Glossaire de la souveraineté cloud.

Agence nationale de la sécurité des systèmes d'information. Autorité française de cybersécurité, elle élabore les référentiels (SecNumCloud) et qualifie les prestataires souverains.

Premier fournisseur cloud mondial (filiale d'Amazon). Plus de 200 services, 33 régions, environ 32 pour cent du marché IaaS-PaaS. Soumis au droit américain.

Cloud public de Microsoft, deuxième part de marché mondiale (environ 23 pour cent). Forte intégration avec l'écosystème Microsoft 365 et Active Directory.

Serveur physique dédié loué sans couche d'hypervisor, par opposition aux VM mutualisées. Offre des performances stables, utile pour les bases de données et les workloads sensibles.

Coentreprise Orange-Capgemini distribuant en France une offre cloud basée sur la technologie Microsoft Azure, sous gouvernance française et visant SecNumCloud. La gouvernance FR et la qualification technique ne neutralisent pas le droit US (FISA 702, CLOUD Act) tant que la pile logicielle Microsoft, non auditable par l'ANSSI, est embarquée.

Modèle dans lequel le client génère et détient les clés de chiffrement, le fournisseur n'y a pas accès. Variante HYOK : la clé ne quitte jamais l'infrastructure du client.

Loi américaine de 2018 (Clarifying Lawful Overseas Use of Data Act). Autorise les autorités US à exiger d'un fournisseur soumis au droit américain la remise de données stockées hors USA.

Service cloud opéré sous juridiction européenne sans dépendance capitalistique, contractuelle NI technologique à une puissance étrangère. La qualification SecNumCloud en couvre le volet technique et organisationnel, mais ne suffit pas seule : une pile logicielle US (même localisée en France) reste exposée à FISA 702 / CLOUD Act.

Commission nationale de l'informatique et des libertés. Autorité française de protection des données personnelles, applique le RGPD.

Propriété garantissant que les données ne sont accessibles qu'aux personnes autorisées. Repose sur le chiffrement, la gestion des accès et la classification.

Unité d'exécution isolée partageant le noyau système de la machine hôte. Docker et Kubernetes en sont les standards de fait. Plus léger qu'une VM mais isolation plus faible.

Fournisseur de services cloud. Englobe IaaS, PaaS, SaaS et combinaisons mixtes.

Centre d'hébergement physique abritant les serveurs et équipements réseau. Classés par niveau de redondance Uptime Institute (Tier I à IV).

Méthodologie qui applique les principes DevOps à la gestion des données : pipelines automatisés, tests, observabilité, gouvernance.

Direction interministérielle du numérique. Organe français qui pilote la transformation numérique de l'État et publie la doctrine cloud au centre.

Digital Operational Resilience Act, règlement européen de 2022 qui impose aux acteurs financiers un niveau de résilience opérationnelle et un contrôle des prestataires TIC critiques.

Délégué à la protection des données. Fonction obligatoire RGPD pour la plupart des organisations traitant des données personnelles. Indépendance et rapportage au plus haut niveau exigés.

Traitement de la donnée au plus près de sa source (capteur, gateway, datacenter régional) plutôt que dans un cloud central. Réduit la latence et la bande passante consommée.

European Health Data Space. Règlement européen créant un espace commun de données de santé avec finalités primaires (soin) et secondaires (recherche, régulation).

Agence européenne pour la cybersécurité. Pilote notamment les travaux du futur schéma EUCS de certification cloud.

European Cybersecurity Certification Scheme for Cloud Services. Schéma de certification européen en cours de finalisation, structuré en trois niveaux d'assurance.

Capacité d'une loi à produire des effets au-delà des frontières de l'État qui l'a adoptée. Le CLOUD Act et FISA 702 en sont des exemples emblématiques pour le droit américain.

Architecture qui fédère plusieurs clouds (souvent souverains) sous une orchestration commune, avec des standards d'interopérabilité. GAIA-X promeut cette approche.

Pratique de gouvernance économique du cloud : visibilité des coûts, allocation par équipe, optimisation continue, dialogue finance-tech-métier.

Section du Foreign Intelligence Surveillance Act américain qui autorise la surveillance ciblée d'étrangers non-américains hors USA via les fournisseurs soumis au droit US.

Initiative européenne (lancée en 2019) visant à fédérer une infrastructure cloud européenne autour de standards communs de souveraineté, de portabilité et de transparence.

Cloud public de Google. Troisième part de marché mondiale (environ 11 pour cent), force sur les workloads data et IA (BigQuery, Vertex AI, Kubernetes).

Ensemble des règles, procédures et instances qui orientent les choix cloud d'une organisation : achats, sécurité, conformité, architecture, données.

Certification française obligatoire pour héberger des données de santé à caractère personnel. Délivrée après audit par un organisme accrédité.

Module matériel inviolable utilisé pour générer, stocker et utiliser les clés cryptographiques. Indispensable pour un BYOK ou HYOK sérieux.

Architecture combinant cloud public, cloud privé et infrastructure on-premise, avec une orchestration et un plan de données cohérents entre les segments.

Fournisseur cloud opérant une infrastructure mondiale à très grande échelle : AWS, Azure, GCP. Trois acteurs concentrent environ deux tiers du marché mondial.

