Tout ce que vous devez savoir sur SecNumCloud

Les infrastructures cloud sont des cibles privilégiées pour les cybercriminels étant donné l’importante quantité de données, parfois sensibles, qu’elles stockent. Pour faire face à ce défi stratégique, la certification de sécurité SecNumCloud a été mise en place. Très exigeante, elle est conçue pour protéger les entreprises, les organismes d’État et tout opérateur d’importance vitale contre les intrusions.

Pour vous aider à comprendre les enjeux et les spécificités de SecNumCloud, nous vous présentons dans cet article cette certification, ses atouts et le processus de certification dédié. Vous pourrez ainsi choisir vos services cloud et sécuriser votre entreprise de manière plus éclairée.

Qu’est-ce que SecNumCloud ?

Face à la montée en puissance des cyberattaques et des violations de données, l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) a mis en place la certification SecNumCloud.

Ce référentiel d’exigences est “ un ensemble de règles qui s’impose aux prestataires de service Cloud qui désirent obtenir une qualification de leurs offres ou souhaitent se conformer aux recommandations de sécurité de l’agence. ”

En répondant aux exigences techniques, opérationnelles et juridiques de SecNumCloud, le prestataire de service peut rassurer ses clients en démontrant la qualité de la sécurité des données.

Différents types de prestataires sont concernés et peuvent demander cette qualification :

• IaaS (Infrastructure as a Service)
• CaaS (Containers as a Service)
• PaaS (Platform as a Service)
• SaaS (Software as a Service)

Quelles sont les pratiques de sécurité garanties par une certification SecNumCloud ?

Pour garantir un niveau de sécurité optimal, le référentiel SecNumCloud couvre plus de 360 points d’exigences qui appartiennent à 14 thématiques essentielles de sécurité :

• Politique de sécurité de l’information et gestion du risque ;
• Organisation de la sécurité de l’information ;
• Sécurité des ressources humaines ;
• Contrôle d’accès et gestion des identités :
• Sécurité physique et environnementale ;
• Gestion des actifs ;
• Cryptologie ;
• Sécurité liée à l’exploitation ;
• Sécurité des communications ;
• Acquisition, développement et maintenance des systèmes d’information ;
• Relation avec les tiers ;
• Gestion des incidents liés à la sécurité de l’information ;
• Continuité d'activité d’information ;
• Conformité.

Pourquoi SecNumCloud est essentielle pour la sécurité du cloud ?

L'initiative SecNumCloud s’inscrit dans une volonté européenne d'accroître la sécurité des données notamment via le Cybersecurity Act. Au niveau français, la certification est basée sur la structure de la norme ISO/IEC 27001 et s’avère parfaitement cohérente avec la stratégie cloud du gouvernement.

Quelques faits et chiffres permettent de saisir l’importance de la sécurisation du cloud :

• Les cyberattaques représentaient la première menace pour les entreprises et les collectivités en 2020 ;
• Entre 2019 et 2020, le nombre d’attaques par rangonciels traités par l’ANSSI a été multiplié par 4
• La plateforme Cybermalveillance a observé en 2022 une recrudescence des attaques visant les sites internet professionnels.

Ces tendances fortes démontrent une augmentation massive des risques cyber. Les infrastructures cloud ne sont bien sûr pas à l’abri et doivent se protéger.

Quels sont les atouts pour une entreprise d’être qualifiée SecNumCloud ?

Toute entreprise qui est en mesure d’accéder à la certification SecNumCloud peut en tirer de nombreux avantages. Toutefois, le niveau d’exigence très élevé la limite à un cercle restreint.

Quoi qu’il en soit, les organisations et entreprises certifiées peuvent :

• Certifier un haut niveau de sécurité ;
• Offrir de solides garanties à leur clientèle ;
• Accéder aux appels d’offres stratégiques ;
• Être conforme au Cybersecurity Act.

Ainsi, l’entreprise qualifiée se protège elle-même tout en protégeant efficacement les données de ses clients.

Le processus de certification de SecNumCloud

Si les avantages de la certification sont nombreux, l’obtention de celle-ci est un processus complexe. Il est nécessaire pour l’entreprise ou l’organisation d’y consacrer des ressources importantes sur un temps relativement long.

Répondre aux critères d’éligibilité

En premier lieu, il est nécessaire que le prestataire soit un service de cloud computing de type IaaS, PaaS, SaaS ou CaaS. L’objectif de la certification est avant tout d’assurer la sécurité des données nationales. Par conséquent, le service doit opérer en France, bien que le fournisseur du service puisse quant à lui être basé à l’étranger.

Les étapes nécessaires à la certification

Différentes étapes sont incontournables pour espérer obtenir cette certification :

• Le demandeur doit préparer une documentation détaillée qui démontre sa conformité avec les exigences de la certification SecNumCloud. L’un des documents indispensables est alors le dossier de sécurité qui détaille la manière dont le prestataire répond aux exigences de sécurité de l’ANSSI ;
• Dans un second temps, l’ANSSI va examiner soigneusement le dossier. Si le dossier est recevable, le processus de certification nécessite la programmation d’une série d’audits. Ces derniers sont réalisés par des experts indépendants qui vont évaluer la conformité de l’entreprise avec les exigences de la certification ;
• Si les audits sont passés avec succès, les auditeurs font une recommandation à l’ANSSI. Cette dernière est incontournable pour la délivrance de la certification SecNumCloud.

Pour réussir à passer toutes ces étapes, l’entreprise doit travailler en profondeur sur tous les aspects de sa cybersécurité. En effet, afin de garantir une sécurité optimale des organismes et entreprises accrédités, l’ANSSI rejette toute demande de certification qui comprendrait un incident ou une faiblesse dans le dispositif de sécurité.

Les coûts associés à la certification

Il est difficile d'évaluer à l’avance les coûts nécessaires à la mise en conformité avec SecNumCloud. Cela dépend de l’état actuel du niveau de sécurité de l’entreprise. De nombreuses actions doivent parfois être mises en œuvre avant la demande de certification.

Pour le processus de certification lui-même, il est nécessaire de prévoir les coûts de préparation à la documentation, des audits, mais aussi les coûts de maintenance et de la certification.

Vous pouvez toutefois contacter en amont les auditeurs qualifiés ou directement l’ANSSI afin d’obtenir une estimation plus précise des coûts de la certification.

Une solution robuste et fiable pour sécuriser les services cloud

La certification SecNumCloud est essentielle que vous soyez client d’un prestataire cloud ou prestataire cloud vous-même. Si vous êtes client, disposer d’une plateforme collaborative éprouvée est idéal pour assurer la sécurité de vos données. Si vous êtes un prestataire de services, accéder à la certification SecNumCloud est un moyen efficace de garantir la fiabilité de vos services et rassurer vos clients. L’initiative SecNumCloud s’inscrit dans une démarche globale de préservation des infrastructures critiques qui concerne toutes les parties prenantes du citoyen au consommateur en passant par le professionnel du cloud.

ANSSI, Zoom sur SecNumCloud et la protection des données, site consulté en juillet 2023

ANSSI, Cybersécurité, face face à la menace : la stratégie française, site consulté en juillet 2023

ibid

Cybermalveillance, Chiffres et tendances des cybermenaces : Cybermalveillance.gouv.fr dévoile son rapport d’activité 2022, 2023