Collaborer et partager en toute sécurité

Dès 2014, la direction interarmées des réseaux d’infrastructure et des systèmes d’information de la Défense (DIRISI) recherchait pour le ministère des Armées une solution sécurisée d’échanges de fichiers et, pour ce faire, elle s’est tournée vers la plateforme souveraine Oodrive Work. A l’heure actuelle, 200 000 licences ont été déployées contre 50 000 en 2019 et 4000 en 2014. Dans la lignée du ministère des Armées, de nombreuses organisations publiques et grands comptes privés s’équipent ou envisagent de s’équiper de plateformes cloud de partage et de collaboration sécurisées surtout pour gérer les données les plus sensibles. C’est par exemple le cas de l’Assemblée Nationale qui utilise la plateforme Wimi depuis de nombreuses années pour ses échanges de fichiers entre parlementaires tout comme le ministère de la Justice. Autre exemple, celui de Vinci Energies qui exploite la solution de NetExplorer pour partager ses fichiers vers l’extérieur à l’égal de BPI France, sans oublier la DGFIP qui héberge dans son cloud Nubo la plateforme de Jalios.

« Depuis le covid, nous constatons cette émergence, les décideurs ont besoin d’espaces sécurisés pour des données sensibles parfois sur un laps de temps très court, j’ai l’exemple d’un projet interne qui a duré six mois, une fois terminé l’espace a été désactivé », souligne Jérôme Flament, fondateur et CEO de Flexcloud. En effet, la crise sanitaire, qui a provoqué la généralisation du télétravail, a obligé les entreprises à revoir la manière d’échanger des fichiers et, plus généralement, avec la multiplication des environnements hybrides et multi-cloud, les entreprises recherchent des outils flexibles, sécurisés et accessibles en mobilité pour échanger des fichiers, les transférer pour ensuite interagir avec d’autres, en interne ou en externe. De son côté, Lionel Roux, directeur général de Wimi, qui constate effectivement un accroissement de la demande, avance aussi un autre argument : « Les OIV (opérateurs d'importance vitale) et les OSE (opérateurs de services essentiels) répondaient à leurs besoins collaboratifs en faisant du on premise autour des offres de Microsoft mais l’éditeur met fin au support de ces solutions, ce qui permet à ces mêmes entreprises de regarder du côté des offres alternatives. »

Des plateformes toujours plus riches en fonctionnalités

De plus, pour Sylvain Lefeuvre, responsable des ventes chez Oodrive, la demande est bien présente et va même s’accroître car les entreprises ne souhaitent plus être contraintes ou limitées par des règlements extra-communautaires. « La loi américaine, plus exigeante envers la Chine, pourrait indirectement brider ou restreindre certaines entreprises françaises et européennes dans leurs investissements en Chine. De ce fait, les entreprises concernées seraient plus enclines à s’orienter vers des solutions souveraines et plus sécurisées », explique-t-il. En effet, selon le porte-parole de l’éditeur, le décret présidentiel aux USA interdisant le transfert de données personnelles vers des pays qualifiés d’inquiétants s'appliquera pleinement aux européens et impliquera une modification profonde de leurs stratégies et contrats commerciaux. En renforçant le décret de 2019 de Donald Trump interdisant l'accès de certains acteurs à des technologies et matériels sensibles, le président Joe Biden interdit désormais aux acteurs US de transférer ou d'intégrer dans une transaction des données personnelles d'américains qualifiées de sensibles. La définition donnée par le décret présidentiel est extrêmement large et comprend les données de santé, financières, de géolocalisation et même les personal identifiers. Il est toutefois important de souligner qu'il faut attendre l'Attorney General qui publiera d'ici fin août le document d'application de ce décret afin de connaître plus précisément les mécanismes envisagés. Pour cette raison, Oodrive met en avant sa plateforme comme un véritable rempart surtout qu’elle est, pour l’heure, la seule solution collaborative à être qualifiée SecNumCloud (voir partie 2) par l’ANSSI.

A ce titre, la sécurité est au cœur des différentes plateformes évoquées dans cette enquête. Pour Alain Garnier, dirigeant de Jamespot, il faut avoir cette culture de cybersécurité, l’éditeur n’hésite d’ailleurs pas à soumettre ses solutions à des équipes de hackers pour les évaluer. « C’est ce que nous faisons avec les bug bounty permettant de renforcer la sécurité de nos solutions, des élèves d’une école viennent ainsi volontairement nous attaquer et les failles ainsi relevées, nous les corrigeons », précise Alain Garnier. Plus globalement, les éditeurs apportent au cœur de leurs offres des mécanismes avancés de protection comme le chiffrement de bout en bout, la traçabilité via des filigranes ou encore le tatouage numérique. Et de plus en plus, il est même possible de signer électroniquement les documents dans cet espace sécurisé comme le font par exemple Oodrive et Wimi. « Nous exploitons la signature d’Universign qualifiée eIDAS et nous allons aussi nous interfacer avec Yousign, deux solutions reconnues par l’Anssi », précise à ce titre Lionel Roux. Idem pour Oodrive qui dispose de sa propre offre baptisée Sign, elle aussi souveraine et conforme à eIDAS. Au-delà de ces hubs sécurisés, les plateformes proposées aujourd’hui pour la majorité des éditeurs se sont enrichies de fonctionnalités en ajoutant la vidéo, le mail et même la bureautique en s’adossant souvent à des éditeurs ou solutions tiers. L’objectif pour ces éditeurs est de se positionner comme de véritables alternatives à MS 365 et Google Workspace en couvrant au moins 80 % des besoins des utilisateurs. Mais pour conquérir le marché, il en faudra bien plus car Microsoft et Google s’accaparent à eux deux environ 90 % du marché.

