MtoM Mag - Le journal de l'MtoM.

Si les prémisses de la souveraineté des données remontent à 2018, avec l’entrée en vigueur du RGPD, celle-ci est restée dans l’ombre pendant de nombreuses années. Désormais, alors que l’environnement des données, le paysage réglementaire et le contexte géopolitique sont devenus plus complexe, elle représente pour les entreprises un moyen de compartimenter et de se préserver des risques (du moins en partie).

Pourtant, même si de nombreuses entreprises ont pris conscience que la souveraineté ajoute de la complexité aux cadres réglementaires qui les régissent – avec des obligations qui varient non seulement en fonction du type de données, mais aussi selon l’étape de leur cycle de vie –, sa mise en œuvre n’en est qu’à ses débuts.

Il en va de même de la compréhension générale de la souveraineté des données. Les liens entre souveraineté et gestion des données sont encore assez flous. Résultat, les entreprises ont souvent du mal à intégrer cette notion à la planification des opérations et des risques, tout en préservant l’équilibre entre contrôle et conformité. Aussi complexe soit-elle, cette approche est essentielle si les organisations veulent répondre aux besoins liés à la souveraineté de leurs données, sans pour autant mettre en péril leur sécurité ou les mesures qu’elles ont d’ores et déjà mises en place pour garantir leur résilience. Il s’agit sans aucun doute d’un problème délicat à résoudre, mais dont la solution est tout à fait à leur portée.

Les données sont partout

Avant de pouvoir élaborer une stratégie de souveraineté véritablement résiliente, les entreprises ont besoin de maîtriser leurs données et ce n’est pas chose facile. Au cours de la seule année 2024, plus de 149 zettaoctets de données ont été créées, capturées, copiées et consommées, et selon les prévisions de Statista, ce chiffre devait atteindre 181 zettaoctets à la fin de l’année 2025. Alors que seulement 19% des entreprises au sein de l’UE ont eu recours à l’IA l’année passée (selon les estimations de l’Union européenne), il est facile d’imaginer que ces quantités puissent encore croître de manière exponentielle.

Pour garantir la résilience de leurs données, les entreprises ne peuvent pas se contenter d’ériger des pare-feu. Elles doivent garantir la continuité de leur activité grâce à des sauvegardes robustes, à une portabilité des données agile et à un cadre de gouvernance strict tout au long du cycle de vie. Néanmoins, en ce qui concerne la souveraineté des données, les entreprises ont tendance à paniquer et à mettre en place des restrictions sur leurs données qui répondent certes aux exigences en matière de conformité, mais mettent à mal la portabilité et la sécurité de leurs données.

En effet, même si la résilience des données est plus souvent associée aux sauvegardes, à la reprise et à la continuité de l’activité, elle dépend également de la portabilité des données. Pour des raisons de sécurité, il est impératif de pouvoir transférer facilement ces données vers des sites secondaires en cas de nécessité et, si celles-ci font face à des restrictions excessives dues à des mesures de souveraineté mal conçues, cela peut rapidement constituer un obstacle.

Ainsi, alors que de nouvelles réglementations émergent au sein de l’UE, à l’image du Data Act et de l’AI Act, qui s’accompagnent de nouvelles dispositions en matière de souveraineté portant sur les flux de données d’IA, la souveraineté ne se résume pas à verrouiller ses données au sein d’une solution sur site. Une stratégie résiliente en matière de souveraineté des données doit tenir compte des limites de la réglementation et trouver le juste équilibre entre cette dernière et les conditions de résilience uniques, l’appétence au risque et les besoins opérationnels de l’entreprise tout au long du cycle de vie de ses données. Une question demeure : comment y parvenir ?

En matière de souveraineté des données, pas de recette unique

La souveraineté des données peut donc prendre des formes complexes et variées. Fort heureusement, les entreprises qui cherchent à préserver cet équilibre précaire entre contrôle, coûts et agilité ont la possibilité de choisir parmi un large éventail de solutions.

