Alex Tanner, architecte senior en solutions Cloud, partenaires du programme Cloud Provider VMware Partner Connect, Royaume-Uni et Irlande
Dans l’article de blog de la semaine dernière, nous avons expliqué que le choix d’un Cloud souverain ne se limite pas à l’identification d’une pile technologique ou d’une offre de solutions. Il s’agit plutôt de proposer un cadre d’évaluation sur lequel s’appuient les responsables de la protection des données d’entreprise ou publiques (gardiens des données) pour évaluer les différentes offres de Cloud souverain en fonction de leurs besoins.
L’analogie avec les vacances familiales permet de mettre en évidence notre formulation de ce cadre pour faciliter le choix d’un Cloud souverain et les différents critères à prendre en compte pour déterminer le lieu d’hébergement adéquat pour différents types et classifications de données. La comparaison s’applique au choix de l’hôtel proposé à la famille et à la manière dont cette dernière fait le bon choix pour ses vacances en fonction des critères d’évaluation.
Examinons maintenant chaque cadre d’évaluation – (i) facteur humain, accès, (ii) processus, (iii) activités et technologie – comme si vous prépariez des vacances en famille, afin de mettre en évidence les raisons pour lesquelles nous avons choisi ces éléments et la manière dont ils permettent d’évaluer les besoins d’une entreprise dans le domaine du Cloud souverain.
Critère d’évaluation : le facteur humain
Le premier de ces critères d’évaluation appliqué aux choix d’hébergement concerne le facteur humain. Dans le contexte de l’analogie, il s’agit de s’informer sur les types de personnels qui ont accès aux enfants et ce que cela signifie au niveau des expériences, du plaisir et de la sécurité des enfants pendant leurs vacances. L’enfant non sensible est tout à fait capable d’évoluer dans un groupe avec d’autres enfants et de profiter de la plupart des activités avec une surveillance réduite assurée par des personnes peu formées et expérimentées.
Dans le cadre du Cloud souverain, cela signifie que les gardiens des données se préoccupent peu de savoir qui a accès aux données non sensibles représentées par l’enfant non sensible. Il n’y a guère de réglementation régissant cet accès et peu de choses pourraient ressortir des interactions entre les différents personnels avec l’enfant non sensible. L’enfant sensible, en revanche, doit être en contact avec des spécialistes formés car, dans le cas contraire, les conséquences pourraient être très négatives si le personnel était mal formé et n’était pas conscient de ses besoins spécifiques. En matière de Cloud souverain, l’accent est mis sur le fait que les gardiens des données doivent être conscients que certains niveaux de données ne doivent idéalement être gérés que par certaines catégories de personnes.
Le diagramme ci-dessous présente les types de groupes d’individus envisageables pour gérer les différentes classifications de données. Les partenaires qui servent actuellement le secteur public local, la défense, les services de renseignement ou des secteurs d’activité spécifiques tels que la santé et la finance, disposent de ces connaissances et de cette expérience, et emploient des personnels dûment qualifiés et agréés pour gérer les différents niveaux de données des clients en toute sécurité et conformément aux réglementations en vigueur. L’évaluation du type de Cloud souverain dont une entreprise a besoin consiste partiellement à reconnaître le type d’individus pouvant accéder aux classifications de données dont les gardiens des données sont responsables.
Critère d’évaluation : l’accès
Le deuxième critère d’évaluation appliqué au choix d’un hébergement est l’accès et les responsables de la gestion et de la réglementation de ces accès. Dans le contexte de notre analogie, il s’agit de la responsabilité et des voies de recours légales.
En cas de problème avec l’enfant non sensible, l’infraction et son impact sur l’enfant n’étant probablement pas graves, il devrait être suffisant de déposer un recours générique contre les personnes qui coordonnent l’activité concernée ou, potentiellement, la direction du centre de loisirs pourrait être traitée par un service central au niveau du groupe international. Avec l’enfant sensible cependant, tout problème doit faire l’objet d’un arbitrage immédiat et l’obligation de rendre des comptes au niveau local doit être clairement établie. Dans la mesure où l’impact de tout problème sur l’enfant et la réglementation afférente est potentiellement grave, tout recours juridique devrait être jugé localement. L’adulte A aime l’idée que le boutique hôtel local a établi des règles claires en matière de responsabilité au sein de son établissement et qu’il dépende entièrement de la juridiction locale pour toute contestation.
