Dossiers médicaux, informations bancaires, données biométriques, secrets industriels ou documents stratégiques : les organisations manipulent aujourd’hui des volumes croissants d’informations dont la divulgation, l’altération ou l’indisponibilité pourrait avoir de lourdes conséquences.
L’hébergement des données sensibles ne doit donc pas être traité comme un simple choix d’infrastructure. Il implique d’évaluer les risques, la réglementation applicable, la localisation réelle des données et les garanties proposées par les prestataires. Cloud public, cloud privé, infrastructure sur site ou environnement hybride : aucune solution n’est adaptée à tous les contextes.
L’objectif est de trouver un équilibre entre sécurité, conformité, maîtrise opérationnelle et continuité d’activité.
Au sens strict du RGPD, les données sensibles constituent des catégories particulières de données personnelles. Elles comprennent notamment les informations révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses, l’appartenance syndicale, ainsi que les données génétiques, biométriques, de santé ou relatives à la vie et à l’orientation sexuelles. Leur traitement est en principe interdit, sauf dans certaines situations précisément encadrées par le règlement.
Dans un contexte de cybersécurité, l’expression peut cependant recouvrir un périmètre plus large :
• données financières ou bancaires ;
• secrets commerciaux et propriété intellectuelle ;
• informations concernant les salariés ou les clients ;
• données d’authentification ;
• documents relevant du secret professionnel ;
• informations classifiées ou critiques pour l’activité.
La première étape consiste donc à classifier les données en fonction de leur nature, de leur usage, de leur criticité et des conséquences possibles d’un incident.
Une infrastructure mal protégée peut exposer l’entreprise à trois grandes catégories de risques.
La première concerne la confidentialité : accès illégitime, fuite de données, vol d’identifiants ou consultation abusive par un administrateur. La deuxième porte sur l’intégrité : modification accidentelle ou frauduleuse d’un dossier, corruption d’une base ou suppression de traces. Enfin, la disponibilité peut être compromise par une panne, une erreur humaine, un rançongiciel ou la défaillance d’un prestataire.
Ces incidents peuvent provoquer une interruption d’activité, une perte de confiance, des contentieux, des coûts de restauration ou une violation de données personnelles. Le risque ne dépend pas uniquement de l’emplacement des serveurs : il concerne aussi les accès à distance, les outils d’administration, les sauvegardes, les sous-traitants et les flux internationaux.
Le RGPD n’impose pas systématiquement d’héberger les données personnelles en France ou dans l’Union européenne. Il exige en revanche que le responsable du traitement mette en œuvre des mesures techniques et organisationnelles adaptées au niveau de risque.
L’article 32 cite notamment la pseudonymisation et le chiffrement, la capacité à garantir la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes, ainsi que la restauration des données et l’évaluation régulière de l’efficacité des mesures de sécurité.
Lorsqu’un hébergeur traite des données personnelles pour le compte de son client, il est généralement considéré comme un sous-traitant. La relation doit être encadrée par un contrat précisant notamment l’objet du traitement, sa durée, les mesures de sécurité, les conditions de recours à d’autres prestataires et le devenir des données à la fin du service. Le recours à un prestataire ne décharge pas l’organisation de sa responsabilité en matière de conformité RGPD.
Une analyse d’impact relative à la protection des données peut également être nécessaire lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Cette obligation dépend de la nature des données, de l’échelle du traitement et du contexte d’utilisation.
Enfin, certains secteurs sont soumis à des exigences complémentaires. L’hébergement de données de santé, les activités financières, les services publics ou les systèmes d’importance vitale peuvent relever de référentiels ou de réglementations spécifiques.
Certification HDS, infrastructures opérées en France, contrôle des accès, supervision et continuité d’activité : découvrez l’approche Tenexa pour sécuriser l’hébergement des données médicales.
Il faut connaître l’emplacement des données principales, des sauvegardes, des journaux techniques et des services d’administration. Une localisation dans l’Union européenne simplifie certains aspects de la conformité, mais elle ne suffit pas à garantir la protection des données.
En cas de transfert hors de l’Espace économique européen, l’organisation doit vérifier l’existence d’un mécanisme conforme au RGPD : décision d’adéquation, clauses contractuelles types ou autre garantie appropriée. Elle doit aussi évaluer les conditions concrètes du transfert et les éventuels accès depuis des pays tiers.
Le prestataire doit pouvoir expliquer comment il protège ses infrastructures : cloisonnement des environnements, gestion des vulnérabilités, journalisation, supervision, protection contre les attaques et procédures de réponse aux incidents.
Le chiffrement doit être étudié pour les données stockées comme pour les données en transit. La gestion des clés est déterminante : leur stockage, leur rotation et les personnes autorisées à les utiliser doivent être clairement définis.
