Module 7 · 7.2
Français
Évaluer les fournisseurs et les services cloud
Module 7: Accès, fournisseurs et cloud · Temps de lecture : 11 minutes
Objectif pédagogique : après cette leçon, vous saurez évaluer un fournisseur ou un service cloud sur la sécurité, la vie privée et la réversibilité, expliquer ce qu'un contrat de sous-traitance doit régler selon le RGPD, et tenir un inventaire des fournisseurs.
Notions clés : responsabilité partagée, sous-traitant, contrat de sous-traitance, sous-traitant ultérieur, localisation des données, certification (par exemple ISO 27001), stratégie de réversibilité, inventaire des fournisseurs
Votre sécurité vaut ce que valent vos fournisseurs
Une petite entreprise possède rarement ses propres serveurs. La messagerie fonctionne chez un prestataire, la comptabilité dans un logiciel en ligne, la boutique en ligne sur une plateforme, les ordinateurs portables sont gérés par une société informatique, et la gestion de la paie passe par un cabinet comptable. C'est judicieux : ces acteurs peuvent souvent organiser la sécurité mieux que vous ne le pourriez vous même. Mais cela signifie aussi qu'une grande partie de votre sécurité est entre les mains d'autres personnes.
Faites l'exercice pour vous même. Placez votre entreprise au centre et tracez une ligne vers chaque acteur qui conserve des données vous concernant ou qui a accès à vos systèmes. Posez vous deux questions pour chaque ligne :
- Que se passe-t-il si cet acteur disparaît ? Une panne, une faillite, une hausse de prix qui vous pousse à partir.
- Que se passe-t-il si cet acteur subit une fuite de données ? Un piratage chez le fournisseur, un employé qui a accès à trop d'informations, un compte de la société informatique qui est détourné.
Responsabilité partagée
Dans la leçon 6.1, vous avez déjà vu le modèle de responsabilité partagée : le fournisseur d'un service cloud assure le datacenter, les serveurs et le fonctionnement du logiciel ; vous restez responsable de vos données, de vos comptes et de vos paramètres. Microsoft indique littéralement dans sa documentation que cela reste vrai pour chaque type de service cloud, même pour un logiciel prêt à l'emploi.
Ce que cela signifie en pratique :
| Ce que le fournisseur assure généralement | Ce que vous gérez toujours vous même |
|---|---|
| Sécurité physique du datacenter | Qui dispose d'un compte et avec quels droits (leçon 7.1) |
| Mises à jour des serveurs et du logiciel | Activer et utiliser l'authentification à deux facteurs |
| Disponibilité selon les accords conclus | Ce que vous partagez et avec qui (leçon 7.3) |
| Sauvegardes en cas d'incident majeur (si cela a été convenu) | Votre propre sauvegarde ou export de ce que vous ne pouvez absolument pas perdre (module 6) |
Une erreur fréquente consiste à supposer que le fournisseur gère quelque chose que vous ne lui avez jamais demandé. Posez donc la question.
Sous-traitant et contrat de sous-traitance
Dès qu'un fournisseur traite des données à caractère personnel pour vous, les règles du RGPD s'appliquent. Pensez aux données clients dans votre boutique en ligne, aux e-mails contenant des noms et des adresses, aux données de paie, ou à un espace de stockage cloud avec des CV de candidats.
- Vous êtes le responsable du traitement : vous déterminez pourquoi et comment les données sont utilisées.
- Le fournisseur est un sous-traitant : il traite les données pour votre compte, pour vos finalités.
L'article 28 du RGPD indique que vous ne pouvez recourir qu'à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Les accords sont fixés dans un contrat de sous-traitance, par écrit (la forme électronique est admise). Selon l'article 28, paragraphe 3, ce contrat doit en tout cas régler l'objet, la durée, la nature et la finalité du traitement, les types de données à caractère personnel et de personnes concernées, et le fait que le sous-traitant :
- ne traite les données que sur vos instructions écrites ;
- veille à ce que ses collaborateurs respectent la confidentialité ;
- applique les mesures de sécurité de l'article 32 ;
- ne recourt à un sous-traitant ultérieur qu'avec votre autorisation, en lui imposant les mêmes obligations ;
- vous aide lorsque des personnes exercent leurs droits relatifs à la vie privée (accès, rectification, suppression) ;
- vous aide pour la sécurité, les violations de données et une éventuelle analyse d'impact (articles 32 à 36) ;
- à la fin, efface ou restitue les données et supprime les copies, selon votre choix ;
- vous fournit les informations nécessaires pour vérifier qu'il respecte les accords, et permet des audits.
