Avec AWS et Google Cloud, Microsoft Azure est un des leaders du cloud.
La conformité d’un projet cloud ne se déduit pas du nom du fournisseur. Pour les données personnelles traitées en France, le RGPD impose d’examiner les finalités, la base légale, les rôles des parties, le contrat et les mesures de sécurité. Le choix d’une infrastructure ne suffit pas à remplir ces obligations.
Microsoft a publié un document à ce propos, au sujet de Microsoft Azure.
Le document, bien sûr commercial, présente les défis auxquels les entreprises sont confrontées en matière de conformité réglementaire et de gestion des risques, ainsi que les solutions proposées par Microsoft Azure pour aider les entreprises à gérer ces défis.
Il explique comment Azure a intégré des outils de conformité réglementaire dans son infrastructure cloud, ainsi que des services pour aider les entreprises à mettre en œuvre la conformité.
Microsoft tente de fournir aussi via ce document une analyse de la valeur commerciale de l’utilisation d’Azure pour la conformité réglementaire, ainsi que des témoignages d’entreprises qui ont utilisé Azure pour améliorer leur conformité réglementaire et leur gestion des risques.
Ce que présente la documentation commerciale
La brochure met en avant des offres et attestations de conformité ainsi que des outils tels qu’Azure Blueprints, un tableau de bord de conformité réglementaire et Azure Policy. Ces références décrivent le document conservé ci-dessous ; elles ne constituent pas une liste garantie des services disponibles aujourd’hui, ni une validation juridique de votre projet.
Pour chaque service envisagé, demandez le périmètre exact des attestations et les conditions de fonctionnement. Vérifiez les versions, les fonctionnalités réellement activées, les options contractuelles et le partage des tâches avec votre prestataire. Une certification portant sur un composant ou un centre de données ne couvre pas automatiquement votre application.
Des tableaux de bord à confronter au traitement réel
Un tableau de conformité peut aider à suivre certains contrôles techniques ; un outil de politique peut détecter ou empêcher des configurations non conformes à vos règles. Cela ne démontre pas que les données collectées sont nécessaires, que leur conservation est justifiée ou que l’information des personnes est complète.
La CNIL rappelle que le client conserve un rôle dans la sécurité du cloud. Définissez les habilitations, surveillez les configurations, prévoyez sauvegardes et restauration, et attribuez les responsabilités dans le contrat. Le chiffrement doit être examiné avec la gestion des clés : un chiffrement côté serveur ne garantit pas à lui seul que le fournisseur ne puisse lire les données.
Le document commercial original est conservé ci-dessous à titre documentaire. Un audit indépendant peut aider à examiner les garanties et les lacunes, mais ni une brochure ni un accompagnement ne garantissent à eux seuls la conformité de tous les traitements.
Vérifier les responsabilités, les accès et les transferts
Identifiez qui décide des finalités et moyens de chaque traitement. Le fournisseur n’a pas nécessairement le même rôle pour les données confiées par son client et pour ses propres usages. Encadrez les instructions, la sous-traitance ultérieure, l’assistance, la restitution et l’effacement, ainsi que les possibilités d’audit. Localisez les données et analysez aussi les accès distants et transferts éventuels hors de l’Union européenne ; une région d’hébergement ne règle pas toutes ces questions.
Comprendre la portée de SecNumCloud
L’ANSSI qualifie une offre précise. Une technologie, un fournisseur ou une offre en cours d’évaluation ne permet pas de revendiquer automatiquement cette qualification. De même, une application hébergée sur une offre qualifiée n’hérite pas automatiquement du visa. Vérifiez l’offre exacte et son statut ; même une qualification obtenue ne remplace pas l’analyse de risques métier et juridique.
Références françaises
- CNIL : sécurité du cloud
- CNIL : rôles des acteurs du cloud
- CNIL : chiffrement et contrôle des clés
- ANSSI : portée de SecNumCloud