L’infrastructure cloud computing regroupe l’ensemble des ressources informatiques virtualisées et accessibles à la demande via des réseaux distants. Ce guide présente le périmètre, les usages autorisés, les restrictions, les modalités de validation et de signalement, ainsi que les processus de déploiement et de contrôle des infrastructures cloud, conformément à la charte interne MA Digital.
Périmètre de la charte sur les infrastructures cloud
Définition des infrastructures cloud
Les infrastructures cloud désignent l’ensemble des ressources matérielles et logicielles mobilisées pour fournir des services informatiques à la demande. Elles incluent les serveurs, les dispositifs de stockage, les réseaux, les systèmes d’exploitation, ainsi que les outils de gestion et d’orchestration. L’infra cloud computing recouvre aussi bien les environnements mutualisés que dédiés, accessibles via des interfaces automatisées ou des portails de gestion.
La charte s’applique aux infrastructures cloud utilisées pour héberger, traiter ou transférer des données, qu’elles soient exploitées en interne ou par l’intermédiaire de prestataires externes. Elle prend en compte les différents modèles de déploiement, notamment public, privé et hybride, ainsi que les services associés tels que l’infrastructure as a service (IaaS) et les plateformes de gestion cloud.
Champ d’application de la charte
Le périmètre de la charte couvre toutes les phases du cycle de vie des infrastructures cloud, depuis la conception jusqu’à la fin de l’exploitation. Elle s’adresse aux équipes techniques, aux responsables de projets et aux utilisateurs impliqués dans la sélection, la configuration, l’exploitation ou la supervision des ressources cloud.
La charte s’applique aux environnements cloud utilisés pour des traitements internes, des services à destination de tiers ou des projets collaboratifs. Elle concerne également les interactions entre différentes infrastructures cloud, notamment lors de migrations, d’interconnexions ou de partages de ressources.
Exemple hypothétique : une organisation choisit de migrer une application métier vers une plateforme cloud publique. La charte encadre alors les modalités de sélection de l’infrastructure, la gestion des accès et la supervision des ressources tout au long du projet.
Usages autorisés des infrastructures cloud
Conditions d’utilisation
L’usage des infra cloud computing est autorisé pour l’hébergement, le traitement et la sauvegarde de données, sous réserve de respecter les conditions contractuelles fixées par le fournisseur de services. L’utilisateur doit s’assurer que les fonctionnalités activées correspondent à ses besoins et que les paramètres choisis n’entraînent pas de transfert non souhaité de données hors du périmètre défini par le contrat.
Les infrastructures cloud peuvent être utilisées pour le déploiement d’applications, la gestion de bases de données, ou la mise à disposition de ressources informatiques à la demande. L’accès aux ressources doit être limité aux personnes habilitées, conformément aux modalités prévues par le fournisseur. L’utilisateur doit également vérifier que les services utilisés ne sont pas détournés de leur finalité initiale.
Exemple hypothétique d’usage conforme
Exemple hypothétique : une organisation souhaite externaliser l’hébergement de son application interne sur une infrastructure cloud. Elle choisit un fournisseur proposant une offre contractuelle adaptée à ses besoins, configure les accès pour limiter l’utilisation aux membres de son équipe, et active uniquement les services nécessaires au fonctionnement de l’application. Les données restent stockées dans la zone géographique prévue par le contrat, sans activation de fonctionnalités additionnelles non prévues.
Données et usages interdits dans le cloud
Liste des données exclues
Dans le cadre de la gestion d’une infra cloud computing, certaines catégories de données ne doivent pas être stockées ou traitées sur les infrastructures cloud. Sont exclues les données dont la conservation ou le traitement dans le cloud est expressément interdit par des politiques internes, des contrats ou des restrictions sectorielles. Cela peut concerner, par exemple, des informations classifiées, des secrets industriels protégés par des clauses spécifiques, ou des éléments soumis à des restrictions de localisation imposées par des accords particuliers.
- Données classifiées relevant de la sécurité nationale ou de la défense.
- Informations protégées par des clauses contractuelles interdisant leur externalisation.
- Contenus soumis à des restrictions de territorialité incompatibles avec l’architecture des infrastructures cloud utilisées.
- Documents couverts par des obligations de confidentialité qui excluent tout hébergement externe.
Exemple hypothétique d’usage interdit
Exemple hypothétique : une organisation souhaite utiliser une solution d’infra cloud computing pour héberger un référentiel contenant des plans techniques soumis à des restrictions de diffusion. Si le contrat qui lie cette organisation à ses partenaires stipule que ces plans ne peuvent être stockés que sur des serveurs internes, leur transfert vers des infrastructures cloud constituerait un usage interdit. Ce scénario illustre la nécessité de vérifier la compatibilité des usages envisagés avec les engagements contractuels et les politiques internes avant toute migration de données vers le cloud.