Un sous-traitant ultérieur est un acteur que votre sous-traitant fait lui-même intervenir, par exemple le datacenter de votre hébergeur ou le service de messagerie de votre logiciel de comptabilité. Le RGPD indique que le sous-traitant reste entièrement responsable envers vous si un sous-traitant ultérieur ne respecte pas ses obligations. Demandez la liste des sous-traitants ultérieurs.
La CNIL recommande de rendre les accords concrets, plutôt que de simplement reprendre le texte de la loi, et de préciser à quelle vitesse et avec quelles informations le fournisseur vous informe en cas de violation de données. Ce dernier point est important : dans la leçon 8.2, vous verrez que vous devez notifier dans un délai de 72 heures, et ce délai ne commence à courir qu'à partir du moment où vous en avez connaissance.
Beaucoup de fournisseurs disposent d'un contrat de sous-traitance standard. Lisez le, et vérifiez s'il doit réellement être signé ou accepté : chez certains fournisseurs, il n'est pas automatiquement en vigueur.
Cette leçon donne une explication générale et ne constitue pas un conseil juridique. Le texte complet figure dans le RGPD sur eur-lex.europa.eu.
Questions à poser à un fournisseur
Une évaluation ne doit pas forcément prendre la forme d'un rapport d'audit de quarante pages. Pour une petite entreprise, une liste de questions fixe fonctionne bien. Les réponses figurent souvent déjà sur le site du fournisseur, dans une page sécurité ou une foire aux questions.
| Thème | Question |
|---|---|
| Localisation | Où se trouvent mes données, y compris les sauvegardes ? Partent-elles vers des pays hors de l'Espace économique européen ? |
| Accès | Puis-je imposer l'authentification à deux facteurs pour tous mes utilisateurs ? Puis-je attribuer des droits propres à chaque utilisateur ? |
| Sauvegarde | Le fournisseur effectue-t-il des sauvegardes, à quelle fréquence, combien de temps sont elles conservées, et puis-je restaurer moi même ? |
| Chiffrement | Les données sont elles chiffrées en transit et sur le disque ? |
| Violation de données | À quelle vitesse et comment le fournisseur m'informe-t-il en cas d'incident ? |
| Sous-traitants ultérieurs | Quels acteurs fait-il intervenir, et comment suis-je informé des changements ? |
| Certification | Existe-t-il un certificat, par exemple ISO 27001, et pour quel périmètre est il valable ? |
| Réversibilité | Puis-je exporter toutes mes données dans un format exploitable ? Que deviennent mes données après résiliation ? |
À propos de la certification : l'ISO/IEC 27001 est une norme internationale qui fixe des exigences pour un système de management de la sécurité de l'information. L'ISO ne délivre pas elle même de certificats ; c'est un organisme de certification indépendant qui s'en charge. Un certificat montre qu'une organisation gère sa sécurité de manière méthodique, mais il ne garantit pas qu'il ne se passera jamais rien. Regardez surtout le périmètre d'application indiqué sur le certificat : couvre-t-il le service que vous utilisez, ou seulement un bureau ou un service en particulier ?
Réversibilité : pouvoir partir, c'est aussi de la sécurité
Une stratégie de réversibilité est votre plan pour quitter un fournisseur, de manière forcée ou volontaire. Cela ressemble à quelque chose à prévoir plus tard, mais cela doit se décider dès le choix du fournisseur : si vous découvrez seulement au moment d'une faillite que vous ne pouvez pas exporter votre fichier clients, il est trop tard.
Vérifiez donc à l'avance :
- si vous pouvez exporter toutes les données, et dans quel format (un format ouvert comme CSV, un format de messagerie standard ou des fichiers classiques valent mieux qu'un format propriétaire) ;
- combien de temps vos données restent disponibles après résiliation ;
- si votre nom de domaine est à votre propre nom et si vous pouvez modifier vous même les serveurs de noms (leçon 4.3) ;
- si vous conservez vous même un export récent, dans le cadre de votre sauvegarde (leçon 6.1).
L'inventaire des fournisseurs
Consignez tout dans un inventaire des fournisseurs : un seul tableau indiquant, pour chaque fournisseur, le service concerné, quelles données y sont conservées, s'il s'agit de données à caractère personnel, s'il existe un contrat de sous-traitance, qui est le responsable chez vous, les principales réponses à la liste de questions, et la possibilité de réversibilité. Relisez le une fois par an, et à chaque nouveau service.
