SecNumCloud est le référentiel de qualification des prestataires de services d'informatique en nuage publié par l'ANSSI. Il définit des exigences de sécurité, d'exploitation et de gouvernance qu'un fournisseur doit satisfaire pour être qualifié, à l'issue d'un audit mené par un organisme accrédité.
Deux volets complémentaires
Le référentiel combine des exigences techniques et organisationnelles — chiffrement, gestion des accès et des administrateurs, journalisation, continuité d'activité, gestion des vulnérabilités, sécurité physique — avec des critères de protection juridique visant à limiter l'exposition du service à des législations extraterritoriales, notamment en matière de localisation des données, de contrôle du capital et de gouvernance.
Ce second volet distingue SecNumCloud d'une certification purement technique comme l'ISO/IEC 27001 : il traite du risque juridictionnel, et non seulement du niveau de sécurité.
Où la qualification s'impose
Elle est attendue pour l'hébergement de données sensibles de l'État et de certains opérateurs, et elle sert de plus en plus de critère de sélection dans les appels d'offres publics comme dans les secteurs régulés. Pour un service d'authentification, l'enjeu est direct : il détient le point de contrôle d'accès de l'ensemble des applications qu'il protège.
La solution HIAsecure est conçue, développée et hébergée en France, et la qualification SecNumCloud est en cours — une démarche engagée, qui ne vaut pas qualification obtenue tant que l'audit n'est pas achevé.
Aller plus loin : SecNumCloud et l'authentification · choisir une solution d'authentification française · héberger ses données d'authentification en France · l'authentification cognitive