Dans une administration ou une collectivité, le principal levier de sécurité n'est ni un référentiel ni une politique interne : c'est le marché. SecNumCloud est une qualification que l'ANSSI prononce sur un service cloud proposé par un prestataire ; elle ne qualifie pas votre entité, et ne dit rien de la manière dont vos agents se connectent. Son utilité pour une DSI publique est d'offrir un repère opposable au moment de rédiger un cahier des charges et d'analyser des offres.
Cet article propose une lecture opérationnelle et ne constitue pas un avis juridique. Les exigences que vous pouvez imposer dans un marché doivent être liées à son objet et proportionnées : leur rédaction doit être validée avec votre service achat et vos conseils.
Ce que la qualification qualifie, et ce qu'elle ignore
Le dispositif s'appuie sur un référentiel d'exigences techniques et organisationnelles, un audit conduit par un évaluateur, puis une décision de l'ANSSI portant sur un service délimité. Ce référentiel est exigeant sur le contrôle d'accès et l'authentification des accès d'administration du prestataire, le cloisonnement, la journalisation, la protection des données, leur localisation et celle des opérations, et la protection face à des législations extraterritoriales.
Ce qu'il ignore, c'est vous. Comptes de vos agents, administrateurs désignés sur une console client, délégations accordées à un prestataire d'infogérance, parcours de réinitialisation gérés par votre guichet interne : rien de cela n'entre dans le périmètre qualifié. Pour la lecture générale du dispositif et son articulation avec ISO 27001, voyez SecNumCloud et l'authentification.
Une doctrine d'usage du cloud existe par ailleurs dans l'administration et oriente les choix vers un niveau d'exigence renforcé pour les données sensibles. Sa portée exacte et son application à votre situation doivent être vérifiées avec votre direction juridique, en amont de la rédaction du marché.
Écrire des exigences vérifiables plutôt que des intentions
La faiblesse la plus fréquente des cahiers des charges n'est pas le manque d'exigence, c'est l'absence de critère de vérification. Une clause demandant « une authentification forte » ne permet d'écarter aucune offre. Une clause demandant une méthode résistante au relais, une journalisation restituable et une interdiction technique du partage de compte permet de comparer.
| Étape du marché | Formulation fréquente | Formulation plus utile | Ce qu'elle permet de vérifier ensuite |
|---|---|---|---|
| Expression du besoin | « Solution sécurisée conforme à l'état de l'art » | Description des populations et des actions sensibles à protéger | Que l'offre couvre les agents itinérants et les guichets |
| Exigences techniques | « Authentification multifacteur » | Méthodes acceptées et méthodes exclues, résistance au relais | Que le candidat ne propose pas un second facteur contournable |
| Souveraineté | « Hébergement en Europe » | Localisation des données et de l'administration, droit applicable, sous-traitants | Où se trouvent réellement les administrateurs du service |
| Critères d'attribution | Note technique globale | Sous-critère dédié aux accès d'administration et à la traçabilité | Une comparaison argumentée entre offres |
| Exécution | Réunions de suivi | Livrables périodiques : liste des accès, journaux, incidents | Que la promesse tient dans la durée |
| Fin de contrat | « Réversibilité assurée » | Format d'export des identités, des habilitations et des journaux, délai, coût | Que la sortie est possible sans reconstruire les comptes |
Les agents : itinérance, parc hétérogène, absence de terminal
Le secteur public concentre des contraintes que le privé rencontre rarement toutes à la fois. Des agents interviennent sur plusieurs sites dans la même journée. Le parc mêle postes fixes anciens, portables récents et terminaux partagés en accueil. Une partie des agents ne dispose d'aucun téléphone professionnel, ce qui rend illégitime toute méthode reposant sur un appareil personnel. Les guichets manipulent des données d'état civil et des données sociales sur des postes accessibles au public.
Un second facteur reçu par message est donc doublement fragile ici : il suppose un terminal disponible, et le NIST SP 800-63B classe l'OTP par SMS ou voix comme « restricted », c'est-à-dire déconseillé. Les approches qui tiennent sur un parc hétérogène ne dépendent ni d'un modèle de terminal ni d'une connectivité individuelle. C'est le terrain d'un facteur cognitif comme celui de HIAsecure, déployable en overlay d'une MFA existante, conçue, développée et hébergée en France ; la société est engagée dans une démarche de qualification SecNumCloud, aujourd'hui en cours.
Mutualisation : DSI partagées et groupements de commandes
Beaucoup de collectivités passent par une DSI mutualisée, un syndicat mixte ou un groupement de commandes. C'est à la fois une opportunité et un angle mort. L'opportunité : une exigence écrite une fois profite à toutes les entités adhérentes, et le rapport de force face au fournisseur change d'échelle. L'angle mort : la responsabilité de l'authentification se dilue. Qui administre les comptes ? Qui décide de la politique de méthodes ? Qui reçoit les journaux et peut les consulter ? Ces questions doivent figurer dans la convention, pas seulement dans le marché.
Continuité, sortie de contrat, dépendance
La continuité du service public transforme la réversibilité en exigence de fond. Si un service hébergé porte l'authentification des agents, son interruption ferme le guichet. Trois éléments doivent être écrits avant la signature : le mode dégradé sans le service distant, le format de restitution des identités et des habilitations, et le délai au-delà duquel l'entité doit pouvoir fonctionner sans le prestataire. La dépendance à un fournisseur extra-européen ajoute une dimension traitée dans l'article consacré aux risques liés aux législations extraterritoriales.
Par où commencer
- Repérez les marchés arrivant prochainement à échéance : ce sont vos seules fenêtres réelles d'exigence.
- Constituez un jeu de clauses type sur les accès d'administration, la traçabilité, la localisation et la réversibilité, réutilisable par toutes vos consultations.
- Documentez les populations d'agents et leurs contraintes d'équipement avant de choisir des méthodes.
- Reprenez le parcours de réinitialisation au guichet interne : le contournement le plus simple d'une authentification renforcée.
- Clarifiez la répartition des rôles avec votre structure mutualisée, dans une convention écrite.
- Testez une sortie sur un service secondaire avant de dépendre d'un service critique.
FAQ
Peut-on exiger la qualification dans un marché public ?
Les exigences imposées doivent être liées à l'objet du marché et proportionnées ; leur rédaction relève de votre service achat et de vos conseils. En pratique, il est plus robuste d'exprimer le niveau d'exigence attendu et les modalités de preuve que de citer un dispositif comme condition d'accès.
Une collectivité peut-elle être « qualifiée SecNumCloud » ?
Non. La qualification vise des prestataires de services cloud et porte sur le service qu'ils opèrent. Une collectivité peut en revanche imposer ce niveau d'exigence aux briques qu'elle externalise, et le formaliser dans ses marchés.
Comment authentifier des agents sans terminal professionnel ?
En écartant toute méthode supposant l'usage d'un appareil personnel, ce qui n'est ni imposable ni souhaitable. Restent les facteurs mémorisés, les supports physiques fournis par l'employeur et les mécanismes fonctionnant sans connectivité individuelle, à arbitrer population par population.
Que prévoir concrètement pour la fin de contrat ?
Le format et le périmètre de restitution des identités, des habilitations et des journaux, le délai d'exécution, le coût associé, et la durée pendant laquelle le prestataire reste tenu d'assister la reprise. Sans ces éléments, la réversibilité reste une intention.
Aller plus loin : le pilier : authentification cognitive · SecNumCloud, lecture générale · NIS2 et le secteur public · choisir une solution d'authentification