La souveraineté des données dans la sécurité du cloud hybride

La souveraineté des données dans le cadre de la sécurité du cloud hybride consiste à garantir que les données sensibles, y compris les copies et les métadonnées générées par les contrôles de sécurité, ne soient traitées, stockées et consultées que selon des modalités acceptées par l’organisation propriétaire et ses autorités de régulation. Dans un environnement hybride, cela implique de déterminer de manière réfléchie quelles fonctions de sécurité doivent être exécutées localement et lesquelles peuvent l’être dans le cloud d’un fournisseur.

Cet article fait partie du guide consacré à la sécurité du cloud hybride. Il s'agit d'informations générales et non de conseils juridiques. Veuillez vérifier les exigences auprès de vos équipes juridiques et de conformité.

Résidence des données, souveraineté des données et localisation des données

La « résidence des données » désigne le lieu où les données sont stockées ; la « localisation des données » est une obligation légale visant à les conserver sur le territoire national ; quant à la « souveraineté des données », elle concerne les lois qui les régissent et les personnes autorisées à y accéder.

La localisation dans la région est une condition nécessaire, mais non suffisante. Les données stockées dans la région peuvent toujours être consultées par le personnel du prestataire situé ailleurs, faire l'objet d'une obligation en vertu d'une législation étrangère, ou être copiées dans des journaux et des systèmes d'appui situés dans d'autres pays.

Pourquoi les outils de sécurité compromettent la souveraineté

Les outils de sécurité constituent un risque pour la souveraineté, car ils traitent les données les plus sensibles d'une organisation, souvent sous forme déchiffrée, et les copient dans des journaux et des éléments de preuve.

Les principaux points d'exposition sont les suivants :

• Inspection. Une passerelle de sécurité ( secure web gateway ) déchiffre le trafic TLS afin de l'analyser. À ce moment-là, les identifiants, les données personnelles et les documents confidentiels se trouvent en clair partout où la passerelle est en service.
• Copies à des fins de preuve. Les moteurs DLP peuvent stocker des copies ou des extraits du contenu ayant déclenché l'application d'une règle, afin que les enquêteurs puissent les examiner.
• Journaux et télémétrie. Les URL, les noms de fichiers, les identités des utilisateurs et les informations relatives aux appareils sont transmis vers des plateformes de journalisation et d'analyse, souvent situées dans la région centrale d'un fournisseur.
• Analyse des menaces. Les fichiers suspects peuvent être envoyés vers des sandbox dans le cloud afin d'y être analysés.
• Accès à l'assistance. Les ingénieurs du fournisseur peuvent être amenés à consulter les données des locataires dans le cadre du dépannage.

Une architecture de sécurité exclusivement basée sur le cloud permet donc de transférer des données au-delà des frontières, même lorsque les applications et les systèmes de stockage propres à l'entreprise ne le font jamais.

Les quatre questions relatives à la souveraineté qui se posent pour toute architecture de sécurité

Quatre questions permettent de définir la politique de souveraineté de toute architecture de sécurité : où s'effectuent les contrôles, quelles données quittent l'environnement, où sont stockés les journaux d'activité et qui peut accéder aux données sensibles.

1. Où a lieu l'inspection ?

Identifiez tous les points où le trafic est déchiffré : équipements locaux, points de présence dans le cloud, contrôles au niveau du navigateur et agents sur les terminaux. L’inspection locale permet de maintenir la partie d’un flux réglementé, dont l’application est assurée localement, au sein de l’infrastructure propre à l’organisation. Évaluez séparément tout transfert vers des services cloud ainsi que l’emplacement des preuves relatives aux incidents. Les recommandations de la NSA concernant l’inspection TLS préconisent de n’effectuer l’inspection qu’une seule fois, au sein du réseau d’entreprise, afin de limiter les endroits où le texte en clair est présent.

2. Qu'est-ce qui quitte l'environnement ?

Énumérez les éléments que la pile de sécurité transmet en dehors de votre infrastructure : des charges utiles complètes, des échantillons de fichiers destinés au sandboxing, des preuves d'incidents DLP, des métadonnées, ou uniquement des mises à jour de politiques. Chacun de ces éléments peut être géré différemment.

3. Où se trouvent les fichiers journaux ?

Les journaux sont des données. Les journaux d'accès associent des identités à des activités, et les journaux DLP peuvent contenir le contenu sensible lui-même. Déterminez quels journaux peuvent sortir de quelle juridiction, et si les journaux peuvent être stockés localement puis transmis de manière sélective à un SIEM central.

