Sécurité - OUTSCALE blog

SecNumCloud, la qualification devenue obligatoire pour les données sensibles de l’État : le guide complet du cadre juridique et du périmètre d’application

OUTSCALE — Thu, 17 Sep 2026 08:14:31 +0000

Depuis le 22 août 2026, la donne a changé pour les administrations françaises qui hébergent leurs données les plus sensibles dans le Cloud. Un arrêté publié au Journal officiel approuve le référentiel SecNumCloud comme référentiel permettant de répondre aux exigences de sécurité et de protection prévues par le nouveau cadre réglementaire.

Ce basculement juridique, préparé depuis plusieurs années, pose une question concrète pour les administrations, leurs opérateurs et les entreprises qui travaillent avec elles : qui est concerné, à partir de quand, et pour quelles données précisément ?

Ce guide fait le point sur le cadre juridique, le périmètre de l’obligation, la place de SecNumCloud face aux autres référentiels de sécurité, et les perspectives d’évolution de cette doctrine de souveraineté numérique.

Qu'est-ce que SecNumCloud ?

SecNumCloud est le référentiel de qualification des prestataires de services Cloud, élaboré et délivré par l’ANSSI (Agence nationale de la sécurité des systèmes d’information). Créé en 2016, il a connu plusieurs évolutions, la version 3.2 étant aujourd’hui la référence en vigueur.

Un point de vocabulaire important à clarifier d’emblée : SecNumCloud est une qualification, et non une certification au sens où l’entendent ISO 27001 ou HDS. Une qualification ANSSI implique une évaluation par un prestataire d’audit agréé, sur la base de laquelle l’agence délivre elle-même la reconnaissance : un processus plus exigeant et plus encadré qu’une certification délivrée par un organisme accrédité classique.

SecNumCloud atteste concrètement d’un niveau de sécurité technique et organisationnelle élevé, mais aussi et surtout une garantie d’immunité vis-à-vis des législations extraterritoriales étrangères, au premier rang desquelles le Cloud Act américain et le FISA. C’est cette dimension d’indépendance juridique qui distingue SecNumCloud.

Le cadre juridique qui a rendu SecNumCloud obligatoire

Depuis quand SecNumCloud est-il vraiment obligatoire, et pas seulement recommandé ? Existe-t-il des dérogations ? Une certification européenne équivalente peut-elle suffire ?

Ce sont les questions qui reviennent le plus souvent sur ce volet. La réponse tient dans une chronologie précise, construite en trois temps.

L’obligation ne surgit pas de nulle part : elle est l’aboutissement d’une trajectoire amorcée dès 2021, avec la doctrine gouvernementale “Cloud au centre”, qui recommandait déjà aux administrations de recourir à des offres qualifiées pour certaines données sensibles. Trois textes ont ensuite construit, étape par étape, le cadre juridique actuel :

La loi SREN (2024), dans son article 31, pose le principe d’une obligation de recours à des prestataires qualifiés SecNumCloud pour l’hébergement des données sensibles de l’État.
Le décret n° 2026-272 du 14 avril 2026 précise les modalités d’application : qui est concerné, ce que recouvre la notion de donnée sensible, et le régime de dérogation applicable.
L’arrêté du 12 août 2026, publié au Journal officiel le 14 août, approuve officiellement le référentiel SecNumCloud 3.2 comme référentiel technique de mise en œuvre. C’est ce texte qui donne sa force obligatoire à ce qui, jusque-là, restait une bonne pratique fortement recommandée.

Le décret prévoit un régime pour certains projets déjà engagés. Ce n’est pas une facilité commerciale : la dérogation doit être motivée, encadrée, rendue publique selon les conditions prévues, et validée au niveau requis. Elle ne permet pas de neutraliser durablement les exigences de souveraineté et de sécurité.

Cette chronologie mérite d’être comprise dans son ensemble : elle montre une doctrine de souveraineté numérique construite progressivement, chaque texte venant préciser et renforcer le précédent.

Qui est concerné par l'obligation SecNumCloud, et quelles données sensibles sont visées ?

Le périmètre de l’obligation est précis. Sont notamment concernés :

les administrations centrales de l’État et les services nationaux délocalisés ;
leurs opérateurs de l’État;
certains groupements d’intérêt public (GIP) faisant partie du périmètre défini par les textes.

Ces entités sont soumises à l’obligation lorsqu’elles recourent à un prestataire privé pour héberger des données sensibles au sens du décret, c’est-à-dire des données dont la violation porterait atteinte à l’ordre public, à la sécurité publique, ou à la santé publique.

Les collectivités territoriales, sont-elles concernées par l’obligation SecNumCloud ?

Les collectivités territoriales ne sont pas directement visées par le périmètre actuel de l’article 31 de la loi SREN.

Elles peuvent néanmoins choisir de recourir à des offres qualifiées SecNumCloud afin de répondre à leurs propres exigences de sécurité, de souveraineté et de protection des données.

Le cadre réglementaire autour de la souveraineté des achats numériques étant susceptible d’évoluer, ce sujet reste néanmoins à suivre pour les collectivités et leurs DSI.

SecNumCloud face aux autres référentiels

SecNumCloud n’est pas en concurrence avec ISO 27001 ou HDS : ces certifications répondent à des logiques différentes, et une organisation peut tout à fait cumuler plusieurs qualifications ou certifications.

ISO 27001 est une norme internationale de management de la sécurité de l’information, sans dimension de souveraineté juridique.
HDS (Hébergeur de Données de Santé) est une certification sectorielle, propre aux données de santé.
SecNumCloud est une qualification spécifiquement conçue pour les services Cloud, combinant des exigences élevées en matière de sécurité, d’exploitation et de souveraineté.

Au niveau européen, l’EUCS, un schéma de certification Cloud harmonisé, est en discussion depuis plusieurs années pour offrir un équivalent à l’échelle de l’Union. Il reste toutefois en cours de négociation et n’a pas vocation à remplacer SecNumCloud à court terme.

