Cybersécurité souveraine : quels critères vérifier avant de choisir une solution ?

Préciser le besoin de maîtrise

Définissez les données à protéger, les traitements et les conséquences d’un accès non autorisé ou d’une interruption. Identifiez les contraintes propres à votre organisation. Les critères ne sont pas identiques pour un service public exposé, des dossiers internes et un outil de détection qui collecte des traces techniques.

Transformez les attentes générales en questions vérifiables : où les données sont-elles traitées, qui peut les consulter, qui décide des mises à jour et comment changer de solution ? Cette grille permet de comparer les propositions sur le même périmètre plutôt que sur des slogans.

Cartographier les intervenants et les flux

Distinguez l’éditeur, l’hébergeur, les opérateurs de service, les sous-traitants et votre interlocuteur commercial. Demandez le rôle de chacun et les données auxquelles il accède. Le support peut disposer d’accès techniques différents de ceux utilisés au quotidien par le client.

Examinez les flux de télémétrie, les journaux, les sauvegardes et les outils d’administration. Le lieu de stockage principal ne décrit pas tout le traitement. Les conditions d’accès à distance, la gestion des clés et les dépendances logicielles doivent être expliquées. Une architecture documentée aide à identifier les points qui nécessitent un engagement contractuel.

Vérifier les qualifications sur leur périmètre exact

Une certification ou une qualification concerne un titulaire, un produit ou service et un périmètre. Vérifiez la référence dans les sources officielles et sa validité. Une offre en cours de qualification n’est pas une offre déjà qualifiée. Le statut d’un hébergeur ne s’étend pas automatiquement à toutes les applications qu’il accueille.

L’ANSSI explique notamment que SecNumCloud qualifie des offres cloud et ne préjuge pas de la sécurité du service numérique client hébergé dessus. Cette distinction évite d’attribuer une garantie globale à une application sur la seule base de son infrastructure. Elle ne signifie pas qu’une qualification serait inutile : il faut comprendre ce qu’elle couvre.

Ne transférez jamais les propriétés d’un partenaire à CAP Solutions. Les certifications, infrastructures et moyens de surveillance d’un tiers doivent rester attribués à leur titulaire lorsqu’ils sont pertinents et publiables. Pour choisir, examinez les preuves dans le cadre du projet plutôt que d’ajouter des badges non vérifiés.

Examiner les accès et la capacité de continuité

Demandez comment sont gérés les comptes d’administration, les opérations de support et les actions d’urgence. Les droits doivent être limités et traçables, avec des conditions d’activation connues. La maîtrise juridique ne remplace pas la sécurité opérationnelle des comptes et des configurations.

Vérifiez les sauvegardes et la restauration avec vos objectifs de reprise. Une redondance annoncée ne démontre pas la capacité à récupérer après une erreur ou une compromission. Les délais, plages d’intervention et responsabilités doivent être explicités dans les accords applicables, sans déduire un engagement de disponibilité d’une présentation commerciale.

Tester la réversibilité avant de signer

Identifiez les données et configurations que vous devez récupérer, leur format et les outils nécessaires pour les exploiter. Clarifiez les conditions de restitution, l’assistance éventuelle et la suppression après sortie. Un export disponible mais inutilisable sans le même service peut laisser une dépendance importante.

Exemple pédagogique : une organisation demande un export de paramètres et de journaux sur un périmètre de test. Elle vérifie leur lisibilité et la possibilité de reprendre les informations utiles ailleurs. Le test ne garantit pas une migration future complète, mais révèle les questions à régler contractuellement.

Examinez aussi la portabilité des compétences et de la documentation. Les personnes qui administrent le dispositif doivent comprendre ses limites et pouvoir expliquer les choix. Une dépendance à un seul intervenant sans documentation peut réduire la maîtrise, même lorsque les composants sont d’origine nationale.

Comparer les solutions avec une décision documentée

Classez les critères impératifs, les points souhaitables et les écarts acceptables. Consignez les preuves reçues et les réponses manquantes. La décision doit expliquer les arbitrages de sécurité, de fonctionnement et de réversibilité. Réexaminez-la lorsqu’un service ou un sous-traitant change.

CAP Solutions accompagne les entreprises et collectivités dans leurs projets de cybersécurité souveraine en France entière, avec installation et maintenance selon le périmètre convenu. Préparez votre grille d’exigences pour examiner les solutions retenues. Ce guide n’attribue aucune qualification, infrastructure propre ou surveillance permanente à CAP Solutions.

Pour chaque exigence, conservez la réponse, sa pièce justificative, son périmètre et sa date. Séparez preuve reçue, déclaration à confirmer et écart identifié. Une réponse absente n’est pas une conformité implicite. Un document sur le centre de données ne démontre pas, à lui seul, les conditions d’accès du support, la maîtrise des clés ou le traitement des journaux.

Scénario pédagogique : deux offres annoncent un hébergement en France. Pour les comparer, demandez qui administre, où vont les traces, quelles dépendances existent et ce qui peut être exporté. Si une qualification est invoquée, vérifiez le service précis et son titulaire dans le catalogue officiel. Faites décider les écarts par le responsable du risque ; ne transformez ni un pays d’origine ni un badge en verdict global sur la sécurité ou la maîtrise juridique.