La France cherche son « cloud de confiance »

Le « cloud souverain » est mort, vive… le « cloud de confiance » ! La première expression fait encore bondir de rage une bonne partie des professionnels réunis, il y a quelques jours, lors des Assises de la sécurité informatique, à Monaco. L'échec des premières tentatives françaises en 2012 ( Cloudwatt et Numergy ), de protéger comme il se doit les données les plus stratégiques de l'Etat et des entreprises, leur reste en travers de la gorge. Mais l'indiscrétion des lois extraterritoriales américaines et les craintes d'espionnage chinois, poussent le gouvernement à remettre les sociétés informatiques françaises au travail.

L'enjeu consiste à bâtir un abri pour les données hautement sensibles (contrats commerciaux, résultats de R&D, etc.) des entreprises. Le gouvernement craint que les secrets des fleurons français puissent être connus de leurs concurrents mondiaux s'ils sont hébergés par des technologies étrangères. « Nous voulons bâtir ce cloud de confiance à partir de 2020 », pressait Bruno Le Maire début octobre lors d'un discours dans les locaux de Criteo.

Organisés en comité stratégique de filière (CSF), les acteurs français du cloud et de la cybersécurité participent depuis plusieurs mois aux débats avec les autorités afin de définir les impératifs techniques et juridiques du cloud de confiance. Début octobre, le ministre a signalé avoir demandé aux Français OVH et Outscale (Dassault Systèmes) de lui remettre leurs propositions en décembre.

La liste des acteurs n'est pas exclusive, indique l'entourage de Bruno Le Maire alors qu'Orange Business Cloud répond lui aussi être impliqué dans les discussions. Partenaire avec le chinois Huawei pour la couche logicielle de nombre de ses serveurs, l'activité dédiée de l'opérateur télécoms déploie aussi des offres pouvant revendiquer un label de souveraineté 100 % française.

Appel d'offres en cours

En parallèle de ces travaux, la filière est également appelée à constituer des offres adaptées aux contraintes, notamment budgétaires, des administrations publiques. La direction interministérielle des systèmes d'information de l'Etats (Dinsic) a défini trois niveaux de protection nécessaire en fonction de la sensibilité des données qui correspondront à différents appels au marché.

Un appel d'offres est déjà lancé sur le niveau requis pour les administrations publiques à moindre risque. Capgemini, Atos (en partenariat avec SCC) et les suisses de Software One sont en train d'y répondre. Chacun négocie des prix et des garanties de sécurité avec les hébergeurs français, mais aussi américains, ces derniers uniquement pour certaines données de l'administration n'exigeant pas de protection particulière.

Après avoir constitué son catalogue avec plusieurs hébergeurs, le vainqueur de l'appel d'offres pourra conseiller certains ministères peu sensibles, mais surtout les collectivités locales, avant de leur installer ces technologies. « C'est un marché à plusieurs centaines de millions d'euros sur quatre ans », évalue à la louche un acteur.

Sécurité exigée

Pour les informations un peu plus sensibles, notamment celles appartenant à des ministères critiques, les hébergeurs, choisis en direct par l'Etat, devront répondre aux exigences du label SecNum Cloud de l'Anssi.

L'agence de cyberdéfense impose que les données soient strictement hébergées en France, par des acteurs européens. Outscale, OVH et Orange sont en cours de qualification et ont des vues sur ce marché plus petit mais plus rentable. Scaleway, la filiale d'Iliad, suit aussi le dossier de près.

Pour les données à la sensibilité rouge vif, l'Etat va construire sa propre infrastructure. Mais ses services informatiques pourraient se faire aider par des groupes privés au vu des difficultés à trouver et à embaucher des experts du domaine.

En quête de clients

Malmenés par les acteurs américains, les professionnels français du cloud voient la souveraineté comme un bol d'air. « Nous ne demandons pas d'argent public mais des commandes publiques », résume Michel Paulin, le directeur général d'OVH.

Néanmoins, les expériences passées incitent à la prudence. Numergy et Cloudwatt n'avaient jamais trouvé leur clientèle. « Le cloud souverain, opéré par des salariés français, cela coûte plus cher que le cloud opéré un peu partout dans le monde », pointe un observateur. Le secteur aurait intérêt à ce que l'Etat impose le cloud de confiance à certains acteurs économiques.