Externaliser ses données dans le cloud ne consiste plus seulement à comparer des fonctionnalités, des performances et des tarifs. Pour les systèmes sensibles, le choix du fournisseur engage également la maîtrise du risque cyber, la continuité d’activité, la localisation des traitements et l’exposition à des législations extraterritoriales. Dans ce contexte, la qualification SecNumCloud constitue une référence française majeure. Mais faut-il l’exiger pour tous les projets cloud ?

La réponse est non. SecNumCloud n’est ni un label générique applicable à tout un fournisseur, ni une garantie automatique de sécurité pour les applications qui y sont hébergées. Il s’agit d’une qualification attribuée par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) à une offre précisément délimitée. Son intérêt dépend donc de la sensibilité des données, du niveau de menace, des obligations applicables et de l’architecture du service.

À retenir SecNumCloud devient particulièrement pertinent lorsque la confidentialité, la résilience et la protection juridique des données constituent des exigences fortes. La bonne décision repose d’abord sur une analyse de risques et sur la vérification du périmètre exact de l’offre qualifiée.

SecNumCloud : de quoi parle-t-on exactement ?

Créé par l’ANSSI, SecNumCloud est un référentiel d’exigences destiné aux prestataires de services cloud. La qualification associée reconnaît un niveau élevé de sécurité et de confiance sur trois dimensions complémentaires : technique, opérationnelle et juridique. Elle peut concerner des offres IaaS, PaaS, SaaS ou CaaS, à condition que le service évalué entre dans le périmètre prévu par le référentiel.

La démarche ne se limite donc pas à vérifier quelques mesures de chiffrement ou la présence d’une certification ISO 27001. Elle couvre notamment la gouvernance de la sécurité, la gestion des identités et des accès, l’administration, la journalisation, la gestion des incidents, la continuité, la sécurité physique, les relations avec les sous-traitants et les garanties juridiques entourant le service.

La qualification est délivrée pour une durée de trois ans, sous réserve du maintien des engagements du prestataire, avec des audits annuels de surveillance. Elle porte sur une offre donnée, dans une version et un périmètre définis. Un fournisseur proposant une offre qualifiée peut donc commercialiser, à côté, d’autres services qui ne le sont pas.

Ce que SecNumCloud garantit, et ce qu’il ne garantit pas

SecNumCloud aide les organisations à sélectionner une offre conçue pour protéger des données et traitements sensibles face à des risques élevés. Le référentiel apporte notamment des garanties sur :

• la robustesse des mesures de sécurité mises en œuvre par le prestataire ;
• la maîtrise des opérations d’administration et des accès privilégiés ;
• la traçabilité, la détection et le traitement des incidents ;
• la résilience du service et l’organisation de la continuité ;
• la prise en compte des sous-traitants et de la chaîne d’approvisionnement ;
• la protection des données au regard du droit européen et des risques liés aux lois extraterritoriales.

En revanche, héberger une application sur une infrastructure qualifiée ne rend pas automatiquement cette application sécurisée. Le client reste responsable de ce qui relève de son périmètre : configuration des services, gestion des habilitations, développement applicatif, correction des vulnérabilités, sauvegardes, supervision, classification des données et gestion des postes d’administration.

Point de vigilance « Hébergé sur une offre SecNumCloud » et « service SaaS qualifié SecNumCloud » ne signifient pas la même chose. Dans le premier cas, seule la couche d’hébergement peut être qualifiée. Dans le second, l’offre SaaS elle-même doit apparaître dans le catalogue officiel de l’ANSSI avec son périmètre et ses conditions d’utilisation.

Dans quels cas SecNumCloud est-il réellement nécessaire ou recommandé ?

1. Vous traitez des données sensibles ou stratégiques

SecNumCloud est à considérer lorsque la compromission, l’indisponibilité ou la divulgation des données aurait un impact majeur : secrets d’affaires, données de recherche sensibles, informations relatives à des infrastructures critiques, dossiers stratégiques, données de sécurité, données industrielles à forte valeur ou informations dont la fuite pourrait affecter la souveraineté ou la continuité d’une activité essentielle.

2. Votre menace de référence dépasse la cybercriminalité courante

Une organisation exposée à l’espionnage, à des attaquants étatiques ou à des campagnes ciblées doit intégrer des exigences plus fortes que celles d’un service bureautique standard. La concentration des données et les fonctions d’administration mutualisées rendent les environnements cloud attractifs pour des attaquants avancés.

3. Une doctrine, un contrat ou une autorité l’impose

Pour certains usages de l’État et certaines données sensibles, la doctrine « Cloud au centre » prévoit le recours à des offres qualifiées SecNumCloud. Dans le secteur privé, l’exigence peut également découler d’un contrat, d’un appel d’offres, d’une politique groupe ou d’une analyse de risques sectorielle.

4. La protection contre les lois extraterritoriales est déterminante

Lorsque le risque d’accès à des données européennes par une autorité étrangère est jugé inacceptable, la dimension juridique du référentiel devient centrale. La version 3.2 renforce cette protection. Il faut toutefois examiner précisément la structure du fournisseur, ses sous-traitants et les conditions attachées à l’offre qualifiée.

