Une offre SecNumCloud suffit-elle pour des données Diffusion Restreinte ?

Dans l’ordre

1. Confirmer le marquage et les exigences applicables
2. Examiner le système et les accès prévus
3. Faire valider les pièces avant de déplacer le traitement

Pourquoi ce choix

• La protection dépend du contexte
• Les fonctions disponibles peuvent différer

Deux preuves qui ne répondent pas à la même question

La FAQ de l’ANSSI sur l’hébergement des systèmes d’information sensibles distingue la confiance dans une offre cloud et les obligations propres à certains traitements. À la question sur l’homologation, elle indique notamment que SecNumCloud ne se substitue pas aux exigences applicables aux données Diffusion Restreinte ou aux données de santé.

Nous en tirons une règle d’achat limitée : ne pas utiliser une décision SecNumCloud comme preuve suffisante de l’acceptation de votre système DR. Ce n’est pas une conclusion sur la qualité ou la dangerosité d’un fournisseur ; c’est un dossier différent à instruire.

Le nom de l’édition doit correspondre aux fonctions utilisées

Demandez quelles fonctions, quels accès et quelle exploitation sont concernés par l’offre proposée. Une messagerie, une coédition, une visioconférence, un logiciel installé et une application mobile peuvent avoir des périmètres documentaires différents. La pièce d’un service ne valide pas mécaniquement tout cet ensemble.

Pour une démonstration, utilisez des données fictives. Faites distinguer ce qui est seulement montré commercialement et ce qui peut être activé dans le périmètre réellement autorisé. Si une fonction indispensable doit être supprimée ou limitée, c’est un critère de choix à traiter avant l’achat.

La demande à transmettre au responsable de sécurité

Préparez le marquage et le type d’information, les personnes et partenaires qui devront y accéder, les appareils, les applications et les échanges hors de votre organisation. Ajoutez les références officielles fournies par l’éditeur et les conditions du service exact.

Le responsable compétent doit pouvoir identifier les exigences applicables et les pièces manquantes. Nous ne proposons pas ici une configuration DR, une liste de moyens de chiffrement acceptés ou une procédure d’homologation complète. Si ce dossier n’est pas tranché, l’action raisonnable est de conserver le traitement dans son environnement autorisé pendant l’analyse.

Ce qui ferait changer notre choix

Une validation du système et de son périmètre par les responsables compétents, avec les pièces requises, peut permettre le changement envisagé. La seule présence d’une qualification ou d’un discours sur la souveraineté ne le permet pas.

Si vos données ne sont pas marquées DR et ne relèvent pas de ce régime, ne leur attribuez pas cette catégorie pour choisir un fournisseur. Revenez à l’analyse de sensibilité et aux contraintes réelles : une exigence inutilement large peut écarter des fonctions sans résoudre un risque établi.

À vérifier

Lecture de la FAQ ANSSI, questions 3 à 7, pour établir la distinction entre qualification cloud et exigences DR. L’instruction II901, IM900 et les moyens agréés ne sont pas examinés intégralement. Aucune offre ni configuration DR n’est validée ici.

Preuves et sources

Les faits documentaires et déclarations sont distingués de nos avis et méthodes. Comment nous travaillons.