Ce que ça change concrètement pour les acteurs publics et leurs prestataires

Un point mérite d’être clarifié : l’obligation SecNumCloud ne signifie pas que le candidat à un marché public (une agence de développement web ou un éditeur de logiciel métier, par exemple) doit nécessairement être lui-même qualifié de bout en bout.

En revanche, dès lors que le projet touche aux données sensibles de l’État, l’exigence porte sur un maillon précis et non négociable : l’hébergement. Le candidat retenu devra faire héberger ces données sur une infrastructure Cloud qui, elle, possède la qualification SecNumCloud ou une équivalence européenne reconnue par l’ANSSI. C’est cette brique d’infrastructure qui constitue le standard de conformité incontournable.

Conclusion

L’arrêté du 12 août 2026 referme un chantier juridique engagé depuis la loi SREN de 2024 : SecNumCloud n’est plus une bonne pratique recommandée, c’est désormais une condition légale pour l’hébergement des données les plus sensibles de l’État. Le périmètre reste ciblé aujourd’hui, mais la trajectoire est claire.

Aujourd’hui, une dizaine d’offres sont qualifiées SecNumCloud en France, parmi lesquelles l’offre Cloud public d’OUTSCALE.

Pionnier, OUTSCALE a été le premier acteur du Cloud public à obtenir la qualification SecNumCloud en 2019, et dispose également de la certification HDS, permettant d’adresser les besoins des organisations ayant des exigences spécifiques en matière d’hébergement de données de santé.

Découvrez l’infrastructure Cloud souveraine d’OUTSCALE.

L’article SecNumCloud, la qualification devenue obligatoire pour les données sensibles de l’État : le guide complet du cadre juridique et du périmètre d’application est apparu en premier sur OUTSCALE blog.

Garantir la souveraineté et la sécurité des données dans un Cloud souverain grâce aux technologies Ercom

OUTSCALE — Tue, 01 Sep 2026 12:09:56 +0000

La souveraineté des données ne se résume pas au lieu d’hébergement. Pour réellement protéger des informations sensibles, il est essentiel de combiner un Cloud qualifié, une maîtrise des clés de chiffrement et un contrôle fin des accès au niveau applicatif. Cette prise de parole de Christophe Thomas, Responsable de l’activité Citadel Team et Cryptobox, et Clément Huyart, Responsable DevOps chez ERCOM (Groupe Thales), lors de l’événement OUTSCALE EXPERIENCES, propose un éclairage concret sur les leviers techniques et opérationnels permettant de garantir une véritable souveraineté des données.

Le Cloud souverain ne suffit pas à lui seul

Choisir un Cloud souverain constitue une première étape décisive, notamment lorsqu’il est qualifié SecNumCloud par l’ANSSI et complété par des certifications comme HDS ou ISO 27001/27017/27018. OUTSCALE met en avant ce positionnement avec une qualification SecNumCloud 3.2 et une protection renforcée contre les réglementations extraterritoriales, ce qui répond aux exigences des organisations qui manipulent des données sensibles ou stratégiques.

Mais l’hébergement, même de très haut niveau, ne couvre pas à lui seul toute la chaîne de confiance. Une vraie démarche de sécurité impose aussi de savoir qui détient les clés de chiffrement, qui autorise l’accès aux données et comment empêcher qu’un tiers technique puisse consulter les contenus.

L’approche de composition : infrastructure plus couche applicative

C’est précisément là que l’approche de composition prend tout son sens : s’appuyer sur une infrastructure Cloud souveraine, puis ajouter des briques applicatives conçues pour maintenir la confidentialité jusqu’à l’usage métier. Le cadre SecNumCloud 3.2 mentionne d’ailleurs explicitement ce principe de composition comme levier pour bâtir un écosystème de confiance.

Dans cette logique, Ercom, société française intégrée au groupe Thales, positionne ses solutions comme une couche complémentaire de protection des communications et des données. Thales présente Cryptobox comme une solution de partage de fichiers et de collaboration sécurisée, et Citadel Team comme une alternative de confiance pour la messagerie sécurisée, d’audio et de visioconférence professionnelle.

Chiffrement de bout en bout et contrôle des accès

Le cœur de la promesse repose sur deux mécanismes : le chiffrement de bout en bout et le contrôle d’accès piloté par les utilisateurs autorisés. Cette logique vise à faire en sorte que la donnée reste protégée non seulement pendant son stockage ou son transport, mais aussi face à l’opérateur du service ou à l’administrateur technique qui n’a pas à connaître le contenu.

Dans le cas de Cryptobox, solution utilisée par les entités gouvernementales les plus exigeantes et grandes entreprises internationales, cette exigence de sécurité est appuyée par son usage Diffusion Restreinte (Certification Critères Communs EAL3+ et Qualification Standard).

Deux usages clés : collaborer et communiquer en confiance

Premier usage critique : le partage de fichiers et la collaboration. Avec une solution comme Cryptobox, l’objectif est d’offrir l’expérience attendue d’un drive d’entreprise tout en conservant une gouvernance stricte sur les membres des espaces de travail, les liens de partage et l’accès réel aux documents sensibles. Thales positionne clairement Cryptobox pour le partage de fichiers et la collaboration sécurisée, en Cloud, SecNumCloud 3.2, Hybride ou en On Premise, sur PC, tablette et smartphone.

Deuxième usage stratégique : la communication en temps réel. Citadel Team vise à fournir une messagerie, une téléphonie collaborative et une visioconférence professionnelle plus souveraines que les outils grand public, avec une attention particulière portée à la protection des échanges et à la maîtrise des environnements d’usage. Thales décrit cette solution comme une alternative de confiance aux messageries sécurisées et outils d’audio/visioconférence généralistes.

L’interopérabilité, un enjeu de souveraineté opérationnelle

La souveraineté ne consiste pas à recréer des silos fermés, mais à bâtir des environnements maîtrisés capables d’échanger avec le bon niveau de contrôle. Sur ce terrain, l’écosystème Matrix, sur lequel se base Citadel Team, occupe une place importante : Tchap, la messagerie de l’État portée par la DINUM, repose sur ce protocole, ce qui en fait une base crédible pour des communications sécurisées et interopérables dans des contextes institutionnels.

