Rendre le cloud souverain apte aux informations sensibles de l'État

Mon quotidien : DR × SecNumCloud

L’homologation Diffusion Restreinte (DR) autorise le traitement d’informations sensibles de l’État. Traditionnellement, ces environnements sont on-premise, maîtrisés de bout en bout, dans des locaux sécurisés.

Mon sujet : faire la même chose sur un environnement cloud qualifié SecNumCloud. C’est un territoire encore largement inexploré, avec très peu de retours d’expérience sur le marché, et c’est exactement ce qui le rend passionnant.

Adapter l’II 901 au cloud

L’Instruction Interministérielle 901 définit les exigences de protection des informations DR. Elle a été pensée pour des architectures classiques. Les appliquer à un environnement cloud demande de repenser chaque contrôle :

• Quelles fonctions de sécurité activer selon l’architecture cible ?
• Comment garantir le cloisonnement quand l’infrastructure est mutualisée ?
• Où placer les points de chiffrement dans une chaîne qui traverse plusieurs couches de services ?

Chaque décision technique a des implications sur la conformité, et inversement.

L’analyse de risques

C’est le cœur du sujet. Identifier les menaces propres au cloud, évaluer les risques, et surtout définir les risques résiduels acceptables. Ce n’est pas théorique : chaque risque résiduel doit être argumenté, documenté et assumé. Le passage de l’on-premise au cloud change fondamentalement la surface d’attaque : des risques disparaissent, d’autres apparaissent, tout est à réévaluer.

Le dialogue, pas le dogme

Une homologation DR n’est pas un exercice en chambre : c’est un dialogue permanent avec les équipes sécurité, les architectes et les opérationnels. La clé, c’est de ne pas être dogmatique : expliquer pourquoi une mesure traditionnelle ne s’applique pas telle quelle, et proposer des alternatives qui offrent un niveau de protection équivalent.

Souveraineté numérique chez Bleu

Architecte Cloud chez Bleu, le cloud de confiance français porté par Capgemini et Orange. La mission : opérer les services Microsoft 365 dans un cadre souverain, conforme aux exigences SecNumCloud de l’ANSSI, centré sur la collaboration, la sécurité et la gestion des identités.

15 ans d’expertise Microsoft. Je travaille sur l’écosystème Office 365 / Microsoft 365 depuis 2011, spécialisé sur les sujets collaboratifs, sécurité et identité. Cette profondeur historique me donne une vision complète de l’écosystème, de ses forces comme de ses limites.

Ma façon de travailler

Je crois que la technologie doit servir la confiance. Construire des infrastructures souveraines et sécurisées n’est pas qu’un choix technique : c’est un engagement.

Mon approche : comprendre en profondeur avant de construire, partager les connaissances sans réserve, et garder une curiosité de débutant face aux nouveaux sujets. Cette soif d’apprendre ne s’éteint pas : chaque lacune est une opportunité, et finit toujours par enrichir mon travail.