Seule solution qualifiée SecNumCloud de notre dossier, Oodrive Work évolue (dans sa dernière version Horizon) et s’affirme déjà comme un espace collaboratif de confiance permettant de gérer les données sensibles des entreprises, mais aussi comme une alternative à MS 365 et à Google Workspace. « Dans Oodrive Work (version Horizon), les entreprises bénéficient désormais de la suite bureautique Collabora non soumise aux lois extra-territoriales, de la signature électronique de documents et d’ici à cet été, du chat. A la fin de l’année, Oodrive Work devrait même s’enrichir, via des partenariats, d’un outil de visioconférence et du mail. Avec Oodrive Work Horizon, nous créons des bulles de confiance (les TeamsSpace) dans lesquelles tous les acteurs du projet peuvent échanger, collaborer, modifier et même signer des documents, ces derniers ne sortiront jamais de leur bulle sécurisée. Prenons l’exemple d’une mairie, les utilisateurs internes mais aussi ceux d’un partenaire externe échangent leurs données, via des répertoires partagés privés ou publics, sans avoir accès au système d’information de la mairie, les accès étant protégés par une authentification forte », détaille Sylvain Lefeuvre, responsable des ventes chez Oodrive.

Avec NetExplorer Share et NetExplorer Workspace, l’éditeur NetExplorer se positionne comme un spécialiste de la gestion documentaire avancée et sécurisée pour les PME, les ETI et les organismes publics. « Nous apportons des fonctionnalités clés permettant aux entreprises, interconnectées à des outils tiers, d’échanger des fichiers vers l’extérieur de manière sécurisée », précise Bertrand Servary, CEO de NetExplorer. Par sécurité, l’éditeur exploite plusieurs mécanismes comme le chiffrement, le tatouage numérique, le filigrane automatique, la double authentification ou encore la gestion des privilèges et droits d’accès. A noter que NetExplorer fait aussi valoir ses certifications (ISO 9001, ISO 27001 et HDS). Pour Bertrand Servary, il n’est pas question de s’éparpiller vers d’autres fonctions en ajoutant de la vidéo ou du mail, l’objectif est bien de rester dans son ADN de la gestion documentaire, plutôt en enrichissant sa plateforme de nouveaux outils comme la classification des données par exemple. « Pour éviter un entassement des données, il faut pouvoir les identifier, les classer et les authentifier sans perturber le quotidien des utilisateurs et pour cela, l’usage de l’IA est un réel atout », indique à ce titre Bertrand Servary.

Une solution Jamespot avec des partenaires

De son côté, l’éditeur français Jamespot, surtout connu au départ pour Agora, son réseau social concurrent de MS Yammer (désormais MS Viva Engage) et son intranet collaboratif Smart Place, joue aussi sa partition en mettant en avant sa suite CollabNext, lauréate de France Relance 2030 et concurrente de MS 365 et de Google Workspace. Comme le rappelle Alain Garnier, président et co-fondateur de Jamespot, CollabNext s’inscrit dans une démarche souveraine, de confiance et de sécurité, avec un déploiement sur une infrastructure hébergée en France et avec une qualification SecNumCloud en ligne de mire. Dans cette suite, Jamespot travaille avec 12 partenaires dont Datakeen (pour l’IA), Alinto (pour serveur mail), Outscale (pour l’hébergement), mais aussi avec l’éditeur allemand NextCloud dont la suite de Jamespot vient juste en support de compatibilité. A noter que NextCloud, équivalent d’un DropBox à l’origine, est devenu une véritable plateforme européenne auto-hébergée de partage et de collaboration basée sur des modules en open source. Dernièrement, la solution auto-hébergée webmail RoundCube a rejoint NextCloud, ensemble, ces deux acteurs souhaitent renforcer cette collaboration décentralisée et sécurisée que réclament notamment les pouvoirs publics européens. A ce titre, les 300 000 agents du ministère de l’Intérieur utilisent déjà NextCloud depuis 2019 pour échanger leurs données depuis leurs postes de travail. NextCloud a d’ailleurs conclu plusieurs partenariats en France dont l’un avec le spécialiste du stockage objet Leviia qui, via Leviia Next, permet de déployer l’offre NextCloud à grande échelle.

Dans la lignée de Jamespot, Talkspirit s’est fait connaître à l’origine, plus précisément en 2008, pour son réseau social et son intranet, puis à partir de 2015, comme l’indique Philippe Pinault, co-fondateur et CEO de l’éditeur, Talkspirit s’est enrichi du chat (concurrent de Slack à l’époque), d’un drive, de la bureautique en ligne (avec OnlyOffice) et de la vidéo (avec Jitsi). L’intégration de la messagerie mail, commercialement disponible d’ici à la fin de l’année, avec BlueMind va contribuer à franchir un pas de plus vers une véritable alternative (certifiée ISO 27001) à MS 365 et à Google Workspace. A ce titre, les équipes de développement de l’éditeur s’appliquent à améliorer l’expérience de l’utilisateur en mettant surtout l’accent sur les 30 % des fonctions exploitées par 90 % des utilisateurs. Cette expérience de l’utilisateur va de pair avec l’accompagnement qu’apporte l’éditeur à ses clients. « Les pratiques des utilisateurs sont encore très centrées autour du mail dans les entreprises, l’accompagnement est donc indispensable pour les orienter davantage vers le partage comme le font déjà les jeunes générations », précise d’ailleurs Philippe Pinault.