Cette dimension est essentielle pour les organisations publiques et privées qui veulent rester ouvertes à leur écosystème sans abandonner la maîtrise de leurs flux. L’enjeu n’est donc pas seulement de chiffrer, mais de décider avec qui communiquer, dans quelles conditions et selon quelles politiques d’accès.

Conclusion

En somme, la souveraineté des données ne repose pas uniquement sur le choix d’un Cloud français ou qualifié, mais sur l’addition de trois garanties : un hébergement de confiance, un chiffrement réellement maîtrisé et un contrôle strict des accès. C’est cette combinaison qui transforme un simple environnement Cloud en un véritable socle de confiance.

Les technologies Ercom s’inscrivent précisément dans cette logique en ajoutant, au-dessus du Cloud souverain, une couche applicative pensée pour protéger les échanges, les fichiers et les usages collaboratifs sans sacrifier l’expérience utilisateur. Elles permettent ainsi aux organisations de garder la main sur leurs données tout en restant compatibles avec les exigences opérationnelles du quotidien.

La sécurité efficace n’est pas une barrière à l’usage, mais une condition de la confiance et de l’adoption. En combinant Cloud souverain, chiffrement de bout en bout et gouvernance fine, les entreprises et les administrations peuvent enfin concilier protection, souveraineté, conformité et collaboration.

L’article Garantir la souveraineté et la sécurité des données dans un Cloud souverain grâce aux technologies Ercom est apparu en premier sur OUTSCALE blog.

Plumber : renforcer la sécurité de nos workflows GitHub Actions

Renaud Calle — Wed, 15 Jul 2026 14:19:06 +0000

Chez OUTSCALE, au sein du service dédié à la création, à la maintenance et à l’évolution de nos produits open source, nous gérons au quotidien de nombreuses chaînes d’intégration et de déploiement continu.

Ces workflows sont parfois simples, parfois beaucoup plus complexes. Certains déclenchent des tests, d’autres publient des artefacts ou construisent des images. Tous ont, cependant, un point commun : ils font partie intégrante de notre chaîne de livraison.

Pendant longtemps, nous avons utilisé des actions maison pour nous aider à sécuriser ces workflows. Elles répondaient à des besoins concrets : vérifier certaines pratiques, homogénéiser nos pipelines, éviter les erreurs les plus évidentes et garantir un niveau de sécurité cohérent sur l’ensemble de nos dépôts.

Mais comme souvent avec les outils internes, ces actions demandaient du temps de maintenance. Il fallait les faire évoluer, suivre les nouvelles bonnes pratiques, intégrer de nouveaux cas d’usage, puis s’assurer que chaque dépôt restait aligné. À mesure que notre périmètre open source grandissait, nous avions besoin d’une approche plus standardisée, plus lisible et plus durable.

C’est dans ce contexte que nous avons décidé de remplacer progressivement nos actions maison et d’étendre notre périmètre de vérification grâce à Plumber.

L’intégration continue est devenue une surface d'attaque à part entière

La sécurité d’un projet open source ne se limite plus au code applicatif. Les chaînes de CI/CD sont aujourd’hui au cœur du processus de livraison. Elles ont accès au code source, manipulent des secrets, interagissent avec des registres, publient des artefacts et déclenchent parfois des actions sensibles.

Une mauvaise configuration, une permission trop large, une action tierce non figée ou une dépendance insuffisamment maîtrisée peuvent devenir des points d’entrée pour une attaque de supply chain.

Dans ce contexte, il ne suffit plus de vérifier ponctuellement qu’un workflow « fonctionne ». Il faut également s’assurer qu’il respecte des règles de sécurité claires, reproductibles et vérifiables dans le temps.

C’est précisément ce que nous recherchions : un outil capable de nous aider à auditer nos workflows GitHub, à détecter les écarts et à garder une vision claire de notre niveau de conformité CI/CD.

Pourquoi Plumber ?

Plumber nous permet de vérifier le niveau de sécurité de nos chaînes CI/CD directement dans nos processus de livraison. L’objectif n’est pas seulement de bloquer un mauvais changement au dernier moment, mais de rendre les bonnes pratiques visibles, compréhensibles et actionnables par les équipes.

Avec Plumber, nous pouvons contrôler différents aspects de nos workflows : l’usage d’actions tierces, le niveau de permissions accordé aux jobs, les configurations potentiellement dangereuses ou encore le respect de règles définies dans une politique commune.

Cela nous permet de passer d’une logique artisanale, basée sur des scripts internes et des vérifications dispersées, à une approche plus structurée. Les règles sont centralisées, les rapports sont lisibles et les écarts peuvent être traités de manière plus simple.

Nous utilisons Plumber à deux niveaux.

D’abord, à chaque livraison, pour vérifier que les workflows restent conformes aux règles attendues. Cela permet de détecter rapidement une régression ou une configuration risquée introduite dans un dépôt.

Ensuite, de manière périodique, avec un rapport mensuel qui nous aide à prendre du recul sur l’ensemble de notre périmètre. Ce rapport nous permet de vérifier que nos dépôts restent alignés, même lorsque les projets évoluent, que les workflows changent ou que de nouvelles pratiques apparaissent.

Moins de maintenance, plus de sérénité

L’un des bénéfices les plus immédiats a été la simplification de nos processus.

En remplaçant progressivement nos actions maison, nous réduisons la quantité de code interne à maintenir. Nous évitons aussi de devoir réimplémenter nous-mêmes des contrôles déjà identifiés, documentés et suivis par une communauté plus large.

Cela ne veut pas dire que nous abandonnons notre responsabilité. Au contraire, Plumber nous donne une base plus solide pour formaliser nos attentes, ajuster nos politiques et suivre les écarts dans le temps. Nous gardons la maîtrise de notre niveau d’exigence, mais nous nous appuyons sur un outil pensé pour ce besoin précis.

