Un contrat cloud ne protège pas les données à lui seul : il doit traduire les garanties de sécurité en tâches concrètes, vérifiables et attribuées. Pour le client comme pour le sous-traitant, cette précision conditionne la confidentialité, la conformité réglementaire et la gestion des risques.
Une entreprise qui choisit un service en ligne doit donc examiner l’offre réellement utilisée, les accès accordés et les preuves disponibles. Le contrat de sous-traitance fixe le cadre juridique, tandis que les équipes vérifient son application au quotidien.
À retenir : sécurité du cloud et contrat de sous-traitance
- Responsabilités définies selon les opérations réellement confiées
- Contrôles d’accès et preuves adaptés à l’offre cloud souscrite
- Flux de données, clés et prestataires ultérieurs examinés séparément
- Procédures d’incident et de sortie préparées avant leur nécessité
Responsabilité du sous-traitant : partir du service cloud réel
La répartition des tâches dépend d’abord du service acheté, et non de son seul nom commercial. Un client utilisant une infrastructure cloud gère généralement davantage de composants qu’un utilisateur d’une application SaaS, mais les responsabilités précises varient selon l’offre.
Selon le RGPD, le responsable de traitement et son sous-traitant doivent respecter leurs obligations respectives. Les articles 28 et 32 encadrent notamment le contrat et la sécurité du traitement ; une répartition technique ne suffit donc pas à déterminer seule la responsabilité juridique.
Décrire les opérations et les données concernées
Pour appliquer cette répartition, l’organisation commence par distinguer les traitements effectués pour son compte des traitements poursuivant les finalités propres du fournisseur. Les données de compte, journaux techniques, contenus confiés et informations de télémétrie méritent chacun un examen.
Une clause générale qualifiant le fournisseur de sous-traitant ne règle pas automatiquement les usages distincts. Selon la CNIL, la qualification doit tenir compte des faits et des décisions prises par les parties, plutôt que des seules étiquettes contractuelles.
La grille suivante aide à relier les couches techniques aux questions à documenter. Elle ne remplace pas l’examen du contrat ni celui de la configuration choisie.
| Service | Éléments généralement gérés par le client | Point à vérifier au contrat |
|---|---|---|
| IaaS | Systèmes, applications et accès configurés | Limites entre infrastructure et composants administrés |
| PaaS | Applications, données et paramètres accessibles | Responsabilités liées à la plateforme et à l’exploitation |
| SaaS | Utilisateurs, contenus et réglages disponibles | Fonctions réellement incluses dans l’abonnement |
| Tout modèle | Choix des usages et des données confiées | Instructions, assistance et preuves opposables |
Une matrice précise permet ensuite d’identifier les contrôles qui doivent être documentés, testés et suivis.
Transformer les clauses en tâches vérifiables
Une clause de sécurité devient utile lorsqu’elle désigne une opération, un responsable et une preuve attendue. Par exemple, le client peut définir les droits nécessaires, un intégrateur les configurer et le fournisseur rendre disponibles les journaux associés.
Dans le cas fictif d’Orchidée, une application partage des dossiers d’intervention. L’entreprise ne présume pas que la sauvegarde annoncée couvrira les droits de partage ou l’historique : elle demande ce qui est restauré et teste un export autorisé sur des données fictives.
Les formulations précises facilitent aussi les échanges avec le fournisseur. Demander qui rétablit les accès après une restauration apporte une réponse plus exploitable qu’une question générale sur la conformité.
Les contrôles gagnent en valeur lorsqu’ils sont rattachés à des pièces contractuelles et à des preuves consultables :
- Annexe de sécurité correspondant à l’offre réellement souscrite
- Règles de contrôle d’accès et processus de revue périodique
- Journaux disponibles, durée de conservation et droits de consultation
- Responsable désigné pour vérifier les paramètres et leurs résultats
Garanties de sécurité cloud : accès, chiffrement et localisation
Une fois les responsabilités réparties, l’examen porte sur les protections réellement activables et leurs limites. La confidentialité dépend notamment des droits attribués, des accès d’administration et de la maîtrise des clés de chiffrement.
Selon la CNIL, le chiffrement côté serveur ne prouve pas, à lui seul, que le fournisseur ne peut jamais accéder aux données. Il faut examiner la gestion des clés, les accès en clair et les interventions possibles du support.