Des offres développées pour des clients

Pour sa part, Flexcloud, un autre éditeur français, est né en 2009 par la demande d’une ONG d’une solution de mail privée, sécurisée et hébergée en France. Se sont ensuite greffée une solution cloud de stockage et de partage de documents, puis une fonction d'édition collaborative de documents, et enfin des outils de visioconférence et de signature électronique. Ainsi, les utilisateurs peuvent signer leurs documents via un simple clic qui va ensuite utiliser le moteur de génération de signature DocuSign. « Nous travaillons à améliorer la souveraineté de cette fonctionnalité par l’intégration locale du moteur de signature, comme nous l'avons fait pour la coédition de documents et la visioconférence et comme nous le ferons pour l'IA », précise toutefois Jérôme Flament, CEO de Flexcloud. Sur la partie mail, des améliorations seront aussi apportées dans un avenir proche, notamment sur l’interface utilisateur, des pourparlers sont en cours avec un éditeur. De même, Flexcloud intègre Only Office dans sa plateforme pour la bureautique. Comme Oodrive, Flexcloud répond aux besoins des entreprises qui souhaitent gérer des données sensibles dans un espace de confiance et sécurisé, la plateforme est d’ailleurs hébergée chez OVH.

Si au départ, le premier cas d’usage de Wimi a été de fournir un environnement drive de type DropBox, par la suite, l’offre s’est largement enrichie de fonctionnalités comme la visioconférence, l’agenda, le réseau social puis la signature électronique et l’email. En s’appuyant également sur Only Office pour la bureautique, Wimi peut remplacer, comme le rappelle Lionel Roux, directeur général de Wimi, les offres de Microsoft et de Google. Et l’argument qui fera bientôt la différence, c’est la qualification SecNumCloud qui devrait être définitive d’ici à septembre 2024. A ce titre, la sécurité est une priorité chez Wimi. « Nous sommes en cours d’intégrer un système de chiffrement de bout en bout et un mécanisme de tatouage numérique permettant de certifier l’origine du document », souligne Lionel Roux, l’éditeur revendiquant 450 000 utilisateurs pour 2000 clients payants.

Enfin, Jalios, qui fête ses 23 ans d’existence, se place déjà comme une alternative à Microsoft et Google avec son offre souveraine Workplace Liberty ainsi que sa suite Jalios Open Suite lancée il y a deux mois. A noter que contrairement à Jalios Open Suite, Liberty est un composant de cette suite qui n’intègre pas le mail, le calendrier et la bureautique. Pragmatique, Jalios se place aussi comme un complément des offres américaines avec ses solutions Workplace pour Google et Workplace pour Microsoft 365. Par les points différenciants de Jalios, Jean-François Pellier, directeur commercial de Jalios, met en avant son écosystème d’intégrateurs qui développe des outils complémentaires alimentant ainsi sa marketplace ; l’architecture ouverte, via des API, et modulaire qu’offre la plateforme de Jalios permet justement aux entreprises d’avoir cette liberté de choix. A ce titre, Jalios envisage de renforcer les interconnexions avec les applications métiers et de développer en parallèle plus de verticaux (autour des experts comptables par exemple pour les échanges documentaires).

« L’IA générative, nous l’avons déjà intégrée à notre plateforme, elle aide par exemple l’utilisateur à rédiger un article, à faire un résumé, à suggérer du contenu ou encore dans la transcription multilingue. Pour ce faire, nous exploitons plusieurs LLM, d’OpenAI à Mistral en passant par Gladia, nous laissons le choix aux entreprises de choisir en fonction de la criticité de leurs données », indique Jean-François Pellier, directeur commercial de Jalios. A l’instar de ce dernier, les nombreux éditeurs sondés dans ce dossier exploitent l’IA générative pour la production de contenu, c’est le cas chez Jamespot avec JamesBot, un assistant qui se présente sous la forme d’un chatbot à qui l’on peut demander de générer du texte grâce à un simple prompt. Si Alain Garnier reconnaît travailler avec plusieurs LLM (Mistral, OpenAI), demain, la meilleure solution serait de se connecter au LLM de l’entreprise entrainé pas ses propres données via une API. De son côté, FlexCloud exploite aussi l’IA générative pour aider les utilisateurs à écrire du contenu. « Nous intégrons dans nos solutions l'IA générative qui est utilisée principalement pour la génération de texte et de données pour une exploitation immédiate via la suite bureautique et la rédaction de mails. Nous utilisons l'interrogation du modèle de données OpenAI qui n'apporte pas entière satisfaction au niveau souveraineté et éthique, nous proposerons donc prochainement une solution IA locale avec des modèles IA hébergés sur nos plateformes en France », révèle Jérôme Flament, CEO de Flexcloud.