Le résultat est assez simple: moins de friction, moins de dette interne, plus de visibilité et davantage de sérénité.

Pour une équipe qui maintient plusieurs produits open source, c’est un point important. Nous devons rester efficaces, tout en continuant à garantir un bon niveau de sécurité à chaque contribution, chaque commit et chaque release.

Un projet open source auquel nous voulons contribuer

Un autre point important dans notre choix est la nature même du projet. Plumber est open source. Pour nous, ce n’est pas un détail.

Nous travaillons nous-mêmes sur des produits open source,et nous savons à quel point la transparence, la collaboration et les retours d’expérience sont précieux pour faire progresser un outil. Utiliser Plumber, ce n’est pas seulement consommer une solution existante, c’est aussi rejoindre une dynamique communautaire autour d’un sujet qui nous concerne directement.

Le fait qu’il s’agisse d’un projet français rend également l’initiative particulièrement intéressante à nos yeux. Dans un domaine aussi stratégique que la sécurité de la supply chain logicielle, voir émerger des outils open source ambitieux, proches de nos problématiques et ouverts aux contributions est une excellente nouvelle.

Nous avons donc fait notre choix : Plumber va nous accompagner dans la sécurisation et la standardisation de nos workflows GitHub Actions.

Et nous ne comptons pas nous arrêter à son simple usage. Nous souhaitons également contribuer au projet du mieux que nous le pourrons : par des retours d’expérience, des idées d’amélioration, de la documentation, des issues ou lorsque ce sera pertinent, du code.

Parce que la sécurité de la chaîne CI/CD n’est plus un sujet secondaire. C’est un élément essentiel de la confiance que nous voulons apporter à nos utilisateurs, à nos contributeurs et à l’ensemble de notre écosystème open source.

L’article Plumber : renforcer la sécurité de nos workflows GitHub Actions est apparu en premier sur OUTSCALE blog.

Immersion au cœur de l’infrastructure souveraine et durable : visite exclusive chez notre partenaire Thésée Datacenter

OUTSCALE — Wed, 09 Jul 2025 07:30:53 +0000

Chez OUTSCALE, nous avons fait le choix d’un Cloud souverain, sécurisé et durable, en partenariat avec des acteurs français qui partagent nos exigences.

Parmi eux, Thésée Datacenter est un partenaire stratégique : il héberge une part essentielle de notre infrastructure cloud. Ce partenaire de pointe incarne les trois piliers qui fondent notre engagement : souveraineté, performance et responsabilité environnementale.

Un site ultra sécurisé

Dès l’entrée, Thésée Datacenter montre l’exigence de son dispositif de sécurité :

Surveillance 24h/24, 7j/7
Jusqu’à 7 niveaux d’accès contrôlés
Biométrie, lecteurs de badges, contrôle unipersonnel

Tout est conçu pour assurer la confidentialité, l’intégrité et la résilience des infrastructures critiques.

Mais la sécurité ne s’arrête pas aux murs. Thésée Datacenter se positionne aussi comme acteur engagé de la souveraineté numérique : les données sont hébergées en France, protégées contre toute forme de loi extraterritoriale.

Un gage de confiance pour les clients publics ou privés traitant des données sensibles.

Efficience énergétique et innovation technologique

Dans un contexte de croissance exponentielle des données et d’adoption massive de l’IA, la consommation énergétique des datacenters est un enjeu majeur. Thésée Datacenter anticipe cette réalité avec une approche résolument innovante. Le site affiche un PUE (Power Usage Effectiveness) by design de 1,2 l’un des meilleurs de sa catégorie grâce à un système de refroidissement hybride intelligent : free cooling (actif 80 % de l’année), système adiabatique au printemps, et groupes froids pour les pics estivaux. Résultat : une réduction de 45 % de la consommation énergétique liée au refroidissement en trois ans.

Autre point fort : la gestion responsable de l’eau, avec un WUE (Water Usage Effectiveness) inférieur à 0,2, bien au-delà des standards européens.

Parmi les projets d’avenir de Thésée Datacenter, le Direct Liquid Cooling (refroidissement direct par liquide) se démarque. Il permet de réduire la consommation d’énergie liée aux composants à haute densité de puissance et d’améliorer significativement le PUE.

Un partenariat fondé sur l’excellence

Chez OUTSCALE, nous sélectionnons nos partenaires selon trois critères essentiels :

Performance technique
Souveraineté réelle
Responsabilité environnementale

Thésée Datacenter répond à ces exigences avec :

Des certifications de haut niveau : ISO 27001, ISO 50001, TIER IV, SBTi…
Un engagement concret pour un numérique plus durable, signataire du Climate Neutral Data Center Pact et du EU Code of Conduct for Data Centres Energy Efficiency.

Ensemble, nous construisons un cloud de confiance

Ce partenariat illustre notre vision d’un cloud à la fois souverain, performant et respectueux de l’environnement.

L’article Immersion au cœur de l’infrastructure souveraine et durable : visite exclusive chez notre partenaire Thésée Datacenter est apparu en premier sur OUTSCALE blog.

Comment garantir la résilience et la cybersécurité des données sensibles ?

OUTSCALE — Tue, 17 Jun 2025 13:14:35 +0000

À l’ère de la transformation numérique accélérée, la cybersécurité et la résilience des données sensibles ne sont plus de simples préoccupations techniques, mais des enjeux stratégiques pour toutes les organisations. Entre multiplication des cyberattaques, explosion des données et nouvelles réglementations européennes, garantir la sécurité et la gouvernance de l’information est devenu un impératif business, juridique et sociétal.

Mais comment répondre à ce défi en 2025, à l’heure de l’IA générative, des cyber-menaces avancées et de la souveraineté numérique ? Voici les clés pour bâtir une infrastructure de confiance.

Données sensibles : de quoi parle-t-on ?

Les données sensibles englobent toutes les informations dont la compromission peut entraîner un préjudice important : secret industriel, données de santé, données financières, informations stratégiques de l’État, données personnelles à fort impact.