Validation humaine et signalement des usages
Processus de validation
La gestion des infra cloud computing implique une étape de validation humaine pour certains usages spécifiques. Cette validation consiste à vérifier que les actions réalisées sur les infrastructures cloud respectent les règles internes définies par l’organisation. Les responsables désignés examinent les demandes d’accès, de modification ou de suppression de ressources, en s’appuyant sur des critères établis à l’avance. Ce contrôle peut s’effectuer à l’aide d’un outil dédié ou par l’intermédiaire d’un formulaire interne, selon les pratiques en vigueur.
Lorsqu’une demande concerne une opération sensible sur l’infrastructure cloud, la validation humaine intervient avant l’exécution. Le responsable peut demander des précisions complémentaires ou refuser la demande si elle ne répond pas aux exigences internes. Exemple hypothétique : un administrateur souhaite déployer une nouvelle instance sur une infrastructure cloud ; la demande est soumise à validation par un référent qui vérifie la conformité avec les politiques internes avant d’autoriser l’opération.
Procédure de signalement
Tout utilisateur ayant connaissance d’un usage non conforme ou suspect des infra cloud computing doit pouvoir le signaler. Une procédure formalisée prévoit la transmission de l’alerte à un référent identifié. Ce signalement peut s’effectuer par un canal dédié, tel qu’une adresse électronique spécifique ou un formulaire sécurisé. Le référent analyse le signalement, documente les éléments transmis et engage, si nécessaire, une vérification approfondie auprès des équipes concernées.
La procédure prévoit également la traçabilité des signalements et des actions menées. Un registre interne recense les signalements reçus, leur traitement et les suites données, afin d’assurer un suivi rigoureux des usages des infrastructures cloud.
Déploiement, contrôle et révision des infrastructures cloud
Modalités de déploiement
Le déploiement d’une infra cloud computing repose sur la sélection de configurations adaptées aux besoins identifiés. Il s’agit de choisir les ressources, les services et les outils proposés par le fournisseur, en tenant compte des contraintes techniques et des objectifs opérationnels. La documentation interne doit préciser les étapes de mise en service, les responsabilités et les points de validation à chaque phase du déploiement.
Les environnements de test sont utilisés pour valider les paramètres avant la mise en production. Exemple hypothétique : une équipe configure un environnement de préproduction pour simuler les flux de données et vérifier la compatibilité des applications avec l’infrastructure cloud cible.
Contrôle et révision périodique
Le contrôle des infrastructures cloud s’appuie sur des procédures documentées permettant de vérifier la cohérence des configurations, l’état des accès et la gestion des ressources. Des revues régulières sont organisées pour examiner les droits attribués, l’utilisation des services et la conformité des pratiques avec les politiques internes.
La révision périodique implique l’analyse des journaux d’activité, la vérification des sauvegardes et l’évaluation des mesures de surveillance. Les résultats de ces contrôles sont consignés dans des rapports accessibles aux parties concernées. Exemple hypothétique : lors d’une révision trimestrielle, une équipe identifie des accès non utilisés et propose leur suppression pour limiter les risques liés à l’accumulation de droits obsolètes.
Les modalités de révision sont ajustées en fonction de l’évolution des infrastructures cloud et des besoins métiers. Toute modification significative déclenche une nouvelle phase de contrôle afin d’assurer la cohérence de l’ensemble du dispositif.
Questions fréquentes
Quelles sont les données exclues des infrastructures cloud selon la charte MA Digital ?
La charte MA Digital précise que certaines catégories de données, notamment celles soumises à des restrictions réglementaires spécifiques, ne peuvent pas être stockées ou traitées sur les infrastructures cloud.
Comment signaler un usage non conforme d’une infrastructure cloud ?
Tout utilisateur doit suivre la procédure interne de signalement prévue par la charte. Cette procédure implique une notification auprès du référent désigné pour les infrastructures cloud.
Un usage conforme doit-il toujours être validé par un responsable ?
La charte prévoit que certains usages, même conformes, nécessitent une validation humaine préalable. Les modalités de validation sont détaillées dans la section dédiée du guide.
Existe-t-il une référence à la FAQ CNIL dans la charte MA Digital ?
Oui, la charte MA Digital mentionne la FAQ CNIL datée du 18 juillet 2024 comme source d’information pour l’encadrement des traitements de données dans le cloud.