Cloud public et cybersécurité réseau : pourquoi la souveraineté ne se négocie pas

Migrer ses applications vers le cloud public est devenu une évidence pour la majorité des entreprises françaises. Microsoft Azure, AWS ou Google Cloud sont aujourd’hui des standards technologiques incontournables en matière d’infrastructure, de performance et de scalabilité.

Mais derrière cette évolution majeure se cache une question que trop peu d’entreprises se posent réellement : qui protège vos flux, vos logs, vos utilisateurs et vos données sensibles ? Et surtout, qui y a accès ?

Héberger n’est pas protéger

C’est ici que se joue une distinction essentielle, souvent négligée dans les projets de migration cloud : celle entre héberger une application et protéger le réseau qui y donne accès.

Déléguer le stockage applicatif à un hyperscaler américain est une chose. Confier aveuglément la couche de cybersécurité réseau pare-feu, filtrage DNS, IDS/IPS, SD-WAN, SASE à ce même acteur en est une autre, aux conséquences bien plus lourdes.

Pourquoi ? Parce que ces systèmes ne se contentent pas de faire transiter des données : ils collectent et analysent en continu les flux réseau, les logs d’activité, les comportements des utilisateurs, et parfois même les clés de déchiffrement TLS. Une visibilité totale sur l’activité numérique de l’entreprise et si l’éditeur de la solution est américain, cette visibilité est soumise au droit américain, même si les serveurs physiques se trouvent en Europe.

Le Cloud Act, un risque juridique trop souvent sous-estimé

Voté aux États-Unis en 2018, le Cloud Act (Clarifying Lawful Overseas Use of Data Act) autorise les autorités américaines à exiger l’accès aux données détenues par une entreprise américaine y compris lorsque ces données sont hébergées en Europe, et sans que l’entreprise cliente en soit nécessairement informée.

Ce mécanisme entre frontalement en conflit avec le RGPD, un point que la Cour de justice de l’Union européenne (CJUE) a confirmé dans son arrêt Schrems II. Concrètement, pour une entreprise française qui s’appuie sur des briques de sécurité américaines :

• Ses données peuvent être consultées par le gouvernement américain, à son insu
• Cette exposition existe indépendamment du lieu d’hébergement physique des serveurs
• Le contrat de sous-traitance ne suffit généralement pas à neutraliser ce conflit de droit

À cela s’ajoutent deux réglementations européennes récentes qui durcissent encore les exigences : NIS2 et DORA, qui imposent transparence, maîtrise de l’infrastructure de sécurité et localisation contrôlée des données sous peine de sanctions pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial.

Ce que recommande l’ANSSI

Face à ces risques, la position de l’ANSSI (Agence nationale de la sécurité des systèmes d’information) est sans ambiguïté : privilégier des solutions de cybersécurité souveraines, en particulier pour les secteurs les plus sensibles santé, énergie, finance, éducation, services publics.

Le message est simple : pas de dépendance à des prestataires soumis à une législation extraterritoriale, aussi performants soient-ils.

WANUP : la couche réseau et cybersécurité qui reste sous contrôle français

C’est précisément sur ce terrain que des solutions comme WANUP, développée par SAYSE, prennent tout leur sens.

SAYSE est un éditeur et opérateur français qui conçoit lui-même son SD-WAN ainsi que l’ensemble de ses fonctions de cybersécurité : pare-feu, ZTNA, segmentation réseau, supervision continue. Toutes les données transitent et sont hébergées exclusivement en France, sur des infrastructures maîtrisées et certifiées. Aucun composant de la solution n’est soumis au Cloud Act ni à une législation étrangère équivalente.

Fonctionnalités de WANUP

L’architecture repose par ailleurs sur des briques open source auditables, sans dépendance critique à une technologie propriétaire étrangère : le code est vérifiable, il n’y a ni boîte noire, ni porte dérobée cachée possible, ni risque de vendor lock-in.

Cette approche n’est en rien anti-cloud. Elle complète parfaitement l’usage d’AWS, Azure ou Google Cloud pour l’hébergement applicatif tout en garantissant que la couche de protection réseau, elle, reste sous contrôle français et européen.

En résumé

• Le cloud public reste un excellent choix pour l’hébergement applicatif
• Mais la cybersécurité réseau (flux, logs, comportements, clés de chiffrement) ne doit pas dépendre d’un acteur soumis au Cloud Act
• Le cadre réglementaire (RGPD, Schrems II, NIS2, DORA) et les recommandations de l’ANSSI vont dans le même sens : maîtriser sa couche de sécurité réseau
• WANUP permet de conserver les bénéfices du cloud public tout en gardant la main sur la protection du réseau, avec une solution 100 % française

Vous voulez évaluer votre niveau d’exposition au Cloud Act ? Demandez une démo WANUP et faites le point avec nos experts.