Ces données sont souvent ciblées par des attaques sophistiquées (ransomwares, supply chain attacks, espionnage), mais aussi exposées à des risques internes : erreurs humaines, mauvaises configurations, accès non maîtrisés.

Résilience + cybersécurité = sécurité de bout en bout

Mais garantir la sécurité de ces données ne repose plus seulement sur “un bon pare-feu”.
Il s’agit d’un écosystème complet, combinant :

Protection : chiffrement, contrôle d’accès, sécurité réseau, cloisonnement des environnements.
Détection : surveillance continue, détection d’anomalies, alertes en temps réel.
Réaction : plans de réponse à incident, capacité de rétablissement rapide.
Résilience : sauvegardes distribuées, continuité d’activité, redondance multi-sites.

Chez OUTSCALE, marque de Dassault Systèmes, cette approche est native : nos infrastructures cloud sont conçues pour offrir une cybersécurité intrinsèque et une résilience éprouvée, en particulier pour les environnements critiques.

Les piliers techniques d’une stratégie de résilience

1. Chiffrement avancé et gestion des clés

Toutes les données sensibles doivent être chiffrées en transit et au repos, avec des clés de chiffrement sous contrôle exclusif du client ou d’un tiers de confiance. OUTSCALE propose une gestion souveraine hébergée en France et totalement indépendante des juridictions extraterritoriales.

2. Redondance et haute disponibilité

La résilience passe par une architecture multi-régions avec réplication automatique, tolérance aux pannes et garantie de disponibilité SLA. Cette capacité à fonctionner même en cas d’incident est essentielle pour les secteurs critiques.

3. Backups souverains et automatisés

Les sauvegardes doivent être régulières, chiffrées, isolées et testées. OUTSCALE propose des mécanismes de snapshots automatisés, avec restauration rapide en cas de crise.

4. Surveillance continue et détection d’intrusion

Certains outils de supervision 24/7 permettent de détecter des comportements anormaux, avec des alertes en temps réel. Cette couche de défense active est renforcée chez OUTSCALE par des partenaires de cybersécurité spécialisés.

Le cadre réglementaire renforce l’exigence

En 2025, la résilience n’est plus un luxe mais une obligation réglementaire, notamment pour les entités critiques. Plusieurs textes majeurs renforcent cette exigence :

NIS2 (cybersécurité des infrastructures essentielles)
DORA (résilience opérationnelle dans le secteur financier)
SecNumCloud (qualité de la sécurité cloud en France)
EUCS (cadre de certification européen en cours)

Ces normes imposent aux fournisseurs Cloud d’intégrer la résilience et la cybersécurité dès la conception de leurs services (approche “Security by Design”).

OUTSCALE : l’engagement d’un cloud souverain et résilient

Chez OUTSCALE, nous plaçons la cybersécurité et la résilience au cœur de notre offre Cloud. Qualifiés SecNumCloud 3.2, nous opérons des infrastructures souveraines, 100 % européennes, pensées pour les secteurs les plus exigeants.

Notre modèle intègre :

Un pilotage IA pour renforcer la détection des menaces.
Une isolation par design des environnements.
Un contrôle total des flux, des accès et des identités.

Face à l’augmentation des risques numériques, la résilience et la cybersécurité des données sensibles ne peuvent être laissées au hasard. Elles doivent être planifiées, outillées et certifiées. En s’appuyant sur des infrastructures souveraines les organisations peuvent faire de la sécurité un accélérateur de transformation, et non un frein.

L’article Comment garantir la résilience et la cybersécurité des données sensibles ? est apparu en premier sur OUTSCALE blog.

Cloud Computing en 2025 : Menaces et recommandations selon l’ANSSI

OUTSCALE — Sun, 27 Apr 2025 12:48:14 +0000

Le Cloud Computing est devenu un levier stratégique pour les entreprises et les institutions, offrant flexibilité, performance et évolutivité. Mais cette transformation numérique s’accompagne de défis de sécurité majeurs.

Le rapport de l’ANSSI de février 2025 met en lumière les menaces qui pèsent sur les environnements Cloud et recommande des bonnes pratiques pour assurer une meilleure protection des infrastructures et des données sensibles.

Nous avons analysé ces nouvelles tendances et nous vous proposons dans cet article un décryptage des menaces identifiées ainsi que les solutions que nous mettons en place pour sécuriser les environnements critiques.

Un Cloud toujours plus exposé aux cybermenaces

Avec l’explosion des usages du Cloud et la montée en puissance des environnements hybrides, les attaquants disposent de nouvelles opportunités pour compromettre les infrastructures et exfiltrer des données sensibles.

51,1 % des accès non autorisés au Cloud en 2023 ont été obtenus grâce à des mots de passe faibles ou des interfaces non sécurisées.
Les environnements Cloud hybrides exposent de nouvelles surfaces d’attaque, facilitant la latéralisation des intrusions entre les infrastructures locales et Cloud.
Les attaques DDoS atteignent des niveaux records avec des attaques massives, utilisant des équipements de cœur de réseau compromis.

Pourquoi ces tendances inquiètent-elles l’ANSSI ?

Dans son rapport, l’ANSSI met en avant le rôle stratégique du Cloud pour les infrastructures critiques, qu’il s’agisse de services publics, d’entreprises industrielles ou de secteurs réglementés. Si ces infrastructures ne sont pas correctement sécurisées, elles peuvent devenir des cibles pour :

Des attaques à but lucratif : vol de données sensibles, déploiement de ransomwares.
De l’espionnage industriel : des groupes ont déjà ciblé des environnements Cloud pour récupérer des informations confidentielles.
Des cyberattaques destructrices : certains États malveillants utilisent le Cloud pour mener des attaques massives et désorganiser des infrastructures essentielles.

Sécuriser le Cloud : une nécessité absolue

Face à ces menaces, l’ANSSI recommande plusieurs bonnes pratiques pour réduire la surface d’attaque et améliorer la résilience des infrastructures Cloud :

1. Mettre en œuvre une architecture cloisonnée

Le cloisonnement des ressources Cloud permet de limiter la propagation des attaques et de mieux contrôler les accès. Chez OUTSCALE, nous appliquons une approche Zero Trust, où chaque utilisateur et chaque application doivent être authentifiés et autorisés avant d’accéder aux ressources Cloud.

