RGPD et sécurité du Cloud : quel poids dans la souveraineté numérique ?
Des enjeux juridiques confrontés à la pratique
Guillaume Poupard, directeur général de l’ANSSI (l’Agence Nationale de Sécurité des Systèmes d’Information) rappelle l’enjeu juridique du libre-échange des données personnelles européennes posé par le RGPD. Selon lui, « La question du free flow of data ne doit pas être traitée de manière anodine. Les intérêts de l’Europe doivent être protégés. » Pour cela et de manière à renforcer leur sécurité, les données européennes hébergées dans le Cloud doivent être localisées en Europe, ce qui implique l’emploi et la gestion de ces données par des fournisseurs et/ou des datacenters européens.
Si le Cloud Computing n’est pas un phénomène nouveau, les usages qui embarquent les technologies et applications installées dans des environnements Cloud ne cessent d’évoluer en laissant de côté les bonnes pratiques de sécurité. Selon les experts, cette situation est principalement due à la non-inclusion de la sécurité à la conception pour faciliter l’adoption et l’utilisation des outils. Elle renvoie également à l’écosystème complexe qu’il faut gérer et unifier pour protéger les données critiques hébergées dans le Cloud :
- Au niveau des fournisseurs de Cloud et des infrastructures qu’ils opèrent
- Au niveau des opérateurs de services Cloud qui doivent sécuriser leur environnement virtuel hébergé chez leur fournisseur
La complexité de cet écosystème s’ajoute à l’enjeu qu’ont les entreprises de maîtriser la sécurité et la visibilité sur leurs données sensibles lorsqu’elles migrent vers le Cloud, un facteur d’autant plus urgent avec le RGPD qui rend cette étape obligatoire sous peine de sanctions lourdes.
Il s’agit donc d’intégrer les challenges liés à la sécurité du Cloud aux règles obligatoires du RGPD avant mai 2018 et en tenant compte de la localisation des données personnelles européennes au sein de l’UE.
A quoi se préparer pour allier RGPD et sécurité du cloud ?
Pour les dirigeants, répondre à ces challenges demande un travail significatif en amont. Ce travail est critique et essentiel pour leur entreprise mais aussi pour leurs salariés, car tous doivent rester vigilants et proactifs pour adapter leurs usages et la sécurisation des données au niveau le plus proche du citoyen. Il s’agit donc notamment de sensibiliser les équipes et parties prenantes à leur politique RGPD et de revoir leur processus de traitement pour trouver une solution viable à l’enjeu de citoyenneté et de sécurité des données dans le Cloud, deux challenges de fond et de droits qui évoluent en permanence avec les usages du numérique.
Pour séduire et rassurer les entreprises sur les enjeux alliant RGPD et sécurité du Cloud, le magazine L’Informaticien rapporte que les fournisseurs de services de stockage Cloud se transforment petit à petit d’outils d’échange de données en véritable « datarooms » dans lesquelles il est possible de mettre en place des workflows d’approbation et de gestion des accès pour assurer la traçabilité et la sécurité des données. La gestion des accès et des comptes à privilèges ainsi que le monitoring des sessions sont donc des éléments clés pour sécuriser les données les plus sensibles du Cloud et pour répondre aux enjeux les plus complexes du RGPD.
Vers un cloud de confiance
Il est évident que la seule gestion des accès à privilèges ne peut porter toute la conformité d’une entreprise au RGPD et la sécurité des données qu’elle stocke dans le Cloud, bien qu’elle réponde à de nombreux enjeux stratégiques liés au RGPD et à la sécurité du Cloud. L’intérêt pour les sociétés européennes est de se doter d’un écosystème de cybersécurité qui inclue la gestion des accès à privilèges tout en réunissant des solutions de confiance complémentaires certifiées et qualifiées par les institutions gouvernementales comme l’ANSSI. Grâce à cette chaîne de cybersécurité, les entreprises européennes ont non seulement les clés pour répondre au RGPD – une exigence renforcée par la pression de leurs clients, mais elles ont aussi l’opportunité de développer un véritable Cloud de confiance européen et devenir des acteurs de la confiance numérique.
Il faut considérer le RGPD comme une priorité et non pas comme une contrainte, rappelle L’Informaticien.
Le règlement est en réalité une occasion pour renouer le dialogue avec certains clients et prospects, et peut être un facteur différenciant qui apporte des garanties aux nouvelles générations et renforce l’agilité les sociétés dans leur capacité à répondre à de nouvelles réglementations. Selon Jean-Noël de Galzain, Président et fondateur de WALLIX, le règlement européen peut certes représenter des sanctions et des contraintes pour les sociétés, mais le RGPD est aussi une formidable opportunité d’allier respect des règles d’hygiène de sécurité et sécurité du Cloud. « D’après IDC, 67% du budget informatique des entreprises concernera des offres Cloud », rappelle-t-il. Les opportunités économiques pour les entreprises sont donc fortes, et il est nécessaire d’intégrer l’écosystème de cybersécurité pour associer les acteurs de confiance et créer un label européen supportant les enjeux de la souveraineté numérique. Il rappelle que « Le Cloud de confiance qui va être conçu doit fonctionner en permanence et respecter les libertés et les données de chacun. La sécurité dans le Cloud est encore un défi mais les technologies innovantes de sécurité des informations existent et peuvent former une collaboration de confiance et sécuriser l’avenir ».
Pour plus d’informations sur les enjeux de sécurisation des données entre RGPD et sécurité du Cloud, contactez-nous !