A la recherche d’une IA de confiance

Une offre IA sur étagère et souveraine, c’est aussi ce que recherche Philippe Pinault, cofondateur et CEO de Talkspirit, pour l’heure, l’éditeur découvre les cas d’usages en intégrant plusieurs LLM disponibles du marché. Talkspirit exploite l’IA dans trois domaines : l’assistance à la rédaction de contenu, l’assistance aux utilisateurs dans l’accès et la recherche d’informations et l’assistance à l’utilisateur au quotidien pour améliorer sa productivité, en lui suggérant par exemple de manière proactive des contenus. Chez Wimi, l’IA est évaluée autour de l’offre Mistral AI, selon Lionel Roux, directeur général de l’éditeur, elle sert à synthétiser et à rédiger du texte dans un mail par exemple, dans la vidéo pour effectuer de la transcription automatique et même, à terme, dans la recherche d’information. Pour le dirigeant de Wimi, cette IA prendra vraiment ce virage éthique et souverain lorsqu’elle sera hébergée en interne. Cette IA souveraine, française ou européenne, c’est d’ailleurs une priorité pour Oodrive dans sa réflexion actuelle sur l’apport de l’IA pour sa plateforme selon Sylvain Lefeuvre, responsable des ventes de l’éditeur. Quant à l’éditeur NetExplorer, l’objectif est de privilégier une IA open source pour ses développements futurs, notamment dans la classification et la recherche des données. Cet engouement pour l’IA générative, l’Anssi le constate, l’organisme a d’ailleurs récemment publié un rapport pour sensibiliser les éditeurs et entreprises et pour promouvoir les bonnes pratiques à mettre en œuvre depuis la phase de conception et d’entrainement d’un modèle IA jusqu’à la phase de déploiement.

A cause des réglementations contradictoires et des signaux divergents, il n’est pas toujours simple pour un éditeur français ou européen d’évoluer sereinement sur leurs marchés nationaux face aux géants américains. En exemple, celui de la Dinum (Direction interministérielle du numérique) qui annonce cet été sa solution collaborative baptisée Suite Numérique et basée sur divers outils en open source alors qu’il existe déjà sur le marché des solutions d’éditeurs français et européens comme celles que nous décrivons dans cette enquête. « La Dinum nous envoie un message pour le moins confus, quelques semaines seulement après le financement de projet (ndlr : programme inscrit dans le plan France Relance 2030), dont la finalité est d’accélérer le développement de plusieurs suites bureautiques et collaboratives. Plus généralement, l’écosystème se mobilise régulièrement pour appeler nos gouvernants à faire preuve de plus d’audace en fléchant, par exemple, une partie de sa commande publique vers son écosystème. C’est par sa commande que nos entreprises peuvent se développer durablement plus que par la subvention », alerte Philippe Pinault, co-fondateur et CEO de l’éditeur Talkspirit. Un avis que partage aussi Lionel Roux, directeur général de Wimi : « Certes, le plan France 2030 va dans la bonne direction mais l’annonce faite par la Dinum va, elle, à l’encontre de la doctrine de l’Etat et de l’Anssi. L’Etat va donc nous financer à plusieurs millions d’euros mais il nous ferme à la commande publique. De plus, la Dinum n’est pas un éditeur de logiciels, il ne suffit pas d’assembler des briques open source, la création de logiciels est un métier. »

Rappelons que c’est au travers du plan France 2030 qu’ont été retenus trois projets de suite collaborative dont celles de Jamespot, Wimi et Intersis, ces trois acteurs ont bénéficié d’une enveloppe pour financer leur passage à l’échelle. Cette façon de faire de la DINUM n’est pas sans nous rappeler l’épisode des clouds souverains Numergy et Cloudwatt, ces derniers ont entre autres été lancés par des investissements massifs de l’Etat alors que sur le marché, des acteurs comme OVH, Ikoula ou Cheops Technology étaient déjà bien implantés.

Ce signal divergent est aussi à mettre en parallèle à celui du match entre la loi française SREN face à la future certification européenne EUCS. D’un côté, l’article 10 Bis A de la loi SREN – votée par le Parlement français le 10 avril dernier – impose pour les administrations et les opérateurs de l’Etat d’héberger leurs données sensibles sur des solutions souveraines qualifiées SecNumCloud. De l’autre, la dernière version du projet du schéma européen de certification des services cloud (EUCS) écarterait le critère de sécurité juridique (soutenu par la France et son SecNumCloud 3.2) pour les données les plus sensibles. Dans ce contexte paradoxal, difficile donc d’y voir clair pour les entreprises pour le moment. Une chose est sûre, Guillaume Poupard, ancien dirigeant de l’ANSSI, est monté au créneau dans une tribune sur LinkedIn en demandant la réintégration du critère de sécurité juridique dans le schéma de l’EUCS pour limiter l’impact des lois extra-territoriales notamment le Cloud Act et le FISA américains, mais également la réglementation chinoise. Le Cigref et 18 sociétés œuvrant dans 13 pays européens ont fermement critiqué la dernière version d’EUCS supprimant le critère de sécurité juridique. In fine, le schéma final retenu d’EUCS aura-t-il le dernier mot sur l’article 10 BIS A de la loi SREN et qu’adviendra-t-il concrètement de SecNumCloud ?