2. Renforcer les mécanismes d’authentification et de chiffrement

L’ANSSI rappelle que les identifiants faibles et les API non sécurisées sont des portes d’entrée pour les attaquants. OUTSCALE garantit l’isolement total des infrastructures et le chiffrement avancé des données en transit et au repos. Nos clients bénéficient d’un environnement qualifié SecNumCloud, assurant une protection de haut niveau contre l’exfiltration et la compromission des données.

3. S’appuyer sur un Cloud souverain qualifié

Les solutions qualifiées SecNumCloud offrent les plus hauts standards de sécurité en France et en Europe, garantissant :

Une protection contre les lois extraterritoriales comme le Cloud Act.
Une infrastructure 100 % française, avec une administration isolée et indépendante.
Une conformité aux exigences NIS2, RGPD et aux normes européennes de cybersécurité.

4. Déployer des stratégies avancées de continuité d’activité (PCA/PRA)

OUTSCALE assure une résilience maximale grâce à une architecture multi-sous-régions
incluant :

3 zones de disponibilité (AZs) indépendantes pour éviter tout point unique de défaillance.
Une distance de 30 km entre chaque AZ pour limiter l’impact des incidents majeurs.
Un réseau indépendant à faible latence pour garantir une disponibilité continue.

OUTSCALE : un Cloud souverain et sécurisé face aux nouvelles menaces

Les tendances décrites par l’ANSSI montrent qu’il est indispensable de choisir une solution Cloud qui offre sécurité, souveraineté et résilience.

Pourquoi faire confiance à OUTSCALE ?

Un Cloud qualifié SecNumCloud 3.2 : le plus haut niveau de sécurité délivré par l’ANSSI.
Un hébergement souverain en France par une société de droit français, hors des lois extraterritoriales.
Des mécanismes avancés de cybersécurité : chiffrement, cloisonnement, authentification renforcée.
Une architecture hautement résiliente avec 3 zones de disponibilité et un PCA/PRA intégré.

En savoir plus sur le Cloud souverain d’OUTSCALE.

L’article Cloud Computing en 2025 : Menaces et recommandations selon l’ANSSI est apparu en premier sur OUTSCALE blog.

Pourquoi protéger les données de santé ?

Dina O'Reilly — Tue, 05 Dec 2023 15:35:38 +0000

Le monde de la santé connaît une évolution sans précédent. La technologie avance à pas de géant et avec elle, la quantité de données de santé générées augmente de façon exponentielle. La multiplication des partages de dossiers médicaux entre les professionnels de santé, l’exploitation des données de santé par l’intelligence artificielle (IA) en plein essor, menant à la création de vastes banques de données de santé (Health data hub), nécessitent des capacités de stockage de plus en plus importantes.

Réduction des erreurs médicales, optimisation de la gestion hospitalière, aide au diagnostic et suivi évolutif du patient : les opportunités sont nombreuses. Ainsi, pour que la donnée soit mise au service du progrès médical, le recours à des solutions Cloud est devenu incontournable.

En parallèle, les infrastructures on premise vieillissantes et l’augmentation de la valeur monétaire des donnés de santé entraînent une augmentation des cyber-attaques ciblant les établissements de santé.

Qu’est-ce qu’une donnée de santé ? Quelle est la définition officielle ?

Une donnée de santé est toute information concernant l’état physique ou mental d’une personne. Cela peut inclure des résultats de tests, des images médicales, des informations génétiques, ou même des données sur la consommation de médicaments. Ces données, lorsqu’elles sont compilées, peuvent fournir une image complète de la santé d’un individu, d’où leur caractère sensible.

Une mise à jour récente a apporté des clarifications dans la doctrine Cloud au centre de l’État. Avant cette mise à jour, la doctrine faisait vaguement référence aux données « d’une sensibilité particulière », en les exemplifiant comme étant des données personnelles des citoyens français, des données économiques relatives aux entreprises françaises ou des applications métiers relatives aux agents publics de l’État.

L’État clarifie le statut de la donnée de santé

Avec la publication de la circulaire gouvernementale Cloud au centre du 1er juin 2023, des clarifications ont été apportées sur la notion de « données sensibles » dans le but d’aider les établissements de santé et autres entités de comprendre et de se conformer aux exigences de protection des données.

Les « données sensibles » couvrent désormais, d’une part, les données qui relèvent de secrets protégés par la loi, selon les articles L.311-5 et L.311-6 du Code des relations entre le public et l’administration. Il s’agit, par exemple, de données liées aux délibérations du Gouvernement, à la défense nationale ou à la conduite de la politique extérieure de la France. D’autre part, elles englobent les données nécessaires à l’accomplissement des missions essentielles de l’État, comme le maintien de l’ordre public et la protection de la vie des personnes.

La nouvelle circulaire précise également que lorsqu’il s’agit de recourir à des services de stockage ou de traitement de ces données, les organisations doivent faire attention aux éventuels transferts de données personnelles hors de l’UE. Pour assurer la souveraineté, la sécurité et la confidentialité des données, les organisations peuvent choisir des fournisseurs de services Cloud qualifiés SecNumCloud par l’ANSSI, la certification du plus haut niveau.

Quels sont les enjeux autour des données de santé ?

À l’ère du numérique, la protection, la sécurité, la confidentialité et l’intégrité des données de santé sont plus que jamais au cœur des préoccupations et d’une importance capitale pour l’État et ses citoyens. Assurer leur sécurité est non seulement une obligation légale mais aussi une nécessité pour garantir la confiance des patients et le bon fonctionnement du système de santé.

