Les quatre dimensions de la souveraineté des données : un cadre pratique

Dans le premier volet de cette série, J'ai fait valoir que la seule variable sur laquelle toute organisation peut agir est l'emplacement physique de ses données. C'est par là qu'il faut commencer. C'est aussi là que de nombreuses organisations pensent en avoir fini.

Chaque semaine, je constate le même schéma. Une équipe choisit une zone de stockage dans l'UE, vérifie que les données sont bien stockées sur le territoire national et coche la case indiquant que la question de la souveraineté est réglée. La case « emplacement » étant cochée, le projet peut avancer.

Le problème avec cette approche, c’est que la localisation ne constitue qu’une dimension de la souveraineté. C’est certes un fondement indispensable, mais à elle seule, elle ne suffit pas à garantir la souveraineté. Dans un dossier « IDC Spotlight », sponsorisé par Wasabi1, IDC présente une vision globale en quatre dimensions, alors que certaines organisations ne se concentrent que sur la première.

Ce n'est pas une critique. Le marché regorge de revendications de souveraineté qui ne résistent pas à un examen plus approfondi, et il est vraiment difficile de distinguer la véritable souveraineté d'une simple étiquette.

La mise en place d'un cadre est utile, car elle permet de transformer une inquiétude vague en quatre éléments concrets que vous pouvez vérifier.

Les quatre dimensions de la souveraineté des données

IDC définit les quatre dimensions de la souveraineté des données à savoir : données, aspects juridiques, opérationnels et techniques[1].

La dimension « Données » détermine où vos données sont physiquement stockées et qui peut y accéder. C'est justement l'aspect auquel les équipes pensent déjà : la localisation, le chiffrement, le contrôle d'accès.

La dimension juridique il s'agit de savoir quelle juridiction régit vos données, et qui dispose d'un pouvoir de décision en dernier ressort si quelqu'un en fait la demande.

La dimension opérationnelle il s'agit de garantir la continuité et la reprise des activités même en cas de défaillance du fournisseur principal. C'est là qu'interviennent le stockage immuable, la conformité WORM et une sauvegarde véritablement indépendante de votre environnement principal.

La dimension technique il s'agit de préserver la capacité à migrer, à se rétablir et à quitter la plateforme sans dépendre d'un fournisseur. Des API compatibles S3, l'absence de frais de sortie et une portabilité intégrée dès la conception sont les éléments qui permettent de garder cette porte ouverte.

Prendre en compte ces quatre dimensions vous offre un moyen concret d'évaluer où vous en êtes réellement en matière de souveraineté des données, car bien gérer une seule dimension ne revient pas à les gérer toutes les quatre.

Certaines entreprises s'arrêtent à la première dimension

Les études le confirment et montrent que cet écart n'est pas uniforme. L'enquête « IDC CloudOps and Governance Survey » a révélé que, s'agissant des charges de travail les plus critiques, 38 % des entreprises ont accéléré leurs achats d'infrastructure afin d'atténuer les risques et 32 % ont augmenté leurs budgets.[1] Il s'agit là d'une réponse sérieuse visant à protéger les données qui comptent véritablement.

À un niveau inférieur, celui des charges de travail essentielles à l'activité, un nombre croissant d'entreprises adoptent des environnements multi-locataires et vont de l'avant. La rigueur dont elles font preuve pour protéger leurs données les plus précieuses s'atténue lorsqu'il s'agit des volumes de données bien plus importants que détient l'entreprise.

La gestion des risques est inégale, et c'est précisément dans ces inégalités que se cache l'exposition au risque. Un pirate ou une panne ne vérifie pas comment une charge de travail a été classée avant de frapper. Les pirates exploitent les points les moins bien protégés.

Cela ne signifie pas pour autant que toutes les charges de travail doivent être traitées exactement de la même manière. Il s'agit plutôt de savoir quels aspects vous avez réellement pris en compte pour chacune d'entre elles, plutôt que de partir du principe que la case « emplacement » les couvre toutes.

Deux chemins, et l’un d’entre eux mène à la victoire

Lorsqu'on examine la manière dont les organisations comblent ce fossé, deux tendances se dégagent. Certaines optent pour une approche exclusivement géographique : elles choisissent un fournisseur enregistré dans l'Union européenne, conservent l'ensemble de leurs données sur le territoire national et qualifient cette approche de « souveraine ». D'autres adoptent une approche plus pragmatique, privilégiant la flexibilité et la résilience plutôt que les limites géographiques.

L'enquête FERS d'IDC révèle sur quelle approche s'appuient les organisations les plus matures sur le plan numérique. Parmi les « natifs du numérique », 44 % ont cité la diversification des fournisseurs comme stratégie d'approvisionnement, contre seulement 20 % qui ont opté pour des centres de données souverains locaux.[1]

En matière de résilience, 35 % des entreprises privilégient les investissements dans des infrastructures couvrant plusieurs régions et plusieurs zones de disponibilité au cours des 6 à 12 prochains mois, contre seulement 18 % qui investissent dans des centres de données publics ou gérés localement.

