L’externalisation des ressources informatiques selon le modèle de l’informatique en nuage ou cloud computing est une tendance de plus en plus forte, dans le secteur privé comme dans le public. En effet, de nombreuses administrations sont amenées à faire héberger et/ou traiter une partie ou la totalité de leurs données chez des prestataires de cloud. Ce billet vise à reprendre et compléter la note d’information DGP/SIAF/2016/006 du 5 avril 2016 cosignée par le SIAF et la Direction Générale des Collectivités Locales (DGCL) relative à cette question.

Le cloud computing, qu’est-ce que c’est ?

Le cloud computing est un mode d’organisation consistant à donner accès, par un réseau, à des ressources informatiques physiques et/ou virtuelles, distantes et adaptables aux besoins du client¹. La force de ce modèle réside donc dans sa souplesse et sa disponibilité : la complexité de la gestion d’une infrastructure est masquée et les coûts de location sont présentés comme économiquement plus avantageux.

On distingue généralement quatre types de cloud :

• le cloud « public » : modèle de déploiement dans lequel les services de cloud sont potentiellement disponibles pour n’importe quel client, personne publique ou personne privée. Les frontières d’un cloud public sont imprécises, et le client n’a quasiment aucune restriction pour accéder à l’ensemble des services de ce type de cloud, que les données le concernent ou pas.

• le cloud « privé » : modèle de déploiement dans lequel les services de cloud sont utilisés exclusivement par un seul client, qui en contrôle les ressources. Un cloud privé peut être mis en œuvre soit par l’organisation à laquelle appartient le client soit par un prestataire externe. Un cloud privé a vocation à borner précisément ses limites et à restreindre l’accès à ses services à une organisation unique.

• le cloud « hybride » : modèle de déploiement mélangeant à la fois des offres de cloud privé et de cloud public en fonction des besoins et des typologies de données, destiné notamment à répondre aux pics de charge.

• le cloud « communautaire » : cloud public mais qui est exclusivement réservé à des clients dont les caractéristiques et les besoins sont similaires, souvent dans le cadre d’un groupement.

On ajoutera à ces notions celle de cloud « souverain », c’est-à-dire un cloud dont les données sont entièrement stockées et traitées sur le territoire français et dont le client connaît précisément la localisation.

Une offre de cloud peut proposer plusieurs catégories de services, dont les trois principales sont les suivantes :

• IaaS (Infrastructure as a Service) : service de bas niveau consistant à donner accès aux seules infrastructures.

• PaaS (Platform as a Service) : service consistant à donner accès à des infrastructures et à leurs outils d’exploitation, notamment pour des plates-formes de développement.

• Saas (Software as a service) : service consistant à donner accès à des applications directement utilisables (ex. : Gmail, Office 365).

PhFabre, CC BY-SA 3.0 via Wikimedia Commons

Le recours à une offre de type cloud ne doit être envisagé qu’après une étude approfondie des besoins de l’administration et du régime juridique ainsi que de la sensibilité des données qui seront traitées. Cette étude peut être formalisée selon le modèle d’une analyse des risques.

Cloud computing et gestion des archives publiques

Les documents et données numériques produits par les personnes publiques et par les personnes privées exerçant une mission de service public relèvent, dès leur création, du régime juridique des archives publiques². Les archives publiques sont par ailleurs des trésors nationaux³ (article L111-1 du Code du patrimoine), en raison de l’intérêt historique qu’elles présentent ou sont susceptibles de présenter. Les données numériques de ces administrations relèvent donc, dès leur création, du régime des trésors nationaux. Or, la qualité de trésor national impose un régime de circulation contraignant. Un trésor national ne peut pas sortir du territoire douanier français, sinon à titre temporaire et après autorisation du ministère de la Culture et aux seules « fins de restauration, d’expertise, de participation à une manifestation culturelle ou de dépôt dans une collection publique⁴ ». Tous les autres traitements doivent intervenir sur le territoire national. L’utilisation d’un cloud non souverain, qui, par définition, ne permet pas de garantir que l’ensemble des données sont stockées et traitées sur le territoire français, est donc illégale pour toute institution produisant des archives publiques.

D’autres considérations sont également à prendre en compte :

• l’exercice du Contrôle Scientifique et Technique (CST) de l’État tel que défini par le Code du patrimoine⁵, implique de pouvoir auditer librement les infrastructures de stockage des archives publiques, ce qui est impossible si elles se situent à l’étranger.

• les fournisseurs américains de cloud sont soumis au Freedom Act⁶, loi autorisant l’administration américaine, dans le cadre de la lutte contre le terrorisme, à accéder à toutes les données qu’ils hébergent, quels que soient la nationalité de leur client et le lieu où se situent les infrastructures, sans autorisation préalable et sans en informer leur client.

• dans le cas d’une externalisation de la conservation d’archives publiques courantes et intermédiaires sur support numérique, le prestataire agréé ne peut héberger et traiter les données que sur le territoire national⁷.

• la certification NF 461, qui sanctionne la conformité d’un Système d’Archivage Électronique (SAE) à la norme de référence dans le domaine NF Z 42-013, exclut tout demandeur dont l’organisation ne permet pas de connaître précisément et de maîtriser la localisation des documents archivés.

Dans la sphère des administrations, il convient de différencier le cloud computing d’une conservation externalisée d’archives publiques courantes et intermédiaires sur support numérique, qui est soumise à l’agrément du SIAF. En effet, comme on l’a vu, le cloud est une notion générique qui peut prendre la forme de réalités très diverses, de la mise à disposition d’espaces de stockage à l’hébergement d’une application proposée en mode service à des utilisateurs. Ces plates-formes métier hébergées dans le cloud, pour la plupart, ne conservent pas des archives publiques mais se contentent de les stocker pour les besoins des services qui les utilisent. La conservation diffère du simple stockage dans le sens où elle met en oeuvre l’ensemble des mécanismes d’intégrité, de traçabilité, de confidentialité et de pérennisation qui sont le propre d’un SAE. En somme, seul un système qui, reposant sur du cloud, dispose de fonctionnalités assimilées à du tiers-archivage numérique rentre dans le champ d’application de l’agrément SIAF.

Les contrats avec les prestataires de cloud, qui emploient eux-mêmes une chaîne de sous-traitants, sont souvent très stéréotypés et n’intègrent pas de contraintes spécifiques en fonction de la sensibilité des données ou de l’environnement législatif et réglementaire. Certaines clauses sont cependant indispensables et ne doivent pas être oubliées, notamment en ce qui concerne la localisation des données, la traçabilité et la documentation des actions, la réversibilité et l’auditabilité du système ou encore l’encadrement des éliminations par des méthodes sécurisées de manière à les rendre irréversibles. De même, il est nécessaire d’avoir une description précise de l’état physique des infrastructures (redondance des équipements, sécurité des accès, prévention des sinistres) et des procédures de sauvegarde et de réplication mises en place.

Si l’on choisit de s’orienter vers une offre de cloud, il convient, en ce qui concerne les archives publiques, d’étudier la pertinence de cette organisation en fonction des données concernées, et de s’orienter vers du cloud privé ou a minima du cloud public au sein duquel l’étanchéité des données appartenant aux différents clients est parfaitement garantie. Dans tous les cas, seule une offre de cloud souverain peut être envisagée.

Pour approfondir le sujet, on peut se reporter aux recommandations établies par la CNIL⁸, ainsi qu’à celles de l’ANSSI en ce qui concerne la sécurité des systèmes d’information⁹.

---

---

---