Si l'un de vos clients est concerné par la transposition française de NIS 2 (leçon 9.1), vous pouvez vous attendre à ce que ce client, en tant que fournisseur, vous pose ce type de questions. Avec votre propre inventaire, vous avez les réponses toutes prêtes.
En pratique : à quoi cela ressemble
Beaucoup de fournisseurs placent les réponses à ces questions dans une page sécurité. Dans l'environnement d'exemple WebOké, le guide Nextcloud décrit par exemple ce que le fournisseur gère et ce que l'utilisateur fait lui même : où se trouvent les données, le chiffrement en transit et sur les disques, l'authentification à deux facteurs obligatoire, les mises à jour et les sauvegardes, et le fait que pour un usage professionnel avec des données à caractère personnel, vous concluez un contrat de sous-traitance. Cette répartition (ce que gère le fournisseur, ce que je fais moi même) est exactement ce qu'il faut rechercher chez chaque fournisseur. Chez d'autres fournisseurs, cela figure souvent dans un trust center, une page sécurité ou les conditions générales ; si ce n'est pas le cas, posez la question.
Résumé
- Schématisez vos fournisseurs et posez pour chaque lien : que se passe-t-il si cet acteur disparaît, que se passe-t-il s'il subit une fuite de données ?
- Responsabilité partagée : le fournisseur gère l'infrastructure, vous gérez vos données, vos comptes et vos paramètres.
- Si un fournisseur traite des données à caractère personnel pour vous, il est sous-traitant et vous concluez un contrat de sous-traitance conforme à l'article 28 du RGPD.
- Utilisez une liste de questions fixe : localisation, accès, sauvegarde, chiffrement, violation de données, sous-traitants ultérieurs, certification, réversibilité.
- Un certificat dit quelque chose, mais vérifiez son périmètre d'application ; organisez votre réversibilité avant d'en avoir besoin.
Quiz
Exercice
Exercice D7.2 : Votre inventaire des fournisseurs. Constituez un tableau de vos cinq fournisseurs et services cloud les plus importants. Indiquez pour chaque fournisseur quelles données y sont conservées, s'il s'agit de données à caractère personnel, s'il existe un contrat de sous-traitance, et recherchez les réponses à la liste de questions de cette leçon (localisation, authentification à deux facteurs, sauvegarde, violation de données, sous-traitants ultérieurs, certification, réversibilité). Essayez de réaliser un véritable export pour au moins un service.
Exercice D7.2: Votre inventaire des fournisseurs
Voici comment procéder : (1) Représentez votre entreprise au centre avec des lignes vers chaque partie qui conserve vos données ou a accès à vos systèmes. (2) Choisissez les cinq plus importantes et créez un tableau avec : le service, quelles données, données personnelles (oui/non), contrat de sous-traitance (oui/non/non nécessaire), responsable chez vous, et les réponses au questionnaire de la leçon 7.2 : lieu de stockage des données et des sauvegardes, possibilité d'imposer l'authentification à deux facteurs, sauvegarde et restauration autonome, chiffrement, délai en cas de violation de données, sous-traitants ultérieurs, certification avec son périmètre, export et ce qui se passe après résiliation. (3) Cherchez d'abord les réponses dans la documentation, la page sécurité ou les conditions du fournisseur. Notez la source. Si ce n'est pas indiqué, posez la question au fournisseur et notez la réponse. (4) Vérifiez pour chaque fournisseur qui traite des données personnelles pour vous s'il existe un contrat de sous-traitance, et s'il doit être accepté ou signé. (5) Faites réellement un export de vos données pour au moins un service et vérifiez que vous pouvez l'ouvrir. (6) Rédigez pour le service le plus important, en trois phrases, votre plan de sortie : où allez-vous, comment récupérez-vous vos données, combien de temps cela prendra-t-il.
Vos cases cochées et vos notes restent uniquement dans ce navigateur ; nous ne les envoyons nulle part. Si vous êtes connecté, nous enregistrons dans Mes formations uniquement le fait que vous avez terminé l'exercice.
Pour aller plus loin
Les étapes des articles WebOké valent pour l'environnement de WebOké ; chez d'autres fournisseurs, cela fonctionne de manière comparable ou différente.
- Guide Nextcloud 3.1: Comment WebOké sécurise-t-il votre Nextcloud ?
- Guide Nextcloud 15.13: Questions fréquentes sur la sécurité et la confidentialité
- RGPD (règlement (UE) 2016/679), article 28 : https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (en anglais) : https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility