Module 7 · 7.2
Évaluer les fournisseurs et les services cloud
Module 7: Accès, fournisseurs et cloud · Temps de lecture : 11 minutes
Objectif pédagogique : après cette leçon, vous saurez évaluer un fournisseur ou un service cloud sur la sécurité, la vie privée et la réversibilité, expliquer ce qu'un contrat de sous-traitance doit prévoir selon le RGPD, et tenir à jour un inventaire des fournisseurs.
Notions clés : responsabilité partagée, sous-traitant, contrat de sous-traitance, sous-traitant ultérieur, localisation des données, certification (par exemple ISO 27001), stratégie de réversibilité, inventaire des fournisseurs
Votre sécurité vaut ce que valent vos fournisseurs
Une petite entreprise a rarement ses propres serveurs. La messagerie tourne chez un prestataire, la comptabilité dans un logiciel en ligne, la boutique en ligne sur une plateforme, les ordinateurs portables sont gérés par une société informatique, et la paie passe par un cabinet comptable. C'est une bonne chose : ces acteurs peuvent souvent gérer la sécurité mieux que vous ne le pourriez vous-même. Mais cela signifie aussi qu'une grande partie de votre sécurité est entre les mains d'autres personnes.
Dessinez-le pour vous-même. Placez votre entreprise au centre et tracez une ligne vers chaque acteur qui conserve des données vous concernant ou qui a accès à vos systèmes. Pour chaque ligne, posez-vous deux questions :
- Que se passe-t-il si cet acteur disparaît ? Une panne, une faillite, une hausse de prix qui vous donne envie de partir.
- Que se passe-t-il si cet acteur subit une fuite ? Un piratage chez le fournisseur, un collaborateur qui en voit trop, un compte de la société informatique qui est repris.
Responsabilité partagée
Dans la leçon 6.1, vous avez déjà vu le modèle de responsabilité partagée : le fournisseur d'un service cloud s'occupe du centre de données, des serveurs et du fonctionnement du logiciel ; vous restez responsable de vos données, de vos comptes et de vos paramètres. Microsoft indique littéralement dans sa documentation que cela reste vrai pour chaque type de service cloud, y compris les logiciels prêts à l'emploi.
Ce que cela signifie en pratique :
| Ce que le fournisseur gère généralement | Ce que vous gérez toujours vous-même |
|---|---|
| Sécurité physique du centre de données | Qui a un compte et avec quels droits (leçon 7.1) |
| Mises à jour des serveurs et du logiciel | Activer et utiliser l'authentification à deux facteurs |
| Disponibilité conforme aux accords | Ce que vous partagez et avec qui (leçon 7.3) |
| Sauvegardes en cas de sinistre (si cela a été convenu) | Une sauvegarde ou un export personnel de ce que vous ne pouvez vraiment pas perdre (module 6) |
Une erreur fréquente consiste à supposer que le fournisseur gère quelque chose que vous ne lui avez jamais demandé. Posez donc la question.
Sous-traitant et contrat de sous-traitance
Dès qu'un fournisseur traite des données à caractère personnel pour vous, les règles du RGPD s'appliquent. Pensez aux données clients de votre boutique en ligne, aux e-mails contenant des noms et des adresses, aux données de paie, ou à un stockage cloud contenant des CV de candidats.
- Vous êtes le responsable du traitement : c'est vous qui déterminez à quelles fins et comment les données sont utilisées.
- Le fournisseur est un sous-traitant : il traite les données pour votre compte, pour vos finalités.
L'article 28 du RGPD indique que vous ne pouvez faire appel qu'à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Les accords sont consignés dans un contrat de sous-traitance, par écrit (la forme électronique est admise). Selon l'article 28 paragraphe 3, ce contrat doit au moins régler l'objet, la durée, la nature et la finalité du traitement, les types de données à caractère personnel et de personnes concernées, et prévoir que le sous-traitant :
- n'agit que sur vos instructions écrites ;
- veille à ce que ses collaborateurs respectent la confidentialité ;
- applique les mesures de sécurité de l'article 32 ;
- ne fait appel à un sous-traitant ultérieur qu'avec votre autorisation, soumis aux mêmes obligations ;
- vous aide lorsque des personnes exercent leurs droits relatifs à la vie privée (accès, rectification, suppression) ;
- vous aide en matière de sécurité, de violations de données et d'une éventuelle analyse d'impact (AIPD) (articles 32 à 36) ;
- supprime ou restitue les données à l'issue de la prestation et détruit les copies, selon votre choix ;
- vous fournit les informations nécessaires pour vérifier le respect des accords, et permet des audits.