Dans les cas où l’entreprise a besoin de maîtriser strictement à la fois l’emplacement et la souveraineté de ses données, les solutions sur site offrent les options les plus robustes, car les données restent pleinement sous le contrôle de l’organisation. Néanmoins, ces solutions sont souvent contre-productives en termes de sécurité, car elles réduisent drastiquement la portabilité des données. Pour les entreprises qui ont besoin d’un degré de contrôle moindre, les solutions cloud souveraines, à savoir des environnements de calcul hébergés dans le cloud par des fournisseurs, constituent une option viable. Toutefois, même si ces solutions conviennent aux entreprises soumises à des exigences de conformité légèrement moins contraignantes, la garantie que leurs données demeurent au sein du territoire géographique auquel elles sont assujetties dépend entièrement des fournisseurs.

Pour celles qui cherchent à trouver un juste milieu entre ces deux approches afin de mieux personnaliser leurs solutions en fonction de leur situation spécifique, des solutions hybrides existent. Celles-ci combinent le fait de déléguer la gestion à des environnements cloud, tout en permettant aux entreprises de maintenir un degré de contrôle élevé. Les fournisseurs proposant de telles solutions se spécialisent souvent dans des zones géographiques spécifiques, aidant ainsi les entreprises à répondre à leurs besoins en matière de résidence des données à l’échelle locale.

Prendre conscience que ces options existent n’est que la première étape. Afin de concevoir une stratégie de souveraineté qui soit compatible avec leurs solutions existantes en matière de résilience des données, les entreprises doivent trouver l’équilibre entre le contrôle qu’elles exercent, les coûts engendrés et leurs besoins en matière d’agilité. Pour certaines, les solutions sur site peuvent se révéler trop restrictives et trop coûteuses. Pour d’autres, soumises à des exigences de conformité plus strictes en raison de la sensibilité de leurs données, cela peut représenter la meilleure option. Quoi qu’il en soit, avant de sélectionner une solution, il est impératif qu’elles aient parfaitement conscience de leurs besoins uniques afin de garantir la souveraineté de leurs données tout au long du cycle de vie, jusqu’au moindre détail.

De la création à la suppression des données

Une stratégie résiliente en matière de souveraineté doit également couvrir l’ensemble du cycle de vie des données et prendre en compte les changements contextuels. De la création à la suppression, en passant par la collecte, l’ingestion, le stockage, le traitement et le partage des données, chaque étape s’accompagne de problématiques spécifiques en matière de sécurité et de souveraineté.

Pour les phases initiales, comme la création et la collecte, les stratégies de sécurité et de souveraineté doivent tenir compte de la documentation relative à la captation et à la propriété des données, veillant à ce que la collecte se déroule de manière licite et dans le respect des règles de stockage strictes définies par le RGPD. Un tel stockage doit bénéficier d’un chiffrement robuste, d’un contrôle des accès et être auditable afin de satisfaire non seulement aux exigences en matière de souveraineté, mais également de sécurité. Lors du traitement, il est toujours essentiel que les données demeurent auditables et les réglementations en matière de souveraineté obligent les entreprises à assurer leur monitoring en continu pour veiller à ce qu’elles soient exploitées de manière licite et conformément aux règles juridictionnelles dont elles dépendent.

L’adoption de l’IA semble augurer d’une augmentation rapide des quantités de données gérées par les entreprises, qui pourrait entraîner une croissance exponentielle des coûts. C’est pourquoi il devient de plus en plus indispensable pour les organisations de mettre en place des processus qui leur permettront de gérer minutieusement le cycle de vie de leurs données. De tels processus fournissent également des informations contextuelles essentielles, leur permettant ainsi de véritablement se rendre compte du potentiel de valeur de leurs données, à mesure qu’elles comprennent où celles-ci sont situées, comment elles circulent et comment y accéder – des facteurs cruciaux pour générer de la valeur supplémentaire, mais également pour élaborer une stratégie efficace en matière de souveraineté et de sécurité des données. Trop d’entreprises gèrent encore leurs données de manière réactive, se contentant simplement de supprimer des données lorsqu’elles atteignent les limites de leur capacité de stockage, sans prendre garde à ce qu’elles suppriment. Une meilleure compréhension contextuelle contribue à empêcher cela, ce qui permet aux entreprises d’élaborer des stratégies conformes à leurs objectifs commerciaux et à leurs obligations réglementaires.

Une stratégie des données mature, intégrant à la fois la sécurité et la souveraineté des données, doit tenir compte de l’ensemble de ces facteurs pour trouver le bon équilibre entre l’appétence au risque de l’entreprise, les menaces, les opportunités et les retours sur investissement potentiels, dans le but d’optimiser les mesures en faveur de la résilience.