurs cloud américains, souvent de manière accidentelle suite à un incident de sécurité ou une demande réglementaire.
Les tendances actuelles en cybersécurité incluent :
- L’essor de l’intelligence artificielle pour la détection et la réponse aux incidents.
- L’adoption croissante du modèle Zero Trust, qui impose une vérification stricte de chaque tentative d’accès au système d’information, quelle que soit son origine.
Dans un contexte économique contraint, les entreprises sont également confrontées à la nécessité d’optimiser leurs investissements passés dans de multiples solutions de sécurité, cherchant à accroître leur efficacité sans nécessairement augmenter les budgets. Cette réalité budgétaire influence directement les stratégies d’adoption du cloud et les exigences en matière de sécurité.
Construire la confiance par l’usage : Le cas de Qonto
La confiance dans le Cloud de confiance se démontre et se construit avant tout dans son utilisation concrète. Pour les organisations, s’engager dans cette voie commence idéalement par un diagnostic global de sécurité, qui doit être mené en impliquant les Comités de Directions pour une réelle prise de conscience des enjeux stratégiques. Ce diagnostic permet de cartographier l’environnement IT, d’évaluer les risques et de définir des scénarios de migration adaptés.
Les avantages d’une approche hybride
L’approche hybride, consistant à identifier les données et applications les plus sensibles nécessitant d’être hébergées sur une offre Cloud de confiance comme S3NS, est souvent la plus pragmatique. Quentin Reynaud a détaillé les avantages technologiques de cette approche, notamment avec S3NS qui s’appuie sur les technologies de Google Cloud Platform (GCP). Cette parenté technologique permet aux entreprises familières avec GCP d’entrer dans l’univers du Cloud de confiance par étapes, en capitalisant sur les compétences techniques déjà acquises. La migration depuis GCP vers S3NS présente donc l’avantage d’une courbe d’apprentissage réduite.
Passer de GCP à S3NS
De plus, des opérations de préparation peuvent être réalisées en amont directement sur GCP, simplifiant encore le processus de passage à S3NS. La réversibilité, souvent une préoccupation légitime des entreprises, est également simplifiée. L’accès à un catalogue de services managés de GCP, rendus disponibles dans l’environnement S3NS tout en étant opérés par des équipes françaises et immunisés contre le Cloud Act, est un atout majeur, permettant de continuer à innover rapidement.
L’histoire de Qonto illustre la pertinence du Cloud de confiance face à des contraintes réglementaires strictes et un besoin impératif de performance. En tant qu’établissement de paiement, Qonto a l’obligation réglementaire d’héberger son service de facturation électronique sur une plateforme certifiée SecNumCloud. L’expérience passée avec un autre prestataire, qui s’était soldée par une perte d’infrastructure, a renforcé la recherche d’une solution fiable et résiliente.
Comme l’a expliqué Victor Boissiere, Qonto a trouvé avec S3NS le compromis leur permettant de répondre aux exigences de sécurité et de localisation des données tout en conservant la vélocité d’innovation indispensable à une FinTech. Utiliser une solution basée sur des technologies Google Cloud qu’ils maîtrisaient déjà leur a permis de bénéficier des services managés, évitant ainsi le recrutement complexe et coûteux d’équipes spécialisées dans la gestion d’infrastructures alternatives. Pour Qonto, il était essentiel que l’infrastructure ne devienne pas un frein à l’innovation et au développement de nouveaux produits.
Les enjeux contractuels du Cloud de confiance
Sur le plan contractuel, Charlotte Barraco-David a rappelé que les enjeux dans un Cloud de confiance restent similaires à ceux d’un Cloud classique. La négociation des contrats, souvent peu flexibles et standardisés, demeure un défi. La perte de maîtrise de l’outil et le manque de transparence sur la localisation exacte des données et les transferts internationaux sont des points de vigilance constants.
Si la confiance est primordiale, elle doit impérativement être accompagnée d’un contrôle, notamment par une analyse contractuelle approfondie. La localisation des données, les formats utilisés et les modalités de traitement sont des clauses à scruter. Négocier ces points avec les très grands acteurs du cloud est souvent ardu. Recourir à des prestataires qualifiés SecNumCloud simplifie cependant l’analyse pour les clients, en particulier pour les acteurs publics soumis à des contraintes fortes.
Le Cloud de confiance : un levier stratégique
Le Cloud de confiance dépasse la simple question de l’hébergement ; il s’agit d’un véritable levier stratégique pour les organisations et pour l’autonomie numérique dans son ensemble. Comme l’a souligné Bertrand Helfre, la notion de « souveraineté » doit se concrétiser en gouvernance et en décisions stratégiques claires pour ne pas rester un simple mot-valise dénué de sens opérationnel.
L’avenir du Cloud souverain et de confiance passera par une intégration toujours plus poussée des services managés, ces briques technologiques qui permettent aux développeurs de se concentrer sur l’innovation métier plutôt que sur la gestion de l’infrastructure sous-jacente.
L’objectif, partagé par les intervenants et notamment par William (dont l’intervention a clôturé la table ronde), est de retrouver l’expérience fluide des plateformes de cloud public les plus avancées, tout en bénéficiant des garanties de sécurité et de localisation offertes par les solutions de confiance. Des acteurs comme S3NS s’inscrivent dans cette dynamique, en cherchant à reproduire la richesse et la facilité d’utilisation des offres d’hyperscalers tout en respectant les exigences spécifiques du marché français et européen. Le Programme d’Accès Anticipé de S3NS vise d’ailleurs à permettre aux entreprises de se familiariser avec les services qui seront prochainement disponibles, anticipant ainsi les évolutions du Cloud de confiance.
Pour le secteur de la FinTech en particulier, mais aussi pour de nombreuses autres industries critiques, le Cloud de confiance idéal en 2030 permettra de maintenir la vélocité d’innovation actuelle tout en garantissant la conformité réglementaire et la maîtrise des données. L’infrastructure cloud doit être un accélérateur, pas un frein.
Poursuivons la conversation !
En conclusion, le chemin vers le Cloud de confiance est un parcours stratégique, construit pas à pas. Les choix technologiques et contractuels réalisés aujourd’hui engagent bien plus que le service informatique ; ils conditionnent notre capacité collective, en tant qu’entreprises et en tant que nation, à rester maîtres de nos données, à exploiter notre intelligence et à sécuriser notre avenir numérique.
Des offres comme S3NS visent à accompagner cette transformation, en offrant une passerelle vers le Cloud de confiance pour les organisations qui hésitaient encore, en s’appuyant sur des technologies éprouvées et en capitalisant sur les compétences existantes.
Ces sujets vous interpellent ? Vous souhaitez approfondir votre stratégie Cloud de confiance et échanger avec des experts qui comprennent vos enjeux ?
Nous serions ravis d’en parler de vive voix et en toute confiance !
- N’hésitez pas à contacter nos experts Devoteam pour discuter de vos besoins spécifiques.
- Restez à l’écoute pour nos prochains événements dédiés au Cloud de confiance