5. Vous devez démontrer un niveau de confiance élevé à vos clients

Exiger une offre qualifiée peut faciliter la justification d’un choix d’hébergement auprès d’un donneur d’ordre, d’un régulateur ou d’un comité de risques. Cette preuve ne remplace pas la propre démarche de conformité du client, mais elle réduit l’incertitude sur le socle fourni par le prestataire.

Dans quels cas une offre non qualifiée peut-elle rester adaptée ?

Le recours à SecNumCloud n’est pas systématiquement proportionné. Pour un site vitrine sans données sensibles, un environnement de développement alimenté par des données fictives ou un service à faible impact métier, une offre non qualifiée peut être acceptable si elle répond aux exigences issues de l’analyse de risques.

Dans ce cas, la décision doit rester documentée. Il convient au minimum d’évaluer la certification du prestataire, les engagements contractuels, la localisation des données, les mécanismes de chiffrement, la gestion des clés, les options de journalisation, la sauvegarde, la réversibilité, les sous-traitants et la capacité à notifier et traiter les incidents.

La grille de décision : votre organisation a-t-elle besoin de SecNumCloud ?

Question à trancher	Signal en faveur de SecNumCloud	Élément de preuve attendu
Quel serait l’impact d’une fuite ou d’une altération ?	Impact métier, juridique, industriel ou souverain élevé	Classification des données et analyse d’impact
Qui est susceptible de cibler le service ?	Attaquant avancé, espionnage ou menace étatique	Analyse de la menace et scénarios de risque
Existe-t-il une exigence formelle ?	Doctrine publique, contrat, appel d’offres ou politique interne	Texte applicable ou clause contractuelle
Le droit extraterritorial est-il un risque majeur ?	Accès potentiel jugé incompatible avec les enjeux	Analyse juridique et cartographie des sous-traitants
Le service est-il critique pour l’activité ?	Faible tolérance à l’arrêt ou à la perte de données	RTO, RPO et exigences de continuité
Pouvez-vous maîtriser la configuration côté client ?	Équipe capable de sécuriser et superviser le tenant	Matrice de responsabilité et plan de contrôles

Plus les réponses de la deuxième colonne sont nombreuses, plus l’exigence SecNumCloud est justifiée. La décision finale doit néanmoins tenir compte de l’offre fonctionnelle disponible, du coût de migration, des contraintes d’intégration et de la capacité à exploiter correctement le service.

Sept vérifications avant de retenir une offre SecNumCloud

Vérifier l’offre exacte

Consulter le catalogue officiel de l’ANSSI. Ne pas se contenter du nom du fournisseur ou d’une mention commerciale « cloud de confiance ».

Lire la décision de qualification

Identifier le type de service, la version, la date de validité, les conditions d’utilisation et les éventuelles restrictions.

Contrôler la chaîne de services

Cartographier les briques IaaS, PaaS, CaaS, SaaS, les interconnexions et les sous-traitants. Une seule brique qualifiée ne couvre pas nécessairement toute la chaîne.

Clarifier le partage des responsabilités

Formaliser qui protège les identités, les configurations, les données, les journaux, les sauvegardes, les applications et les terminaux d’administration.

Préparer la réversibilité

Définir les formats d’export, les délais, les coûts, l’effacement des données et les conditions de sortie. Une clause de réversibilité réduit la dépendance au fournisseur.

Tester l’exploitation sécurisée

Valider l’intégration avec l’IAM, le MFA, le SIEM, les outils de gestion des vulnérabilités et les processus de réponse à incident.

Conserver une approche de défense en profondeur

Maintenir les revues d’habilitation, les audits, les tests de restauration, la supervision et les contrôles de configuration après la migration.

SecNumCloud, ISO 27001 et HDS : des objectifs différents

Ces référentiels ne sont pas interchangeables. ISO 27001 certifie un système de management de la sécurité de l’information sur un périmètre donné. HDS encadre l’hébergement de données de santé à caractère personnel en France. SecNumCloud qualifie une offre cloud selon des exigences techniques, opérationnelles et juridiques définies par l’ANSSI. Selon le contexte, plusieurs reconnaissances peuvent être nécessaires et se compléter.

Conclusion : choisir SecNumCloud en fonction du risque, pas par réflexe

SecNumCloud constitue un choix de référence pour les organisations qui doivent protéger des données sensibles, résister à des menaces avancées et limiter leur exposition juridique. Mais l’exigence doit être ciblée : elle porte sur une offre précise et ne dispense jamais le client de sécuriser ses propres usages.

La démarche la plus robuste consiste à classer les données, analyser les impacts et la menace, identifier les obligations, puis confronter ces besoins au périmètre des offres qualifiées disponibles. Ce travail permet d’éviter deux erreurs opposées : sous-protéger un système critique ou imposer un niveau de qualification disproportionné à un service peu sensible.

Besoin d’accompagnement ? ORNISEC accompagne les organisations dans la classification de leurs données, l’analyse de risques, la définition des exigences cloud, l’évaluation des prestataires et la sécurisation des environnements hébergés.

Sources institutionnelles

• ANSSI – Cloud : posture, qualification SecNumCloud et recommandations
• ANSSI – FAQ avant de se lancer dans la qualification SecNumCloud
• ANSSI – Recommandations pour l’hébergement dans le cloud des SI sensibles

ANSSI – FAQ sur les recommandations d’hébergement des SI sensibles