Les accès d’administration doivent être nominatifs, limités selon le principe du moindre privilège et protégés par une authentification multifacteur. Les actions sensibles doivent être tracées et régulièrement contrôlées.
Une sauvegarde située dans le même environnement que les données de production peut être affectée par le même incident. La CNIL recommande notamment de conserver une sauvegarde sur un site géographiquement distinct et d’isoler au moins une copie hors ligne. Les procédures de restauration doivent également être testées, et pas seulement documentées.
Isolation des copies, protection contre les ransomwares et tests de restauration : retrouvez dix bonnes pratiques pour sécuriser durablement les données de votre entreprise.
L’entreprise doit pouvoir récupérer ses données dans un format exploitable en cas de changement de fournisseur ou de fin de contrat. Le contrat doit préciser les délais d’exportation, les coûts, l’assistance fournie et les modalités d’effacement des copies restantes.
Sans dispositif de réversibilité, une organisation risque de devenir techniquement ou financièrement dépendante de son prestataire.
Le cloud public apporte de la flexibilité, une capacité d’évolution rapide et un large catalogue de services. Il peut héberger des données sensibles à condition que sa configuration, son cadre contractuel et les risques liés aux transferts internationaux soient correctement maîtrisés. La CNIL recommande notamment de ne pas choisir un service sans garantie sur la localisation effective des données ou sur les conditions d’accès du fournisseur.
Le cloud privé offre davantage de contrôle et de personnalisation. Il peut être exploité par l’entreprise ou par un prestataire dédié. Il ne garantit toutefois pas automatiquement un meilleur niveau de sécurité : celui-ci dépend des moyens humains, des procédures et de la qualité de l’exploitation.
Le cloud souverain vise à renforcer la maîtrise juridique, opérationnelle et territoriale des données. Pour certains systèmes particulièrement sensibles, une offre qualifiée SecNumCloud peut apporter des garanties évaluées par l’ANSSI. Cette qualification n’est néanmoins pas une obligation générale pour toutes les entreprises et doit être choisie selon le niveau de risque et les exigences sectorielles. L’ANSSI publie également des recommandations dédiées à l’hébergement dans le cloud des systèmes d’information sensibles.
L’hébergement sur site procure une maîtrise directe de l’infrastructure, mais exige des compétences, des investissements et une capacité permanente de maintenance et de surveillance. Une PME disposant de ressources limitées ne sera pas nécessairement mieux protégée avec ses propres serveurs qu’avec un prestataire spécialisé.
Enfin, une architecture hybride permet de conserver les données les plus critiques dans un environnement fortement contrôlé tout en utilisant le cloud pour des applications moins sensibles. Par exemple, un établissement de santé peut isoler ses dossiers médicaux dans une infrastructure répondant aux exigences sectorielles, tout en hébergeant son site institutionnel dans un cloud public.
Un hébergement sécurisé repose d’abord sur une connaissance précise des données et des flux. Il convient de tenir une cartographie à jour, de limiter la collecte aux informations réellement nécessaires et de définir des durées de conservation cohérentes avec chaque finalité.
Les organisations doivent ensuite appliquer une défense en profondeur : chiffrement, authentification multifacteur, segmentation des réseaux, gestion rigoureuse des droits, mises à jour régulières, sauvegardes isolées et supervision des événements de sécurité.
Des audits, des tests de restauration et des revues d’accès doivent être organisés périodiquement. La sécurité du prestataire doit également être réévaluée pendant toute la durée du contrat, notamment en cas de changement d’architecture, de sous-traitant ou de localisation.
Réussir l’hébergement des données sensibles ne consiste pas à choisir systématiquement le cloud le plus connu, l’offre la plus souveraine ou l’infrastructure la plus isolée. La bonne solution dépend de la nature des données, de leur criticité, des usages, des contraintes réglementaires et des capacités de l’organisation.
Une démarche efficace commence par la classification des informations et l’analyse des risques. Elle se poursuit par l’évaluation des garanties techniques, juridiques et contractuelles de chaque solution. La localisation des données, le chiffrement, les accès, les sauvegardes, la réversibilité et les responsabilités doivent être vérifiés ensemble.
La conformité RGPD et la protection des données reposent ainsi moins sur un emplacement unique que sur une gouvernance claire, des mesures proportionnées et un contrôle continu de l’ensemble de la chaîne d’hébergement.
Découvrez le Cloud privé Horizon, une infrastructure opérée en France et conçue pour héberger, superviser et protéger les applications et informations critiques.
Sources utilisées
• Règlement général sur la protection des données, règlement européen 2016/679.
• CNIL, Guide de la sécurité des données personnelles, édition 2024.
• CNIL, recommandations relatives au cloud, aux sauvegardes, à la sous-traitance et aux transferts hors de l’Union européenne.
• ANSSI, recommandations pour l’hébergement dans le cloud des systèmes d’information sensibles.