Examiner les accès, les clés et les flux
Le terme « BYOK » ne décrit pas entièrement une architecture : il faut déterminer qui conserve les clés, qui peut les utiliser et dans quelles circonstances. De même, une région d’hébergement européenne ne suffit pas à exclure des accès ou transferts vers d’autres pays.
Selon le RGPD, les transferts vers des pays tiers relèvent des articles 44 et suivants. Le contrat et l’analyse des flux doivent donc considérer les destinataires, les accès d’assistance et les garanties applicables au transfert concerné.
Les vérifications suivantes permettent de distinguer une promesse commerciale d’un contrôle effectivement démontré :
- Identité des comptes privilégiés et justification des accès temporaires
- Localisation des données, des copies et des opérations de support
- Gestion des clés, possibilités d’accès en clair et responsabilités associées
- Sources de journaux, disponibilité et modalités de conservation
La qualification SecNumCloud concerne un service et un périmètre définis. Selon l’ANSSI, elle ne préjuge pas de la sécurité de l’application déployée par le client ; celui-ci doit aussi examiner son code, ses réglages et ses utilisateurs.
Comparer les garanties sans confondre les preuves
Le tableau distingue plusieurs garanties fréquemment évoquées dans les contrats cloud. Leur portée dépend des documents applicables et de la configuration retenue par le client.
| Garantie annoncée | Question à poser | Preuve utile |
|---|---|---|
| Chiffrement | Qui contrôle les clés et les accès en clair ? | Description des mécanismes et des rôles |
| Hébergement régional | Quels accès ou transferts restent possibles ? | Cartographie des flux et des destinataires |
| Journalisation | Quels événements sont accessibles au client ? | Exemple de journal et modalités d’accès |
| Qualification de sécurité | Quelle offre et quel périmètre sont couverts ? | Référence précise au service qualifié |
Ces éléments alimentent la gestion des risques, mais ils ne garantissent pas seuls un usage sûr. Une revue des droits et une vérification périodique restent nécessaires.
Contrat de sous-traitance : préparer incidents et réversibilité
Les protections techniques ne prennent tout leur sens que si le contrat organise les incidents et la fin du service. Le RGPD prévoit notamment l’assistance nécessaire, ainsi que le renvoi ou la suppression des données à la fin de la prestation, selon les conditions contractuelles.
Le sous-traitant doit informer le responsable de traitement d’une violation dans les meilleurs délais après en avoir pris connaissance, conformément à l’article 33. La responsabilité contractuelle ne peut donc pas reposer sur une formule vague de responsabilité partagée.
Organiser la réponse aux incidents
Lorsqu’un dossier semble accessible à une personne non prévue, l’équipe conserve les éléments disponibles : ressource concernée, règle de partage, période observée et comptes impliqués. Elle distingue la possibilité technique d’accès de la preuve qu’une consultation a réellement eu lieu.
Le fournisseur doit préciser quelles informations il peut communiquer et par quel canal. De son côté, le responsable de traitement examine les données concernées et les conséquences possibles pour les personnes, sans attendre nécessairement un rapport technique complet.
Pour rendre la procédure opérationnelle, les responsabilités doivent être réparties avant l’incident :
- Canal d’alerte et interlocuteurs joignables pour chaque partie
- Éléments techniques disponibles pour établir les faits
- Étapes de correction, d’analyse et de décision sur les communications
- Modalités d’assistance prévues dans le contrat de sous-traitance
Prévoir la sortie et les changements d’offre
Une migration impose de suivre les données, les clés, les comptes et les copies pendant chaque étape. Le contrat doit préciser le renvoi ou la suppression des informations, tandis qu’un essai d’export permet de vérifier si le résultat répond au besoin réel.
Avant de changer de fournisseur, Orchidée pourrait tester l’export de dossiers fictifs et comparer son contenu à ses critères définis à l’avance. Cet essai ne présume d’aucune fonction particulière : il sert à constater ce qui est récupérable et à repérer les éléments manquants.
Une modification d’offre ou l’arrivée d’un nouvel intégrateur peut aussi déplacer certaines tâches. Il faut alors reprendre les accès administratifs, les journaux, l’assistance et la suppression des copies, puis conserver les réserves avec un responsable et une suite prévue.
Source : CNIL, guide sur la sécurité du cloud ; Règlement général sur la protection des données, articles 28, 32 et 33 ; ANSSI, FAQ SecNumCloud.
