SecNumCloud, le cloud en toute confiance
+Sécurité
Une véritable garantie du respect des bonnes pratiques de sécurisation des données (Chiffrement des données, conformité à la RGPD, contrôle d’accès etc..).
+Confiance
L’ensemble des données sensibles sont stockées chez un partenaire de confiance,approuvé par un organisme de l’État, l’ANSSI.
+Conformité
Respect des règlementations déployées par l’ANSSI et verification de la conformité par un label reconnu par l’Etat.
SecNumCloud, le Visa de
sécurité de l’ANSSI
Dans le cadre de la loi de programmation militaire, l’ANSSI impose ou recommande à tous ces acteurs de prendre des mesures de sécurité strictes et de contrôler leur système d’information.
La Qualification SecNumCloud, permet d’être 100% conforme à l’ensemble de ces obligations ou recommandations.
Notre tiers de confiance 3DS OUTSCALE a reçu la Qualification SecNumCloud.
Il répond aux besoins les plus exigeants de sécurité, confidentialité et souveraineté numériques.
Assurez la sécurité des données - SecNumCloud
OIV
Sécurisez les systèmes d’information sensibles, apportez les meilleures garanties de confidentialité, de protection des données et répondez aux obligations vis-à-vis de l’État.
Acteurs publics
Externalisez l’hébergement des données ou systèmes d’information auprès de prestataires de confiance.
Acteurs Privés
Renforcez la sécurité des données sensibles et évitez les cybermenaces.
Demander un devis ?
Ce que qualifie réellement SecNumCloud
SecNumCloud est le référentiel de l’ANSSI pour les prestataires de services d’informatique en nuage. Il ne s’agit pas d’un label déclaratif : la qualification est délivrée au terme d’un audit conduit par un organisme agréé, et elle porte sur des exigences précises.
- Sécurité technique : cloisonnement des environnements, chiffrement, gestion des vulnérabilités, supervision.
- Sécurité organisationnelle : contrôle des accès des administrateurs, gestion des habilitations, procédures d’incident.
- Immunité aux lois extraterritoriales : le prestataire ne doit pas être soumis à un droit non européen susceptible d’imposer un accès aux données. Cette exigence est ce qui distingue SecNumCloud des référentiels internationaux.
- Localisation : hébergement, administration et support assurés depuis l’Union européenne.
La qualification est valable trois ans et fait l’objet d’audits de surveillance. Elle peut être retirée.
Qualification de l’hébergeur, certification du logiciel : deux choses distinctes
La confusion est fréquente, et elle conduit à des comparaisons faussées.
La qualification SecNumCloud porte sur un service d’hébergement. Elle dit que l’infrastructure sur laquelle tourne l’application répond aux exigences de l’ANSSI. Elle ne dit rien de l’application elle-même.
La certification CSPN porte sur un produit logiciel. Elle atteste qu’il a résisté à une évaluation menée par un centre agréé, sur une version et un périmètre définis. Elle ne dit rien de l’infrastructure qui l’héberge.
Un éditeur peut donc revendiquer un hébergement SecNumCloud sans que son logiciel ait jamais été évalué, et inversement. Notre certification CSPN et la qualification de notre hébergeur couvrent les deux niveaux, ce qui reste rare sur le marché français.
Qui est concerné par l’exigence SecNumCloud
Trois situations rendent la qualification de l’hébergeur déterminante.
- Le secteur public. Le décret pris en application de la loi SREN impose l’hébergement des données publiques les plus sensibles sur un cloud qualifié, avec un délai de mise en conformité.
- Les opérateurs d’importance vitale et les entités essentielles au sens de la directive NIS 2, pour lesquels la maîtrise de la chaîne d’approvisionnement numérique est une obligation.
- Les acteurs privés dont les données ont une valeur stratégique : industrie de défense, recherche, propriété intellectuelle, opérations financières.
Pour les autres, la qualification n’est pas obligatoire. Elle reste un moyen simple de trancher un dossier : elle repose sur un audit, pas sur une déclaration commerciale.
Notre hébergeur
TransfertPro s’appuie sur 3DS Outscale, filiale de Dassault Systèmes, dont l’offre est qualifiée SecNumCloud par l’ANSSI. La même infrastructure est certifiée HDS pour l’hébergement de données de santé, et TISAX pour les exigences de la filière automobile.
Les données sont hébergées en France, dans des centres implantés sur le territoire national. L’éditeur comme l’hébergeur sont des sociétés de droit français : aucune loi extraterritoriale ne s’applique.
Le détail de l’infrastructure et la façon de vérifier ce qu’affirment les éditeurs.
Questions fréquentes
Qu’est-ce que la qualification SecNumCloud ?
C’est le plus haut niveau de qualification délivré par l’ANSSI à un prestataire de services d’informatique en nuage. Elle est obtenue au terme d’un audit mené par un organisme agréé, porte sur des exigences techniques, organisationnelles et juridiques, et vaut recommandation de l’État.
Quelle différence entre SecNumCloud et une certification ISO 27001 ?
L’ISO 27001 atteste l’existence d’un système de management de la sécurité de l’information. SecNumCloud impose en plus des exigences techniques précises et, surtout, l’immunité aux lois extraterritoriales, qui n’est pas couverte par les référentiels internationaux.
La qualification de l’hébergeur suffit-elle ?
Non. Elle porte sur l’infrastructure, pas sur le logiciel qui tourne dessus. Pour couvrir les deux niveaux, il faut un hébergeur qualifié et un logiciel évalué, par exemple certifié CSPN.
SecNumCloud est-il obligatoire ?
Pour les données publiques les plus sensibles, le décret SREN l’impose. Pour les autres organisations, ce n’est pas une obligation générale, mais c’est un critère de sélection objectif et vérifiable.
Qui héberge les données de TransfertPro ?
3DS Outscale, filiale de Dassault Systèmes, sur une offre qualifiée SecNumCloud par l’ANSSI, également certifiée HDS et TISAX. Les centres de données sont situés en France.
Combien de temps la qualification est-elle valable ?
Trois ans, avec des audits de surveillance pendant cette période. Elle peut être suspendue ou retirée si les exigences ne sont plus tenues, ce qui en fait un engagement contrôlé dans la durée.