Modèle cloud livrant compute, stockage et réseau virtualisés à la demande. Le client gère OS, middleware et applications.

Capacité documentée d'un service à refuser ou à ne pas être légalement contraint de transmettre des données à une autorité étrangère. Critère central de SecNumCloud.

Norme internationale de management de la sécurité de l'information. Base de la plupart des certifications sectorielles, mais ne couvre pas les exigences de souveraineté.

Droit applicable à une entité, déterminant quelles autorités peuvent émettre des injonctions sur ses opérations et ses données. Lue conjointement avec la chaîne capitalistique.

Service de gestion des clés cryptographiques proposé par les CSP. Variantes BYOK et HYOK selon le degré de contrôle conservé par le client.

Orchestrateur de conteneurs open-source (CNCF). Standard de facto pour le déploiement de microservices, supporté par tous les hyperscalers et la majorité des clouds européens.

Emplacement physique effectif des données primaires, des répliques, des journaux et des métadonnées. À distinguer de la région affichée, qui peut masquer des flux secondaires.

Stratégie répartissant les charges sur plusieurs CSP pour réduire la dépendance, optimiser les coûts et tirer parti des forces de chaque acteur.

Directive européenne de 2022 (Network and Information Security 2). Renforce les obligations de cybersécurité pour les entités essentielles et importantes. Transposition nationale en cours.

National Security Agency américaine. Agence de renseignement qui s'appuie notamment sur FISA Section 702 (programmes PRISM et Upstream) pour ses opérations sur les communications étrangères.

Plate-forme open-source d'infrastructure cloud. Base technique de plusieurs clouds européens (OVHcloud, Scaleway, Cloud Temple). Alternative aux piles propriétaires.

Filiale de Dassault Systèmes. Premier prestataire français qualifié SecNumCloud sur le périmètre IaaS.

Premier fournisseur européen en parts de marché IaaS. Coté à Paris, gouvernance française, offre dédiée qualifiée SecNumCloud.

Modèle cloud livrant des environnements d'exécution gérés (bases de données, runtimes, files de messages). Le client se concentre sur le code applicatif.

Procédures et infrastructures permettant la continuité des opérations critiques en cas d'incident majeur. À distinguer du PRA, qui couvre la reprise après sinistre.

Traitement RGPD remplaçant les identifiants directs par des pseudonymes réversibles, sous gestion séparée. Ne supprime pas le caractère personnel des données.

Certification délivrée par l'ANSSI. Trois niveaux historiques (Essentiel, Avancé, Élevé), aujourd'hui unifiés dans le référentiel 3.2 avec exigence d'immunité extraterritoriale et contrôle capitalistique européen.

Zone géographique regroupant plusieurs zones de disponibilité opérées par un CSP. La sélection d'une région UE est une condition nécessaire mais non suffisante pour la souveraineté.

Capacité à quitter un fournisseur sans coût prohibitif : standards ouverts, formats d'export documentés, absence de verrouillage propriétaire. Critère du scoring NextHop.

Règlement général sur la protection des données (UE, 2016). Cadre européen unifié pour le traitement des données personnelles. Sanctions pouvant atteindre 4 pour cent du CA mondial.

Application livrée en tant que service, le client ne gère ni l'infrastructure ni l'application. Microsoft 365, Salesforce, Google Workspace en sont les emblèmes.

Filiale du groupe Iliad. Cloud européen basé à Paris avec datacenters propres en France et aux Pays-Bas. Offre IaaS-PaaS sur stack open-source.

Arrêt CJUE de juillet 2020 qui invalide le Privacy Shield. Cite explicitement FISA 702 comme incompatible avec les standards européens de protection des données.

Coentreprise Thales-Google distribuant une offre basée sur la technologie Google Cloud, visant SecNumCloud. Comme Bleu, la structure française et la qualification technique ne neutralisent pas le droit US tant que la pile logicielle Google, non auditable, est embarquée.

Référentiel et qualification TECHNIQUE et organisationnelle de l'ANSSI (sécurité, exploitation UE, audit PASSI). Version 3.2 (2022) ; exige des clauses contractuelles d'immunité et un contrôle capitalistique européen, mais une qualification ne neutralise pas le droit américain (FISA 702 / CLOUD Act) si la stack logicielle est US.

Capacité d'un acteur (État, organisation, individu) à maîtriser ses infrastructures numériques, ses données et ses dépendances. Six dimensions dans le scoring NextHop.

Plus haut niveau de classification Uptime Institute pour un datacenter. Architecture tolérante à la panne (2N+1), disponibilité cible 99,995 pour cent.

Concept français (puis européen via Cloud de Confiance) désignant un service cloud dont la sécurité et l'exploitation sont attestées par une qualification reconnue (SecNumCloud, EUCS High). À noter : ces qualifications portent sur le volet technique, pas sur une immunité juridique garantie face au droit US.

Technique permettant de faire tourner plusieurs systèmes d'exploitation isolés sur un même matériel via un hypervisor (KVM, VMware ESXi, Hyper-V).

Réseau virtuel isolé au sein d'une région cloud. Permet de définir ses propres sous-réseaux, règles de routage et pare-feu, comme dans un datacenter privé.

Sous-ensemble d'une région cloud (un ou plusieurs datacenters proches). La redondance multi-AZ est la base d'une architecture haute disponibilité.