SecNumCloud, un processus long et coûteux

Pour Sylvain Lefeuvre, responsable des ventes chez Oodrive, l’Anssi va rester maître des OIV (opérateurs d'importance vitale) et des OSE (opérateurs de services essentiels) en France, l’EUCS ne viendra pas les impacter. C’est d’autant plus vrai que les règlements NIS 2 ou encore DORA vont plutôt dans le sens de SecNumCloud. Ceci étant dit, la question mérite d’être posée au vu des investissements financiers et humains que représente SecNumCloud pour des entreprises comme Jamespot, Wimi ou Talkspirit pleinement engagées pour obtenir cette qualification même si, là aussi, des aides ont été mises en place par le gouvernement. Jamespot, Talkspirit ou Jalios bénéficient de ces aides mais elles ne couvrent pas tous les frais, une part d’autofinancement est nécessaire. « Le programme est évalué entre 800 000 et 1 000 000 d’euros de notre côté, il a démarré il y a deux ans et devrait nous permettre d’obtenir la qualification SecNumCloud à la fin de l’année 2025. Nous avons déjà investi depuis trois ans dans la sécurité et sommes aujourd’hui les seuls à avoir la certification ISO 27001 », indique Philippe Pinault. De son côté, Jamespot admet un investissement conséquent pour les deux certifications actuellement en cours ISO 27001 et SecNumCloud. « Pour ces certifications, nous disposons d’un RSSI à plein temps, d’un devops à mi-temps, d’un CTO à quart-temps, d’un alternant et moi-même. En externe, nous avons eu affaire à deux cabinets, le premier pour bâtir une V.1 d'ISO 27001 et le deuxième pour nous challenger et améliorer le socle. A cela, il faut ajouter les évolutions techniques. Au total, nous consacrons un budget conséquent de 330 000 € en année pleine sachant que nous réalisons un CA de 5 M€. Concernant SecNumCloud, nous nous engageons dès septembre 2024 dans les premiers audits et le processus prendra entre 18 à 36 mois… » Ce processus long et coûteux est aussi partagé par Jalios, l’éditeur, qui dispose d’un visa CSPN délivré par l’Anssi a entamé une double démarche, à savoir SecNumCloud et ISO 27001. En bénéficiant aussi d’une aide pour une future qualification SecNumCloud, NetExplorer a entamé son processus long et coûteux comme le rappelle Bertrand Servary, CEO de NetExplorer. Cela dit, le dirigeant se montre assez critique sur SecNumCloud de par ses exigences et le manque de sensibilisation notamment auprès des établissements publics, lesquels ont tendance à croire que cette qualification devient obligatoire. « Et cela fait même prendre un risque pour la souveraineté, car le SecNumCloud peut être vu comme la seule alternative à un outil GAFAM. Pendant ce temps, on se détourne des solutions intermédiaires non SecNumCloud alors qu'elles pourraient être une parfaite alternative, à la fois sécurisée et souveraine. C’est pour cela que je trouve au SecNumCloud un côté contre-productif car les commanditaires sont bien mal informés. » De son côté, cet investissement dans SecNumCloud se chiffre à environ 1,2 M€ chez Wimi. A ce titre, l’éditeur n’a pas bénéficié d’aides car son processus vers la qualification SecNumCloud était déjà très avancé ; d’après Lionel Roux, Wimi sera qualifié SecNumCloud d’ici à septembre prochain et deviendra ainsi le deuxième éditeur à en bénéficier après Oodrive.

Sur le terrain, ce sont essentiellement les usages et la criticité des données qui guident les décideurs dans les entreprises dans le choix de leurs applications cloud. « Il faut être assez pragmatique. Selon les usages, le choix des applications et des clouds diffère, un groupe pharmaceutique qui stocke des brevets n’aura pas les mêmes contraintes qu’un retailer qui édite un catalogue de prix publics, ce dernier peut tout à fait héberger ses données dans un cloud à prix optimisé et qui fonctionne bien comme celui d’AWS. Quant au groupe pharmaceutique, il va gérer ses données sensibles en interne ou chez un acteur souverain et sécurisé. Et quand je parle de sécurité, je ne me base pas uniquement sur une norme de type ISO 27001 ou d’un autre règlement de conformité qui n’empêchent pas certains SI d’être des passoires. J'insiste sur le fait d’avoir un service de hacking capable de tester assez régulièrement la fiabilité du SI. Ceci doit être couplé avec une formation continue des utilisateurs, pour les sensibiliser aux pratiques de phishing, qui elles-mêmes évoluent rapidement », explique Catherine Meyer, Manager de transition, DSI et VP Transformation qui intervient dans des grands groupes internationaux pour des missions ponctuelles. De par son expérience au sein des différents ministères (de la Santé ou de l’Intérieur) en tant que directrice du numérique et actuelle directrice du numérique chez Île-de-France Mobilités, Hélène Brisset est également pragmatique dans le choix de ses applications et ses hébergeurs.

