Anssi : une nouvelle évolution du SecNumCloud

SecNumCloud, le référentiel d’exigences relatif aux prestataires de services informatique en nuage est un ensemble de règles qui s’imposent aux prestataires qui désirent obtenir une qualification de leurs services dans ce domaine. L’objectif est de promouvoir, enrichir et améliorer l’offre de prestataires de cloud à destination des entités publiques et privées souhaitant externaliser, auprès de prestataires de confiance, l’hébergement de leurs données, leurs applications ou leurs systèmes d’information.  

SecNumCloud a été présenté sous sa première version officielle en 2016, et a connu une révision en 2018 pour aboutir à sa version 3.1. Aujourd’hui en 3.2, ce changement apporte plusieurs modifications, dont notamment l’explicitation des conditions de l’immunité aux lois extracommunautaires.   

Les critères de l’immunité aux lois extracommunautaires   

Faisant l’objet d’un nouvel alinéa, le 19.6, cette modification définit des critères pour les prestataires. Par exemple, une des premières exigences veut que le siège statutaire, l’administration centrale ou le principal établissement du prestataire soit établi au sein d'un État membre de l'Union européenne. Par ailleurs, dans le cas des entités prestataires qui se trouvent hors de l’Union européenne et qui possèdent un capital social et des droits de vote, les sociétés tierces ne peuvent détenir plus de 24% individuellement et 39% collectivement.  

D’autres modifications majeures  

Le référentiel s’ouvre dorénavant aux activités de type Caas (Container as a service). Ce service concerne la mise à disposition d’environnements d’exécution permettant le déploiement et l’orchestration de conteneurs. Celles-ci viennent s’ajouter aux services Saas, Paas, et Iaas.   

De plus, cette nouvelle version de l’Anssi apporte des modifications concernant la sécurité des ressources humaines, avec un renforcement de la vérification des informations relatives au personnel. En outre, une mise à jour des actions de support technique qui nécessitent un accès aux données du commanditaire, c’est-à-dire, n’autoriser l’action qu’après consentement explicite du commanditaire