Le contraste avec les organisations moins matures est révélateur. Les adeptes du numérique ont tendance à pencher dans l’autre sens, vers des politiques limitant l’hébergement exclusivement à l’Union européenne et aux fournisseurs européens, souvent sans que cela s’accompagne d’une réduction correspondante du risque réel. Cela semble plus sûr parce que c’est plus simple, mais une simple barrière géographique et une véritable résilience ne sont pas la même chose.

Selon IDC, la prochaine étape en matière de souveraineté dans la région EMEA passera par la polyvalence, et non par des restrictions de type « tout ou rien ». Ce qui est intéressant, c’est de comprendre pourquoi les entreprises locales se diversifient. Ce n’est pas uniquement une question de risque de concentration ou de coûts. C’est autant la crainte d’être exclu que celle d’être prisonnier d’un système.

Les organisations avec lesquelles je m’entretiens ne souhaitent pas que leur avenir numérique repose entièrement entre les mains d’un seul fournisseur. Si ce fournisseur décide de supprimer l’accès à un service, se retrouver exclu est tout aussi préjudiciable que d’être prisonnier d’un système. C’est en diversifiant leurs choix vers des technologies ouvertes et compatibles qu’elles s’assurent que cette décision ne revienne jamais à quelqu’un d’autre.

Trois questions pour évaluer votre véritable attitude

Le rapport « IDC Spotlight » résume l'ensemble du cadre à trois questions auxquelles tout dirigeant devrait être capable de répondre.[1] Je les qualifierais de questions relatives au contrôle, car c'est bien ce qu'elles mesurent en réalité.

1. Êtes-vous en mesure de contrôler vos données sensibles ? (Disposez-vous d'une certaine flexibilité et d'un choix de sites, ainsi que d'une bonne visibilité sur les données et d'une bonne portabilité ?)

Voilà pour la dimension « données ». Disposez-vous d'un véritable choix quant à leur emplacement, d'une visibilité sur celles-ci et de la possibilité de les déplacer ?

2. Êtes-vous capable de le gérer et de le diriger de manière autonome ? (Avez-vous le contrôle de la sécurité, des politiques, de la localisation des données et du chiffrement ?)

C'est un aspect que presque personne n'examine d'assez près. Qui contrôle la sécurité, et pouvez-vous créer vos propres clés de chiffrement ?

Si vous conservez vos propres clés, alors même dans le scénario qui inquiète tout le monde, à savoir qu’un gouvernement étranger émette une demande légale concernant vos données, le fait de détenir vous-même ces clés rend cette situation sans importance. Sans elles, les données sont illisibles. Ce simple moyen de contrôle contribue davantage à votre souveraineté qu’un simple changement d’adresse ne pourrait jamais le faire.

3. Pouvez-vous transférer les données si les conditions changent ? (Cet environnement est-il interopérable, portable et transparent ?)

C'est là que le coût fait toute la différence. De nombreux accords dits « souverains » vous permettent en théorie de transférer vos données, mais vous pénalisent dans la pratique par le biais de frais de sortie et de frais d'accès qui rendent ce transfert suffisamment coûteux pour vous faire réfléchir à deux fois. Ce n'est pas ça, le contrôle.

Chez Wasabi, nous considérons que le contrôle est synonyme de prévisibilité. Notre tarification est standardisée et transparente, ce qui me permet d’estimer les coûts de stockage d’un client à trois ou quatre ans. Et les frais d’accès aux données sont nuls. Vous n’êtes jamais pénalisé financièrement lorsque vous accédez à vos propres données ou lorsque vous les transférez.

Si vous répondez « oui » aux trois questions, vous disposez d'une véritable base pour la souveraineté. Si vous ne répondez « oui » qu'à la première, vous disposez d'un emplacement et d'un faux sentiment de sécurité.

Qu'est-ce que cela signifie pour vous ?

Ces quatre dimensions vous fournissent la carte. Les trois questions vous indiquent où vous vous situez sur cette carte. Mais à elles seules, elles ne suffisent pas à construire le système. Répondre « oui » aux trois questions nécessite une architecture mûrement réfléchie, et non la simple promesse d’un fournisseur. C’est là que cette série va maintenant aborder : les décisions pratiques en matière d’infrastructure qui permettent de concrétiser ce cadre conceptuel.

Sources

[1] IDC Spotlight, sponsorisé par Wasabi, « Le cloud sans compromis : intégrer la souveraineté des données dans votre infrastructure grâce à une approche axée sur la résilience et l'atténuation des risques » (Doc. n° US54512826, mai 2026)