« L’usage et la sensibilité des données sont des éléments clés dans notre choix de solutions d’hébergement, qu’elles soient cloud ou on premise, françaises/européennes ou américaines. C’est la sensibilité des données qui prime, sans doctrine a priori. Par exemple, dans mes fonctions actuelles au sein d’Île-de-France Mobilités, nous disposons d’une plateforme qui publie des informations en temps réel, ces données ouvertes (ndlr : horaires des passages des métros et des trains par exemple) pour lesquelles il n’y a pas d’enjeux de sensibilité particuliers sont hébergées dans un cloud américain. En revanche, dans d’autres situations, je pense par exemple à certaines données de santé qui doivent être conservées jusqu’à 30 ans, avec bien sûr une sensibilité particulière vis-à-vis de la protection des données personnelles et du RGPD, c’est le choix d’un hébergeur soumis à des certifications, le référentiel HDS notamment, qui s’impose. A cet effet, le rôle des règlements est important car il permet d’avoir un socle éthique et juridique opposable, à partir du moment où le texte pose des principes de fond sans être figé sur une technologie ou un état de l’art. Le RGPD est un bon exemple, il n’interdit pas l’usage de telle ou telle solution mais il agit comme un levier de transformation important en posant les enjeux pour la protection des données personnelles, et ce, peu importe la technologie et la nationalité de l’hébergeur. »

A l’heure où la migration vers le cloud est une réalité quotidienne pour bien des entreprises, où les cyberattaques sont de plus en plus néfastes, la sécurité constitue le nerf de la guerre pour les organisations. Opter pour le bon opérateur cloud, déployer la solution ad hoc, devient donc primordial. Pour mieux éclairer la lanterne des organisations et les aider à faire les bons choix, l’Anssi a délivré à certaines offres d’éditeurs de logiciels la qualification SecNumCloud, qui distingue les acteurs de cloud français respectueux des meilleures pratiques en matière de sécurité.

Ce label concerne un vaste éventail d’acteurs – qu’il s’agisse de SaaS, de PaaS, d’IaaS ou plus récemment de CaaS – et que l’Anssi n’a eu de cesse de faire évoluer au fil des années, en phase avec les changements propres au cloud lui-même. Comme nous le précise Stanislas de Rémur, CEO et cofondateur d’Oodrive, « ce référentiel SecNumCloud couvre des exigences relatives au prestataire de service, à son personnel, ainsi qu’au déroulement des prestations. Il garantit la robustesse de la solution face aux cyberattaques les plus courantes, mais aussi la rigueur et la formalisation des processus et méthodes du fournisseur de service. Cette garantie s’inscrit dans le temps long et assure une relation de confiance entre les prestataires et l’Anssi. »

Une sécurité renforcée

Pour les entreprises, déployer une solution labellisée SecNumCloud possède de nombreux avantages. Tout d’abord, ce choix leur permet de renforcer leurs paramètres de sécurité – en sortant d’une dimension purement déclarative et en instiguant des changements concrets en la matière. Car cette qualification SecNumCloud recouvre plusieurs versants en matière de cybersécurité : sécurité des systèmes d’information, fiabilité des services informatiques, transactions électroniques sécurisées, protection des données personnelles, entre autres. M. de Rémur poursuit : « Les exigences de ce référentiel garantissent la protection de ce service cloud vis-à-vis du droit extra-européen, par la combinaison de trois types de mesures. Techniques tout d’abord, en garantissant l’étanchéité des SI. Opérationnelles ensuite, puisque seul le prestataire peut intervenir sur les ressources supportant le service. Juridiques enfin, puisque c’est le seul droit européen qui s’appliquera dans ces cas de figure. »

De plus, pour une entreprise, être labellisé de ce précieux sésame, c’est aussi être à la pointe des dernières évolutions légales – étatiques comme européennes – en matière de souveraineté des données. D’autant plus que proposer des solutions dernier cri et à la pointe en matière de souveraineté est un prérequis pour un nombre de plus en plus important d’entreprises, que celles-ci soient publiques ou privées, et pèsera nécessairement dans la balance lors d’un appel d’offres, par exemple. Faire le choix d’une solution bénéficiant du label SecNumCloud, c’est aussi s’épargner de longues et fastidieuses étapes, couvertes par la qualification et prises en charge par le prestataire qualifié. Stanislas de Rémur poursuit : « Les entreprises sont ainsi de plus en plus conscientes qu’elles manipulent des données sensibles. Chez Oodrive, nous sommes de plus en plus sollicités par des équipes RH, juridiques ou de R&D pour des questions liées au secret des affaires ; des questions que l’on nous posait moins il y a encore quelques années… »

Les nombreux avantages du cloud privé

Oodrive propose ainsi une suite collaborative sécurisée et souveraine, adaptable aux nombreux besoins des entreprises avec lesquelles elle travaille, dans des secteurs variés tels que le secteur public, l’aérospatial et la défense ou la santé. Un autre avantage indéniable des solutions Oodrive est qu’il s’agit de solutions de cloud privé, particulièrement indiquées pour les OIV (opérateurs d’importance vitale) et les organismes étatiques, soumis à des règles plus strictes en matière de gestion des données. Pour se plier à ses règles et rester proactives en matière de sécurité et d’intégrité des données, ces organisations font de plus en plus le choix du cloud privé plutôt que public. Au sein d’infrastructures de cloud privé, les ressources et les services sont individualisés, la sécurité est renforcée, et l’entreprise bénéficie d’un accompagnement plus personnalisé et dimensionné à ses besoins. Stanislas de Rémur conclut ainsi : « Les solutions Oodrive garantissent à nos clients de pouvoir stocker, partager, digitaliser des réunions de gouvernance et signer des documents sensibles, jusqu’à ceux portant la mention ‘diffusion restreinte’. Nous avons été le premier acteur qualifié SecNumCloud en 2019, labellisation renouvelée en 2022. Pour nous, c’est un réel gage de confiance quant à notre expérience et l’expertise que nous pouvons apporter aux entreprises. »

Oodrive est un fournisseur de services labellisé SecNumCloud. Quels sont les garanties de cette qualification ? Pour les entreprises, comment en tirer pleinement parti ?