Pour les deux autres choix d’hébergement, les obligations de rendre des comptes et d’escalade des problèmes sont beaucoup moins claires, étant donné la nature de la relation de leur organisation locale avec les sociétés mères et leurs partenaires internationaux. Des craintes apparaissent rapidement quant à l’emplacement du tribunal qui pourrait statuer sur tout problème et au cadre juridique et réglementaire du pays en charge de faire toute la lumière sur le litige. Comme le montre le diagramme ci-dessous, au niveau du Cloud souverain, il est essentiel de comprendre l’impact des juridictions locales, régionales et internationales sur le lieu de décision et sur le type de juridiction dont relève un problème ou un appel concernant les différents types de données.
Ces informations sont essentielles pour déterminer le choix d’un Cloud souverain et comprendre la manière dont, non seulement les données des clients, mais aussi toutes les métadonnées de compte et de service associées aux données de ces clients sont gérées conformément aux cadres réglementaires, aux normes d’audit et aux juridictions dont le fournisseur de Cloud souverain dépend, du point de vue de la gouvernance, de la surveillance et de la conformité.
Critère d’évaluation : le processus
Le troisième critère d’évaluation appliqué au choix du lieu d’hébergement est le processus. Dans le contexte de notre analogie, le processus concerne les systèmes permettant aux clients d’accomplir leurs tâches. Dans le cas des vacances et du personnel qui s’occupe de la famille, il s’agit des systèmes de réservation, des systèmes de facturation et des systèmes en contact direct avec les clients qui fournissent des informations sur les activités réservées, etc. Ces systèmes détiennent des volumes de données importants, avec notamment des informations sur les cartes de crédit, potentiellement des informations sur la santé et d’autres données personnelles identifiables et sensibles sur la famille.
Ces systèmes jouent un rôle important en permettant à la famille et au personnel de coordonner les activités et les horaires, ainsi que de suivre et de comptabiliser la consommation d’activités sportives et de loisirs et l’utilisation des différentes installations. Le boutique hôtel local s’est efforcé de faire appel à des fournisseurs locaux, de maintenir l’obligation de rendre des comptes en matière de données et de confidentialité, et d’employer un personnel formé capable d’expliquer en toute transparence et de manière vérifiable les tenants et les aboutissants des données collectées et de leur utilisation. L’hôtel sous franchise procède de manière assez similaire en utilisant des systèmes locaux et en traitant les données en local et conformément aux réglementations locales en matière de gouvernance des données, ce qui améliore la transparence sur les données recueillies. Cependant, en tant que membre d’une entreprise plus importante, qui souvent synthétise et transforme les données, il est moins facile pour le personnel local d’apporter des garanties sur le mode de collecte des données, la manière dont elles sont utilisées et les objectifs poursuivis à l’échelle du groupe.
Le groupe hôtelier international adopte des directives claires en matière de protection de la vie privée, adaptées au marché local et conformes à des réglementations dont la portée est plus vaste, mais il est moins clair sur l’utilisation des données créées en lien avec les comptes de la famille auprès de l’hôtel. En outre, si des informations supplémentaires sont nécessaires, elles ne sont pas immédiatement disponibles localement mais devront être analysées par un service centralisé au niveau de l’entreprise. Compte tenu des sensibilités liées au bien-être mental et physique de l’enfant sensible et de leur statut spécial régi par la loi, l’adulte A et l’adulte C s’inquiètent de l’exposition potentielle des données relatives aux enfants en dehors de la juridiction locale et de l’utilisation des analyses de la société mère internationale, qui opère en vertu d’un cadre réglementaire étranger.
Dans le cadre du Cloud souverain, ce critère concerne donc la responsabilité du Cloud souverain quant à la gestion et l’exploitation potentielle, par qui et où, des données du client ainsi que de l’ensemble des métadonnées de compte et de service associées générées par le fournisseur. L’utilisation courante de systèmes ITSM tiers hébergés sur une solution SaaS, ou l’authentification de l’accès de l’utilisateur final au portail du fournisseur de Cloud hébergé dans une juridiction étrangère, génèrent autant d’inquiétudes par rapport à l’intégrité et au contrôle des données qui doivent être pris en compte par le gardien des données lorsqu’il évalue le véritable niveau de souveraineté de tous les aspects des données s’ils sont hébergées via les différents services de Cloud souverain.
Dans le prochain article, nous aborderons les deux dernières couches du cadre d’évaluation, les activités et la technologie et nous conclurons sur l’hôtel qui remporte la mise.
Pour en savoir plus sur l’approche de VMware en matière de Clouds souverains, contactez-nous, et pour travailler avec nos partenaires afin d’obtenir votre propre évaluation de Cloud souverain, contactez-nous.
