SecNumCloud
Qualification de l'ANSSI pour les offres cloud au plus haut niveau de sécurité, incluant une protection contre les lois extraterritoriales.
Définition complète
SecNumCloud est un référentiel d'exigences publié par l'ANSSI pour les prestataires d'informatique en nuage. Une offre (IaaS, PaaS, SaaS ou CaaS) qui le respecte peut obtenir la qualification SecNumCloud, qui atteste d'un haut niveau de sécurité à l'issue d'une évaluation approfondie par un centre agréé.
Le référentiel couvre la gouvernance, la gestion des risques, la cryptographie, les accès, l'exploitation, la continuité et la protection des données. Depuis sa version 3.2 (2022), il comporte aussi des exigences de protection vis-à-vis des lois extraterritoriales : données et traitements localisés dans l'Union européenne, siège social dans l'Union, actionnaires extra-européens minoritaires, indépendance vis-à-vis de toute entité non européenne.
La qualification est valable trois ans et fait l'objet d'audits de surveillance annuels. Un service simplement hébergé sur une infrastructure qualifiée n'hérite pas de la qualification : chaque offre doit être qualifiée pour elle-même. La liste des offres qualifiées est publiée par l'ANSSI.
Exemple concret
Une PME de 45 salariés édite un logiciel de gestion pour les collectivités territoriales. Un appel d'offres d'un ministère exige, pour des données sensibles, un hébergement conforme aux exigences de protection contre les accès d'autorités étrangères. L'éditeur, hébergé chez un grand cloud américain, doit migrer vers une offre qualifiée SecNumCloud pour pouvoir répondre, et vérifie que son propre service de support n'accède pas aux données depuis l'étranger.
Comment se protéger
- Classer vos données selon leur sensibilité avant de choisir un niveau d'hébergement
- Exiger la preuve de qualification et vérifier qu'elle couvre précisément le service souscrit
- Consulter la liste officielle des offres qualifiées publiée par l'ANSSI
- Vérifier que vos propres sous-traitants et équipes de support ne réintroduisent pas d'accès hors UE
- Anticiper les exigences des clients publics et des secteurs sensibles dans votre feuille de route
- Prévoir la réversibilité avant de migrer vers une offre qualifiée
Questions fréquentes
Aucune obligation générale ne s'impose aux entreprises privées. C'est pertinent pour des données très sensibles ou lorsque des clients publics ou régulés l'exigent. Pour la plupart des usages courants, un hébergement bien configuré et conforme au RGPD suffit.
Non. HDS est une certification obligatoire pour l'hébergement de données de santé. SecNumCloud est une qualification de l'ANSSI plus large et plus exigeante, notamment sur la protection contre les lois extraterritoriales.
Termes liés
HDS (hébergement de données de santé)
Certification obligatoire en France pour tout prestataire qui héberge des données de santé pour le compte d'un tiers.
Modèle de responsabilité partagée
Répartition des tâches de sécurité entre le fournisseur cloud et le client, qui reste toujours responsable de ses données et accès.
RGPD
Règlement européen sur la protection des données personnelles.
Souveraineté des données (cloud)
Capacité à garder la maîtrise de ses données hébergées dans le cloud, notamment face aux lois étrangères qui permettraient d'y accéder.
Vous avez besoin d'un expert en SecNumCloud ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.