Christophe Lasbordes : La qualification SecNumCloud est une garantie pour toutes les entreprises ou administrations publiques devant gérer des données sensibles. Certaines de ces organisations sont mêmes labellisés OIV (opérateurs d’importance vitale) ou OSE (opérateurs de services essentiels). Pour ces entreprises, identifier, classifier et hiérarchiser ces données est donc capital – et parfois compliqué. Ce chantier, certaines entités l’ont entamé il y a plusieurs années, d’autres en sont à leurs débuts et ont encore un long chemin à faire. Pour les entreprises, c’est d’autant plus important que le corpus réglementaire évolue dans ce sens : à un niveau européen avec la directive NIS2, mais aussi à un niveau étatique, avec la doctrine Cloud au centre. Celle-ci spécifie que les données des administrations publiques doivent être stockées dans un environnement qualifié SecNumCloud. Si une administration ne prend pas ses dispositions en la matière, c’est à elle de le justifier.

Outre ces cas spécifiques prévus par la loi, le choix d'un cloud privé, qui plus est souverain, est recommandé à toutes les entreprises ?

Christophe Lasbordes : Bien sûr, en premier lieu car disposer d’un environnement dédié à son entreprise est désormais obligatoire. Par ailleurs, je suis persuadé que la souveraineté numérique est primordiale pour toutes les entreprises et administrations françaises. Recourir à des solutions qui ne sont pas impactées par le Cloud Act ou le FISA (Foreign Intelligence Surveillance Act) américains est obligatoire pour des entreprises de nombreux domaines, et recommandé pour les autres entreprises. Ces lois sont en effet des plus permissives, et donc dangereuses pour la souveraineté des entreprises françaises et la viabilité de leurs actifs.

Quelle est la plus-value des solutions Oodrive ?

Christophe Lasbordes : Oodrive est une société qui a plus de vingt ans d’existence, qui s’est construite autour de la gestion des données sensibles. En tant qu’éditeur, nous fournissons à nos clients la possibilité de stocker, partager, digitaliser leurs réunions de gouvernance et signer des documents sensibles. Nos solutions viennent en complément et en renfort d’autres solutions, notamment américaines, lesquelles ne peuvent être déployées sur la gestion des données sensibles. Comme je le disais précédemment, au sein des administrations publiques, faire appel à des solutions a minima européennes et idéalement françaises est spécifié dans les cahiers des charges.

Il est également très important pour nous de proposer des solutions simples à prendre en main – afin qu’il ne s’agisse pas d’une solution « de plus », qui viendrait s’ajouter à d’autres sans une valeur ajoutée forte. Le volet expérience utilisateur est donc capital pour nous, nous travaillons pour cela main dans la main avec des clubs d’utilisateurs. Il est important pour nous d’assurer cet équilibre entre sécurité et maniabilité.

Enfin, comme je le disais, Oodrive a été le tout premier acteur qualifié SecNumCloud en 2019 – qualification renouvelée en 2022 –, ce qui témoigne d’une expertise et d’une vaste expérience dans l’accompagnement de nos clients. Quelle que soient leur taille ou le secteur dans lequel ils évoluent, nous les aidons à mettre en place la bonne solution répondant à leurs exigences de sécurité.

Quels sont les cas d'usage que vous rencontrez le plus souvent au sein des entreprises ?

Christophe Lasbordes : Les cas d’usage les plus fréquents sont en lien avec des cyberattaques, du cyber-espionnage ou des risques de conformité RGPD. Concernant les cyberattaques, nous fournissons des plateformes pour stocker et rendre accessibles les données dans le cadre de procédure de type PRA ou PCA. Quand une organisation subit une cyberattaque, la première chose qu’elle fait est de verrouiller son SI ; plus rien n’est donc accessible. Pourtant, il faudra remonter et accéder aux bonnes procédures dans un environnement étanche et externe au SI. Dans de tels cas, le temps, c’est de l’argent ; il est donc capital que l’entreprise puisse redémarrer son activité rapidement, sans que ses résultats financiers soient trop impactés.

Pour tout ce qui a trait au cyber-espionnage, beaucoup de nos clients, notamment dans les domaines militaire ou nucléaire, craignent de voir piratées et détournées leurs données sensibles – des données liées à des projets pouvant représenter jusqu’à plusieurs milliards d’euros. Oodrive sécurise donc ces données pour que les entreprises puissent travailler sereinement. Concernant le cyber-espionnage étatique, celui-ci est en pleine explosion depuis deux ans environ, pour des raisons que l’on devine. Aujourd’hui, les services de cyber-espionnage russe et nord-coréens sont très puissants, jusqu’à 80 % des tâches de l’Anssi sont liées au cyber-espionnage.