4. Qui peut accéder aux données sensibles ?

Identifiez les personnes habilitées à consulter le contenu déchiffré ou les preuves relatives à un incident : vos administrateurs, votre prestataire de services gérés, le personnel d’assistance du fournisseur de solutions de sécurité ou le fournisseur de services cloud. Examinez ensuite quels régimes juridiques pourraient contraindre l’un d’entre eux à divulguer ces informations. La loi américaine CLOUD Act, par exemple, précise que les autorités américaines peuvent exiger des fournisseurs basés aux États-Unis qu’ils communiquent les données en leur possession ou sous leur contrôle, quel que soit leur lieu de stockage.

Facteurs réglementaires et liés aux marchés publics

Les règles de transfert prévues par le RGPD, le cadre européen de souveraineté du cloud, la directive DORA et les réglementations sectorielles font de la souveraineté non plus une simple préférence, mais une exigence.

Règles relatives aux transferts prévues par leRGPD. En vertu du chapitre V du RGPD, les transferts de données à caractère personnel en dehors de l’Espace économique européen nécessitent une décision d’adéquation, des garanties appropriées telles que des clauses contractuelles types, ou une dérogation spécifique. Les données de télémétrie de sécurité contenant des données à caractère personnel sont soumises aux mêmes règles.

Cadre de souveraineté du cloud de l’UE. Le cadre de souveraineté du cloud de la Commission européenne, présenté pour la première fois en octobre 2025, évalue les fournisseurs de services cloud selon huit critères : stratégie, aspects juridiques et juridictionnels, données et intelligence artificielle, opérations, chaîne d’approvisionnement, technologie, sécurité et conformité, ainsi que durabilité environnementale. Les fournisseurs se voient attribuer un « niveau d’assurance de l’efficacité en matière de souveraineté » (SEAL) compris entre 0 et 4. En avril 2026, la Commission a attribué un contrat de cloud souverain d’une valeur pouvant atteindre 180 millions d’euros à quatre fournisseurs, exigeant au minimum le niveau SEAL-2, correspondant à la souveraineté des données. Ce cadre a été élaboré à l’intention des institutions de l’UE, mais il fournit à tout acheteur un vocabulaire pratique pour définir les exigences en matière de souveraineté.

La loi DORA pour les entités financières. La loi sur la résilience opérationnelle numérique (Digital Operational Resilience Act) est en vigueur depuis le 17 janvier 2025. Elle impose aux entités financières concernées de gérer les risques liés aux tiers dans le domaine des technologies de l’information et de la communication (TIC), de tenir un registre des contrats de services TIC et de prévoir des mesures pour faire face aux risques de sortie et de concentration. Les services de sécurité qui traitent le trafic d’une banque sont considérés comme des services TIC au sens de ce régime.

Réglementations sectorielles et nationales. Les organismes des secteurs de la santé, de la défense, du secteur public et des infrastructures critiques sont souvent soumis à des exigences supplémentaires en matière de localisation ou d'accréditation.

Architecture cloud hybride pour le secteur bancaire

En règle générale, les banques conservent les clés de déchiffrement et les journaux sur leur propre infrastructure, tout en recourant à des services cloud soumis à des restrictions géographiques pour leur personnel à distance et les solutions SaaS.

Les banques illustrent clairement le problème de souveraineté. Elles ont besoin de solutions SaaS dans le cloud et du télétravail, mais elles détiennent également les données financières de leurs clients, soumises à des exigences prudentielles strictes. Un modèle hybride typique :

• Veillez à ce que les flux entre les agences et le siège social restent soumis au contrôle de la banque lorsque le traitement doit être effectué localement, et évaluez séparément les services fournis dans le cloud ainsi que le stockage des preuves.
• Utilisez des points de présence dans le cloud limités aux régions autorisées pour le personnel travaillant à distance.
• Conservez les registres d'inspection des magasins et les éléments de preuve relatifs à la prévention des pertes de données (DLP) dans le pays, en ne transmettant que ce dont le SOC a besoin.
• Utilisez des clés gérées par le client et des modules de sécurité matériels pour l'autorité de certification de contrôle.
• Veillez à n'appliquer qu'un seul ensemble de règles afin que l'application des politiques, tant sur site que dans le cloud, reste cohérente aux yeux des auditeurs.
• Enregistrez le fournisseur de solutions de sécurité dans le registre DORA, en précisant notamment son plan de sortie.

Le même principe s'applique aux assureurs, aux établissements de paiement et aux entreprises d'investissement.

Modèles architecturaux favorisant la souveraineté

Sept modèles architecturaux permettent de répondre à la plupart des exigences en matière de souveraineté sans pour autant renoncer aux services cloud.