Un sous-traitant ultérieur est un acteur auquel votre sous-traitant fait lui-même appel, par exemple le centre de données de votre hébergeur ou le service de messagerie de votre logiciel de comptabilité. Le RGPD indique que le sous-traitant reste pleinement responsable envers vous si un sous-traitant ultérieur ne respecte pas ses obligations. Demandez la liste des sous-traitants ultérieurs.
La CNIL recommande de rendre les accords concrets, plutôt que de se contenter de répéter le texte de la loi, et de consigner la rapidité et le contenu des informations que le fournisseur vous transmettra en cas de violation de données. Ce dernier point est important : à la leçon 8.2, vous verrez que vous devez notifier dans un délai de 72 heures, et ce délai ne commence à courir qu'à partir du moment où vous êtes informé.
De nombreux fournisseurs disposent d'un contrat de sous-traitance standard. Lisez-le, et vérifiez s'il doit réellement être signé ou accepté : chez certains fournisseurs, il n'entre pas en vigueur automatiquement.
Cette leçon donne une explication générale et ne constitue pas un conseil juridique. Le texte complet du RGPD figure sur eur-lex.europa.eu.
Questions à poser à un fournisseur
Une évaluation n'a pas besoin d'être un rapport d'audit de quarante pages. Pour une petite entreprise, une liste de questions fixe fonctionne bien. Les réponses figurent souvent déjà sur le site du fournisseur, dans une page dédiée à la sécurité ou une liste de questions fréquentes.
| Thème | Question |
|---|---|
| Localisation | Où se trouvent mes données, y compris les sauvegardes ? Partent-elles vers des pays hors de l'Espace économique européen ? |
| Accès | Puis-je imposer l'authentification à deux facteurs pour tous mes utilisateurs ? Puis-je attribuer leurs propres droits aux utilisateurs ? |
| Sauvegarde | Le fournisseur fait-il des sauvegardes, à quelle fréquence, pendant combien de temps sont-elles conservées, et puis-je restaurer moi-même ? |
| Chiffrement | Les données sont-elles chiffrées en transit et sur le disque ? |
| Violation de données | À quelle vitesse et comment le fournisseur m'informe-t-il en cas d'incident ? |
| Sous-traitants ultérieurs | À quels acteurs fait-il appel, et comment suis-je informé des changements ? |
| Certification | Existe-t-il un certificat, par exemple ISO 27001, et quel est son périmètre ? |
| Réversibilité | Puis-je exporter toutes mes données dans un format utilisable ? Que deviennent mes données après résiliation ? |
À propos de la certification : l'ISO/IEC 27001 est une norme internationale qui définit des exigences pour un système de management de la sécurité de l'information. L'ISO ne certifie pas elle-même ; c'est un organisme de certification indépendant qui le fait. Un certificat montre qu'une organisation gère sa sécurité de manière structurée, mais il ne garantit pas qu'aucun incident ne se produira jamais. Vérifiez surtout le périmètre indiqué sur le certificat : couvre-t-il le service que vous utilisez, ou seulement un bureau ou un service en particulier ?
Réversibilité : pouvoir partir, c'est aussi de la sécurité
Une stratégie de réversibilité est votre plan pour quitter un fournisseur, de manière contrainte ou volontaire. Cela peut sembler être une question pour plus tard, mais elle doit se régler dès le choix du fournisseur : si vous découvrez seulement au moment d'une faillite que vous ne pouvez pas exporter votre fichier clients, il est trop tard.
Vérifiez donc au préalable :
- si vous pouvez exporter toutes vos données, et dans quel format (un format ouvert comme le CSV, un courrier électronique standard ou des fichiers classiques valent mieux qu'un format propriétaire) ;
- combien de temps vos données restent disponibles après résiliation ;
- si votre nom de domaine est enregistré à votre propre nom et si vous pouvez modifier vous-même les serveurs de noms (leçon 4.3) ;
- si vous conservez vous-même un export récent, dans le cadre de votre sauvegarde (leçon 6.1).
L'inventaire des fournisseurs
Consignez tout dans un inventaire des fournisseurs : un seul tableau indiquant, pour chaque fournisseur, le service, les données qui y figurent, s'il y a des données à caractère personnel, s'il existe un contrat de sous-traitance, qui en est responsable chez vous, les principales réponses issues de la liste de questions et la possibilité de réversibilité. Relisez-le une fois par an, et à chaque nouveau service ajouté.