Concernant les risques RGPD, pour finir, ceux-ci sont moins médiatisés qu’ils ne l’ont été, mais nous traitons encore ces sujets au quotidien. L’objectif sera par exemple de protéger les données des administrés d’une commune. Si une commune subit une cyberattaque et que ses données sont à vendre au plus offrant, cela peut directement influer sur l’image de la commune : certains administrés déménageront, d’autres ne voudront pas venir y habiter… L’impact sur cette commune peut être immense.

Oodrive compte parmi ses clients de nombreuses organisations publiques. C’est notamment le cas du ministère des Armées, avec qui elle collabore depuis 2014. Ce ministère a en effet opté pour la solution Oodrive Work afin de procéder à l’échange de fichiers sur son réseau interne sécurisé. Du fait de la pandémie et de l’essor du télétravail, cette solution, baptisée pour l’occasion « Défense Drive », a été ouverte à tous les utilisateurs accrédités au sein du ministère ; elle est désormais accessible à distance, et permet de stocker et de partager via un simple lien tous types de fichiers. La solution satisfait aujourd’hui pleinement ses utilisateurs, qui y ont recours pour d’autres usages que ceux initialement prévus. Ainsi, le personnel de terrain s’en sert comme d’une solution de sauvegarde pour les photos et vidéos de leur smartphone, quand d’autres l’utilisent pour synchroniser leurs répertoires de leur poste de travail.

Autre service public avec lequel Oodrive travaille main dans la main : la REBM (Régie de l’eau Bordeaux Métropole), établissement public à caractère industriel et commercial, qui est depuis 2023 l’opérateur du service public de l’eau de la métropole bordelaise. La REBM ayant en charge un territoire des plus de 500 km2, son SI se doit d’être irréprochable en matière de sécurité, pour un objectif triple. Tout d’abord, garantir la continuité de son activité afin d’assurer la distribution de l’eau potable aux habitants. Ensuite, protéger ses données sensibles contre tout type de sinistre. Enfin, répondre aux exigences imposées par l’Anssi aux organismes publics. Pour être à la hauteur de ces objectifs, la REBM devait donc mettre en place une solution à la fois sécurisée, simple d’usage et évolutive. Le choix d’Oodrive Work s’est rapidement imposé ; les outils fournis par cet acteur majeur du cloud français sont aisés à déployer et à prendre en main, très sécurisés – donc particulièrement adaptés aux besoins d’un organisme public sensible, notamment en vertu du référentiel SecNumCloud.

Cette collaboration d’Oodrive avec ces entités a lieu à l’heure où l’Etat incite de plus en plus les acteurs publics à pleinement capitaliser sur les avantages du cloud pour fournir des services numériques de qualité, tout en protégeant au mieux les données des entreprises et des citoyens français. Cette doctrine, nommée « Cloud au centre » incite les différentes équipes projets et les développeurs à inscrire les opportunités du cloud dans leurs pratiques professionnelles au quotidien. Toutefois, Oodrive travaille également avec un grand nombre d’entreprises privées, dont certaines sont parmi les fleurons de l’industrie française.

C’est par exemple le cas du groupe Sanofi, l’un des leaders mondiaux de l’industrie pharmaceutique. Les données relatives à ses recherches et les informations propres aux réunions de gouvernance font logiquement l’objet d’une sécurité toute particulière ; leur accès est ainsi donné à un nombre restreint de personnes. L’équipe cybersécurité de Sanofi cherchait donc à mettre en place un environnement unique, dédié et sécurisé pour le partage des données, avec un accès limité à moins de dix administrateurs. L’objectif était de mettre en place une solution SaaS sans maintenance et pouvant offrir une sécurité renforcée pour le partage de ces informations hautement confidentielles. C’est ici que l’outil Oodrive Meet s’est imposé. Sanofi a recours à Oodrive Meet comme solution SaaS pour gérer les réunions de gouvernance particulièrement sensibles, et partager des informations confidentielles, conformément aux normes internationales les plus élevées en termes de sécurité des infrastructures, y compris le référentiel SecNumCloud.

Autre groupe français majeur qui fait appel aux solutions Oodrive : le groupe Dassault Aviation, via Dassault Falcon Jet (DFJ), sa filiale commerciale dans l’hémisphère nord. Dassault Aviation respecte les critères les plus élevés en matière de sécurité des données et des systèmes, et impose les mêmes exigences à ses filiales. Maintenir ces exigences s’avérait toutefois de plus en plus compliqué à travers les années, lorsque les solutions utilisées divergeaient d’un pays à l’autre. Pour faciliter la collaboration externe et optimiser les ressources, les équipes se sont donc mises en quête d’une solution SaaS dotée des meilleures certifications de sécurité, pour unifier les données sensibles et les rendre plus aisées à partager. Elle a fait le choix d’Oodrive Work. Cette solution est accessible à partir de tout appareil et est simple à prendre en main, et tous les utilisateurs, qu’ils soient liés à DFJ ou à leurs partenaires, peuvent se connecter, contrôler l’accès, collaborer, co-éditer ou encore mettre en place un dossier partagé pour déposer des fichiers. Une preuve de plus de la grande polyvalence des solutions Oodrive.