Liste de contrôle relative à la souveraineté à l'intention des fournisseurs de solutions de sécurité

Utilisez cette liste de contrôle pour vérifier les affirmations de souveraineté de tout fournisseur de solutions de sécurité avant de l'inscrire sur votre liste restreinte.

• Toutes les inspections relatives à une classe de trafic donnée peuvent-elles être effectuées sur notre infrastructure ?
• Quels éléments de données sont transmis par défaut depuis notre environnement, et peuvent-ils être désactivés individuellement ?
• Dans quels pays les journaux, les données probantes et les données de télémétrie sont-ils stockés ?
• Quels membres du personnel du prestataire peuvent accéder aux données des locataires, depuis quel endroit et selon quelle procédure d'autorisation ?
• Quelles sont les législations applicables au prestataire et à ses sous-traitants ?
• Pouvons-nous utiliser notre propre HSM ou notre propre système de gestion des clés ?
• Qu'est-ce qui continue de fonctionner si le cloud du fournisseur est inaccessible ?
• Quelles sont les certifications concernées (par exemple FedRAMP, IRAP, BSI C5, SOC 2 Type II, CSA STAR) ?

Comment Skyhigh contribue à la souveraineté des données

Skyhigh soutient la souveraineté des données en conservant l'inspection Web et les clés d'inspection sur l'infrastructure du client lorsque cela est nécessaire. Les preuves relatives aux incidents de protection des données sont conservées dans le cloud Skyhigh, ce qui constitue une question distincte à laquelle il convient de répondre au regard de vos exigences en matière de souveraineté.

Skyhigh Hybrid SSE Mesh maintient le plan de données physiquement sur site lorsque la conformité l’exige. Le déchiffrement SSL/TLS et l’inspection Web s’effectuent localement sur la passerelle Secure Service Gateway ; ainsi, les charges utiles Web sont déchiffrées au sein de votre propre infrastructure. Les services fournis via le cloud Skyhigh, notamment la protection des données, l’ remote browser isolation, les contrôles de sécurité basés sur l’IA, le CASB et la gestion de la posture de sécurité des données, reçoivent le trafic pertinent depuis la passerelle ; vous pouvez donc évaluer ces flux au regard de vos exigences en matière de résidence et de souveraineté. Le ZTNA local s’exécute sur les passerelles propres à l’organisation. Vérifiez la protection des clés d’inspection, toute intégration HSM et la prise en charge du sandboxing sur site pour les produits et versions sélectionnés. Une adresse IP de sortie dédiée et l’ancrage de l’adresse IP source permettent de contrôler la sortie du trafic inspecté dans le cloud, mais ne suffisent pas à eux seuls à déterminer où le contenu est traité (Skyhigh Security). Le registre cloud de la plateforme évalue également les services cloud en fonction de la résidence des données, des conditions juridiques et d’autres attributs, ce qui permet à la politique d’orienter les utilisateurs vers des services conformes.

Sources

1. Union européenne. Règlement (UE) 2016/679 (Règlement général sur la protection des données), chapitre V. https://eur-lex.europa.eu/eli/reg/2016/679/oj
2. Union européenne. Règlement (UE) n° 2022/2554 (loi sur la résilience opérationnelle numérique). https://eur-lex.europa.eu/eli/reg/2022/2554/oj
3. Commission européenne. « Le cadre relatif au « cloud souverain » expliqué » (1er juin 2026). https://commission.europa.eu/news-and-media/news/sovereign-cloud-framework-explained-2026-06-01_en
4. Commission européenne. « La Commission renforce la souveraineté dans le cloud grâce à des marchés publics stratégiques » (17 avril 2026). https://commission.europa.eu/news-and-media/news/commission-advances-cloud-sovereignty-through-strategic-procurement-2026-04-17_en
5. Ministère américain de la Justice. Ressources relatives au CLOUD Act. https://www.justice.gov/criminal/cloud-act-resources
6. NSA. Gestion des risques liés à l'inspection du protocole SSL (novembre 2019). https://media.defense.gov/2019/Nov/18/2002212783/-1/-1/0/MANAGING%20RISK%20FROM%20TLS%20INSPECTION_20191106.PDF
7. Skyhigh Security. « Moderniser votre infrastructure Symantec Edge Secure Web Gateway , grâce à Skyhigh Hybrid SSE Mesh » (15 juillet 2026). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
8. Skyhigh Security. « L'adoption de l'hybride est désormais plus simple grâce à la plateforme Skyhigh SSE » (3 octobre 2024). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html