Souveraineté des données : la condition cachée de la traçabilité

On parle beaucoup de souveraineté numérique car il est inacceptable que des juridictions étrangères puissent accéder à nos données via le Cloud ACT ou le FISA. Toutefois la souveraineté ne se joue pas seulement sur la législation qui vous protège ou la localisation de vos données, elle repose aussi et d’abord sur une condition basique : savoir qui accède à vos données, quand et pourquoi, même lorsque votre infrastructure est externalisée.

Peu importe l’endroit où un fournisseur américain stocke les données de ses clients, il peut être légalement contraint de les transmettre aux autorités. Sans en avertir les organisations concernées.

Pourquoi un opérateur américain ne peut garantir votre souveraineté de stockage cloud ?

Conscientes de ces risques, l’Union européenne et la France ont instauré un cadre juridique solide avec le RGPD et ses instruments (DPA, DPIA). Ce socle protège les données personnelles, mais il ne suffit pas à garantir la souveraineté numérique.

Celle-ci dépend avant tout de deux facteurs essentiels :

Mais, ce socle juridique doit être complété par 
un second pilier, opérationnel et technique.

Lorsqu’une organisation externalise ses données, elle délègue leur gestion à un fournisseur.

Si ce fournisseur n’est pas certifié, elle prend le risque de perdre sa capacité à démontrer et contrôler pleinement l’usage de ses données.

En effet, rien n’oblige un fournisseur non certifié à imposer une traçabilité complète des accès aux données, ni à fournir des preuves auditables. Il peut choisir de le faire, mais sans cadre normatif, la qualité et l’opposabilité de ces preuves ne sont pas garanties.

En cas d’incident ou de litige, si le fournisseur n’est pas certifié, l’organisation peut ne pas disposer de preuves fiables et opposables pour démontrer ou contester ce qui a été fait, par qui et sur quel périmètre.

Résultat : sans traçabilité, l’organisation perd la maîtrise de ses données.
Sa souveraineté se retrouve fragilisée et dépendante de la bonne volonté du fournisseur.

Parce que ce cadre, nous impose la traçabilité complète des accès aux données, le contrôle nominatif des interventions et la production de preuves vérifiables et opposables en cas d’audit ou de litige. Cette certification restitue ainsi à nos clients la maîtrise opérationnelle de leurs données.

HDS n’est pas « réservé » à la santé pour ses bénéfices opérationnels : ses exigences de traçabilité en font une référence robuste pour toute externalisation critique de vos données quelque soit votre secteur d’activité.

Voici les principaux attributs d’ISO 27 001 & HDS en termes de traçabilité et de souveraineté.

En cas d’audit, de litige ou d’incident, vous pouvez exiger la mise à disposition de tous ces éléments (journaux, rapports, preuves de localisation, etc.) dans la limite de votre offre de service. La souveraineté ne se décrète pas, elle se prouve.