Les données de santé sont à la fois sensibles et critiques. Elles sont sensibles car elles concernent des informations privées sur les individus, et leur divulgation pourrait porter atteinte à la vie privée ou même entraîner des discriminations. Elles sont critiques car elles peuvent avoir des implications directes sur le diagnostic, le traitement et le suivi des patients. La protection de ces données est donc primordiale pour assurer la confiance des patients et la qualité des soins.

Comment protéger les données de santé critiques et sensibles ?

Face à ces enjeux, il est essentiel d’opter pour des solutions fiables et sécurisées pour le stockage et la gestion des données de santé. C’est là qu’interviennent des services de confiance capables de garantir le plus haut niveau de sécurité et de souveraineté. En choisissant des services Cloud souverains et sécurisés, certifiés HDS (Hébergement de Données de Santé) et SecNumCloud, les établissements de santé peuvent garantir l’intégrité, la confidentialité et la disponibilité de ces données vitales.

Découvrez comment le Cloud Santé d’OUTSCALE, certifié HDS et qualifié SecNumCloud, protège les données de santé

L’article Pourquoi protéger les données de santé ? est apparu en premier sur OUTSCALE blog.

Réduire les risques : pour une sécurité Cloud de bout en bout

Dina O'Reilly — Wed, 02 Aug 2023 15:33:30 +0000

Le Cloud et les services qui lui sont associés apportent de nombreux usages stratégiques et sensibles aux métiers, notamment en matière de flexibilité, d’évolutivité, de réduction des coûts, et de facilité d’accès aux données et aux applications. Cependant, ces nouvelles opportunités sont également accompagnées des défis de sécurité qui nécessitent une approche différente de la gestion informatique par rapport à celle adoptée en on-premise.

Lors de l’événement CLOUD DAYS 2023, 3DS OUTSCALE a invité un panel d’experts en cybersécurité afin d’échanger sur le sujet : comment réduire les risques et assurer la sécurité dans le Cloud de bout en bout. Parmi eux, Philippe Charpentier, Solutions Engineer Director chez NetApp, David Thomas, Directeur commercial et marketing chez Telehouse, et Edouard Camoin, VP Résilience au sein de 3DS OUTSCALE. La table ronde a été animée par Guillaume Périssat, Journaliste pour L’Informaticien.

Revenir aux fondamentaux

Pour répondre à la question, très complexe, les participants sont d’abord revenus sur la définition même du risque et sur les menaces auxquelles peuvent faire face les utilisateurs. Bien identifier les besoins permet de faire des choix de partenaires éclairés. Quelles sont les garanties que ces derniers peuvent apporter. Quels sont les risques qu’ils peuvent couvrir ? Mais aussi, quelles sont les parties à compléter en interne et comment s’assurer que les engagements soient respectés ? Les experts ont partagé également quelques risques avérés à venir et les menaces émergentes auxquels ils prévoient d’or et déjà les réponses.

Faire des choix éclairés pour assurer une sécurité de bout en bout

Parmi les avantages qu’apporte un fournisseur de Cloud en matière de sécurité sont cités la standardisation, la mutualisation et les compétences. “L’utilisation systématiques des mêmes briques permet de réduire le nombre de briques, de réduire ainsi la surface d’attaque et de mieux contrôler la couche de protection de ces briques,” explique Philippe Charpentier. Cela permet justement à des fournisseurs de services Cloud comme 3DS OUTSCALE d’avoir une architecture systématiquement répétée et un mécanisme de protection centralisé, plus simple à contrôler. La mutualisation permet d’avoir une solution complète de sécurisation pour protéger de bout en bout les données.

“Opérer une plateforme Cloud est un mécanisme complet et il faut avoir des compétences nécessaires. Réussir à atteindre le niveau de sécurité offert par un fournisseur Cloud sécurisé grâce à la mutualisation, la standardisation et le niveau d’expertise, représente un coût important que toutes les organisations ne peuvent pas assumer,” résume Edouard Camoin. “C’est aussi le niveau d’exigence en matière de sécurité, les certifications (le référentiel SecNumCloud), l’analyse du risque plus ou moins poussée qui font la différence,” ajoute David Thomas.

La responsabilité partagée

Les fournisseurs de Cloud pratiquent des modèles de partage de responsabilités entre le fournisseur et le client qui peuvent varier ou couvrir différents périmètres. Par exemple, le fournisseur gère la sécurité de l’infrastructure physique et de la plateforme, alors que le client est responsable de la sécurité de ses propres applications et accès. Cette répartition nécessite une fine compréhension des responsabilités de chaque partie et des risques qui doivent être couverts par chacun, qui peuvent être d’ailleurs difficiles à identifier, le point souvent négligé par le client final.

Le replay de la table ronde est disponible ci-dessous :

Vous cherchez un partenaire de confiance ? Découvrez nos certifications dont le Visa de sécurité SecNumCloud et HDS (Hébergeur des Données de Santé)

Vous êtes sensible au sujet de la souveraineté numérique ? Découvrez la table ronde “Souveraineté numérique en Europe : défis et opportunités dans un monde interconnecté” avec Philippe Latombe (Assemblée Nationale), Yann Klis (Scalingo), David Chassan (3DS OUTSCALE) et Marc Rougier (Elaia).

L’article Réduire les risques : pour une sécurité Cloud de bout en bout est apparu en premier sur OUTSCALE blog.

Une feuille de route entre résilience, performance et sécurité – CLOUD DAYS 2023

Dina O'Reilly — Wed, 12 Jul 2023 19:31:13 +0000

La nouvelle feuille de route d’OUTSCALE, l’opérateur souverain et durable de Business Experience de Confiance en tant que service, a été dévoilée par Arnaud Bertrand, CTO & SVP Cloud R&D, durant la Plénière des CLOUD DAYS 2023.

Quelles sont alors les nouveautés technologiques à venir ?