Si l'un de vos clients est concerné par la transposition française de NIS 2 (leçon 9.1), vous pouvez vous attendre à ce que ce client vous pose, en tant que fournisseur, ce type de questions. Avec votre propre inventaire, vous avez les réponses prêtes.
En pratique : à quoi cela ressemble
De nombreux fournisseurs présentent les réponses à ces questions dans une page dédiée à la sécurité. Dans l'environnement d'exemple WebOké, le guide Nextcloud décrit par exemple ce que le fournisseur gère et ce que l'utilisateur fait lui-même : où se trouvent les données, le chiffrement en transit et sur les disques, l'authentification à deux facteurs obligatoire, les mises à jour et les sauvegardes, et le fait que pour un usage professionnel avec des données à caractère personnel vous concluez un contrat de sous-traitance. Cette répartition (ce que gère le fournisseur, ce que je fais moi-même) est exactement ce qu'il faut rechercher chez chaque fournisseur. Chez d'autres fournisseurs, cela figure souvent dans un trust center, une page dédiée à la sécurité ou les conditions générales ; si ce n'est pas le cas, posez la question.
Résumé
- Dessinez vos fournisseurs et posez, pour chaque lien : que se passe-t-il s'il disparaît, que se passe-t-il s'il subit une fuite ?
- Responsabilité partagée : le fournisseur gère l'infrastructure, vous gérez vos données, vos comptes et vos paramètres.
- Si un fournisseur traite des données à caractère personnel pour vous, il est sous-traitant et vous concluez un contrat de sous-traitance conforme à l'article 28 du RGPD.
- Utilisez une liste de questions fixe : localisation, accès, sauvegarde, chiffrement, violation de données, sous-traitants ultérieurs, certification, réversibilité.
- Un certificat dit quelque chose, mais vérifiez son périmètre ; préparez votre réversibilité avant d'en avoir besoin.
Quiz
Exercice
Exercice D7.2 : Votre inventaire des fournisseurs. Constituez un tableau de vos cinq fournisseurs et services cloud les plus importants. Indiquez pour chaque fournisseur quelles données y figurent, s'il y a des données à caractère personnel, s'il existe un contrat de sous-traitance, et recherchez les réponses à la liste de questions de cette leçon (localisation, authentification à deux facteurs, sauvegarde, violation de données, sous-traitants ultérieurs, certification, réversibilité). Essayez de réaliser un véritable export pour au moins un service.
Exercice D7.2: Votre inventaire des fournisseurs
Voici comment procéder : (1) Représentez votre entreprise au centre avec des lignes vers chaque partie qui conserve vos données ou a accès à vos systèmes. (2) Choisissez les cinq plus importantes et créez un tableau avec : le service, quelles données, données personnelles (oui/non), contrat de sous-traitance (oui/non/non nécessaire), responsable chez vous, et les réponses au questionnaire de la leçon 7.2 : lieu de stockage des données et des sauvegardes, possibilité d'imposer l'authentification à deux facteurs, sauvegarde et restauration autonome, chiffrement, délai en cas de violation de données, sous-traitants ultérieurs, certification avec son périmètre, export et ce qui se passe après résiliation. (3) Cherchez d'abord les réponses dans la documentation, la page sécurité ou les conditions du fournisseur. Notez la source. Si ce n'est pas indiqué, posez la question au fournisseur et notez la réponse. (4) Vérifiez pour chaque fournisseur qui traite des données personnelles pour vous s'il existe un contrat de sous-traitance, et s'il doit être accepté ou signé. (5) Faites réellement un export de vos données pour au moins un service et vérifiez que vous pouvez l'ouvrir. (6) Rédigez pour le service le plus important, en trois phrases, votre plan de sortie : où allez-vous, comment récupérez-vous vos données, combien de temps cela prendra-t-il.
Vos cases cochées et vos notes restent uniquement dans ce navigateur ; nous ne les envoyons nulle part. Si vous êtes connecté, nous enregistrons dans Mes formations uniquement le fait que vous avez terminé l'exercice.
Pour aller plus loin
Les étapes décrites dans les articles WebOké valent pour l'environnement de WebOké ; chez d'autres fournisseurs, le fonctionnement est comparable ou différent.
- Guide Nextcloud 3.1: Comment WebOké sécurise-t-il votre Nextcloud ?
- Guide Nextcloud 15.13: Questions fréquentes sur la sécurité et la confidentialité
- RGPD (Règlement (UE) 2016/679), article 28 : https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (en anglais) : https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility