Qu'est-ce que la qualification SecNumCloud de l'ANSSI ?

SecNumCloud est la qualification de sécurité de référence en France pour les services de cloud. Elle est délivrée par l'ANSSI à l'issue d'une évaluation approfondie. Elle ne concerne pas tous les projets, mais elle revient souvent dans les discussions sur la souveraineté des données. Voici ce qu'elle recouvre et comment la vérifier.

Que qualifie exactement SecNumCloud ?

Le cloud désigne des ressources informatiques louées et accessibles par Internet. SecNumCloud s'applique à plusieurs types d'offres :

• l'infrastructure à la demande (IaaS) : serveurs, stockage et réseau mis à disposition ;
• la plateforme (PaaS) : un environnement prêt à accueillir des applications ;
• le logiciel accessible en ligne : une application utilisée directement dans le navigateur.

La qualification vise une offre donnée, sur un périmètre défini. Un prestataire peut proposer une offre qualifiée et d'autres qui ne le sont pas. Le nom d'un hébergeur ne suffit donc jamais : c'est le service précis qu'il faut vérifier.

Que vérifie l'ANSSI ?

Le référentiel SecNumCloud rassemble un grand nombre d'exigences. Elles couvrent notamment les thèmes suivants.

Ce dernier volet distingue SecNumCloud de nombreuses certifications de sécurité. Il vise à protéger les données contre l'application de lois extra-européennes à portée extraterritoriale, comme le Cloud Act américain.

Comment une offre obtient-elle la qualification ?

1. Le prestataire dépose une demande auprès de l'ANSSI pour une offre et un périmètre précis.
2. L'offre fait l'objet d'une évaluation détaillée, documentaire et technique, encadrée par l'ANSSI.
3. Les écarts constatés doivent être corrigés.
4. L'ANSSI prononce la qualification si les exigences sont satisfaites.
5. La qualification n'est pas acquise définitivement : l'offre reste soumise à un suivi.

SecNumCloud est-elle obligatoire ?

Pas de manière générale. Une entreprise privée peut héberger son site ou ses applications sans recourir à une offre qualifiée. La qualification peut en revanche être demandée par un client, prévue dans un marché ou attendue pour certains traitements sensibles, notamment dans la sphère publique. Vérifiez vos obligations contractuelles et sectorielles avant de trancher.

SecNumCloud et ISO 27001 : quelle différence ?

ISO 27001 est une norme internationale qui certifie un système de management de la sécurité de l'information : l'organisation identifie ses risques et les traite de façon méthodique. SecNumCloud s'appuie sur des principes proches, mais ajoute des exigences techniques détaillées propres au cloud et un volet de protection juridique. Une offre certifiée ISO 27001 n'est donc pas, pour autant, qualifiée SecNumCloud.

Comment vérifier qu'une offre est qualifiée ?

• Consultez la liste des produits et services qualifiés publiée sur le site de l'ANSSI.
• Vérifiez que le nom exact du service et son périmètre correspondent à ce que l'on vous propose.
• Méfiez-vous des formules comme « en cours de qualification », « aligné sur SecNumCloud » ou « inspiré de SecNumCloud » : aucune ne signifie que l'offre est qualifiée.
• Demandez l'attestation de qualification et assurez-vous qu'elle est en cours de validité.

Votre projet a-t-il besoin de SecNumCloud ?

La qualification de l'hébergement ne rend pas l'application sûre à elle seule. Le code, les comptes utilisateurs et les sauvegardes restaurables restent sous votre responsabilité ou celle de votre prestataire de développement.

Pour choisir un hébergement adapté à la sensibilité de vos données, consultez l'offre d'hébergement web de NexSecure.