Tout d’abord, trois modèles de Cloud permettront aux institutions et aux entreprises disposant de données et d’applications sensibles de renforcer leur autonomie numérique par l’intermédiaire d’une expérience Cloud déclinée en trois niveaux :

Le Cloud international : un Cloud public international pour une collaboration sécurisée, qui bénéficie des certifications reconnues au niveau international (HDS, TISAX, ISO 27001, ISO 26000…) ;
Le Cloud souverain : un Cloud de confiance au sein d’un espace réglementaire et fiscal commun, qui bénéficie des certifications souveraines par pays en plus des certifications internationales (SecNumCloud, ITAR) ;
Le Cloud dédié : un Cloud dédié à la collaboration souveraine dans l’environnement du client.

Par ailleurs, de nouvelles fonctionnalités s’ajoutent en 2023-2024 dont le DirectLink et le DirectLink virtuel, disponible quasi immédiatement et sans paramétrage, permettant une connexion directe de datacenter à datacenter, le Dedicated Group permettant de compléter les capacités d’isolation offertes par la virtualisation, le VM Group pour créer des templates de VM avec des caractéristiques communes et de manipuler toutes les VMs associées à ce template en même temps (le premier pas vers l’autoscaling). Parmi les mises à jour sont également la nouvelle version de Cockpit avec une interface améliorée et une nouvelle IAM.

Le stockage objet étant un élément clé de la bascule vers le Cloud computing et de la résilience dans le Cloud, une nouvelle infrastructure de stockage objet avec des performances améliorées sera proposée (le seul service de stockage objet qualifié SecNumCloud à ce jour sur le marché).

Des CPU et GPU next generation

Arnaud Bertrand a également annoncé la mise à disposition d’une nouvelle gamme de CPU de nouvelle génération (Ice Lake et Kaby Lake) qui va permettre aux clients d’augmenter leur puissance de calcul, la vitesse de traitement de leurs charges de travail, ainsi que leur efficacité énergétique. Mieux adaptée aux exigences actuelles des utilisateurs, cette nouvelle génération de processeurs va notamment se traduire par une meilleure expérience utilisateur et une exécution plus rapide des tâches.

L’arrivée des cartes graphiques NVIDIA GPU A100, très attendue, a été également annoncée par le CTO d’OUTSCALE. Conçues pour offrir une puissance graphique de haute performance, elles permettent d’explorer de nouveaux horizons et de vivre une immersion totale avec les modélisations 3D et d’autres simulations plus exigeantes et projets plus complexes. Ainsi, OUTSCALE propose des services GPU uniques en France, disponibles dans l’offre Cloud Public qualifiée SecNumCloud.

De plus, cette année, OUTSCALE engage des démarches pour l’obtention de la certification SOC 2 type 2 : un cadre permettant de démontrer les contrôles de sécurité mis en place pour protéger les données des clients dans le Cloud. Une démarche qui renforce la volonté d’OUTSCALE d’offrir les plus hauts niveaux de conformité et de sécurité à ses clients.

Enfin, un calculateur d’empreinte carbone, qui à terme sera fourni avec la facture, pourra reconstituer la consommation énergétique du client par service/offre.

Visionnez le replay de l’intervention d’Arnaud Bertrand pour découvrir l’ensemble des nouveautés annoncées :

Et découvrez l’intervention de Philippe Miltin, CEO d’OUTSCALE, pour en savoir plus sur la nouvelle stratégie.

Vous souhaitez aller plus loin ? Contactez-nous !

L’article Une feuille de route entre résilience, performance et sécurité – CLOUD DAYS 2023 est apparu en premier sur OUTSCALE blog.

Enregistrement sécurisé des conversations audio et vidéo avec ARTESCA et le Cloud souverain OUTSCALE

Dina O'Reilly — Wed, 12 Jul 2023 10:32:57 +0000

Découvrez les avantages de l’utilisation d’un stockage local S3 SCALITY sur le Cloud souverain d’OUTSCALE à travers une démo, assurée par Samuel Lugassy, Sales Engineer chez Scality, qui présente le stockage sécurisé de fichiers audios et vidéos avec la solution ARTESCA et le Cloud souverain d’OUTSCALE.

« Nous avons beaucoup de clients qui souhaitent avoir une plateforme de stockage S3 en local qui sera mise sur l’infrastructure souveraine d’OUTSCALE », l’intervention de Scality aux CLOUD DAYS 2023 met en lumière des cas d’utilisation de l’offre de stockage S3 basée sur la technologie Scality, un des leaders de solutions de stockage.

Il s’agit dans cette démo d’une institution financière qui stocke des fichiers vidéo et audio sur le Cloud OUTSCALE en utilisant une plateforme S3 en local. Ce cas d’usage est également typique par exemple pour les call centers.

Quels sont les 5 challenges auxquels font face les entreprises ?

Parmi les premiers challenges que l’on peut rencontrer lors de la mise en place d’un tel projet, nous retrouvons la latence à laquelle sont sensibles les fichiers audio et vidéo : déployer ARTESCA en local au plus proche des enregistrements permet d’optimiser cette latence.

Le deuxième challenge est la scalabilité : vous pouvez découvrir comment ajouter un nœud supplémentaire pour doubler la capacité grâce au Cloud souverain d’OUTSCALE et la règle de transition qu’il est possible de configurer pour migrer d’anciens fichiers vers le Cloud.

Le troisième challenge est la sécurité pour protéger les données contre les ransomwares ou les effacements accidentels. Un autre challenge auquel répond la solution ARTESCA sur le Cloud d’OUTSCALE est la conformité, notamment en cas d’audit, qui garantit l’intégrité des données tout au long du process et la conformité RGPD avec la gestion du cycle de vie de la donnée.

Enfin, vous verrez qu’il est possible de déléguer des tâches aux équipes de façon simple et sécurisée afin de garantir la sécurité des opérations de maintenance.

Découvrez également la solution OUTSCALE Object Storage basée sur la technologie Ring de Scality, la seule solution de stockage objet qualifiée SecNumCloud disponible dans le Cloud public.

Vous avez manqué les CLOUD DAYS 2023 ? Pas de problème ! Plus de replays sont disponibles ici !

L’article Enregistrement sécurisé des conversations audio et vidéo avec ARTESCA et le Cloud souverain OUTSCALE est apparu en premier sur OUTSCALE blog.