Comment mesurer la conformité de son infrastructure au projet de framework cloud souverain de l'UE ? Le spécialiste en solutions open source Suse apporte une réponse en proposant un outil en ligne pour évaluer son alignement aux exigences européennes. Rappelons que le projet défendu par la Commission est sujet à controverse : lors de sa présentation en novembre dernier, l'association Cispe réunissant les fournisseurs cloud européens l'avait considéré comme opaque et pouvant même favoriser des hyperscalers étrangers.
« Le Cloud Sovereignty Framework de Suse simplifie la démarche attribuant un score SEAL (Sovereignty Effective Assurance Levels) mesurant le niveau de souveraineté d’une organisation par rapport aux huit objectifs définis par le cadre européen », explique l'éditeur. Ce score SEAL se base sur les critères suivants : stratégique, juridique, data et IA, opérationnel, supply chain, technologie, sécurité et environnement. Pour chacun de ces critères, des questions variées sont posées (par exemple : est-ce que votre fournisseur est sujet à des lois extraterritoriales d'accès aux données ?) avec pour chacune d'elles 5 réponses possibles (allant de non souverain à totalement souverain).
Des résultats donnés à titre indicatif
Cet outil peut être utile mais quelques précautions sont à considérer. « Cet instrument n'est pas une méthode d'évaluation officielle approuvée par l'UE et les conclusions ou recommandations qui vous sont fournies dans l'outil ne constituent pas des conseils juridiques », prévient Suse. En outre, l'éditeur indique qu'il « n'assume aucune obligation légale ni aucune responsabilité concernant les résultats de l'outil ou leur utilisation à des fins de conformité réglementaire ». Pour télécharger le rapport faisant suite au remplissage de ce test, l'éditeur demande par ailleurs des coordonnées (mail, téléphone...) et nécessite d'accepter ses conditions d'usage en vigueur.
L'initiative n'est pas sans rappeler celle lancée en début de semaine par le gouvernement français sur l'indice de résilience numérique. Il comprend 20 critères : cybersécurité, connectivité, compétences, plateformes, data, l’infrastructure,… À ces critères sont associées des catégories de dépendances, opérationnelles, réglementaires, technologiques, stratégiques… En fonction des réponses aux actions entreprises sur les différents critères et catégories, une note entre 0 et 5 est attribuée.