Migrer une base clients, une application financière ou des données métiers vers le Cloud ne signifie plus nécessairement renoncer à leur protection. Les principaux fournisseurs proposent aujourd’hui des mécanismes de chiffrement au repos et en transit largement automatisés. Cette évolution a considérablement amélioré le niveau général de sécurité, mais elle entretient parfois une confusion : une donnée chiffrée n’est réellement sous contrôle que si l’organisation maîtrise également les conditions permettant son déchiffrement. La question devient particulièrement sensible lorsque les infrastructures utilisées sont exploitées par des fournisseurs internationaux soumis à plusieurs juridictions. Pour une entreprise marocaine, l’enjeu consiste donc à distinguer la localisation physique des données de la maîtrise cryptographique. La loi 09-08, les exigences de la CNDP et, selon le périmètre concerné, les référentiels nationaux de cybersécurité imposent d’ailleurs une gouvernance rigoureuse des accès, des traitements et des transferts. La gestion des clés doit être intégrée cette réflexion globale.
Trois modèles pour gérer les clés
Dans le modèle le plus simple, le fournisseur Cloud chiffre les données et administre lui-même les clés nécessaires. Cette approche réduit fortement la complexité technique et peut convenir à des informations présentant un niveau de sensibilité limité. Elle laisse toutefois l’entreprise dépendante du dispositif de sécurité et de gouvernance de son prestataire. Le BYOK, ou Bring Your Own Key, déplace une partie du contrôle. L’organisation génère ses propres clés, idéalement dans une infrastructure sécurisée, avant de les importer dans le système de gestion des clés du fournisseur. Elle conserve ainsi davantage de maîtrise sur leur création, leur rotation et leur révocation.
Le HYOK, ou Hold Your Own Key, pousse cette logique plus loin : les clés restent dans une infrastructure contrôlée par l’organisation ou par un prestataire spécifiquement choisi. Le Cloud doit alors solliciter cette infrastructure pour certaines opérations cryptographiques. L’entreprise dispose ainsi d’un mécanisme supplémentaire lui permettant de suspendre l’accès aux données.
Le HSM protège le cœur cryptographique
Une politique de chiffrement robuste ne repose pas uniquement sur les algorithmes utilisés. Elle dépend également de la manière dont les clés sont créées, conservées et manipulées. C’est précisément le rôle du Hardware Security Module, ou HSM. Ce dispositif spécialisé protège les clés maîtresses et réalise les opérations cryptographiques dans un environnement fortement sécurisé. Pour les applications les plus critiques, des niveaux certification reconnus, notamment autour des standards FIPS 140-2 ou 140-3 et des Critères Communs, peuvent constituer des critères importants dans la sélection de l’architecture. L’enjeu consiste ensuite à connecter cette couche cryptographique aux différents environnements de l’entreprise. Un KMS centralisé peut orchestrer les clés utilisées dans le Cloud, les infrastructures internes ou certaines applications SaaS. Cette architecture facilite également leur rotation, leur traçabilité et leur révocation en situation de crise.
Chiffrer aussi pendant le traitement
Deux protections sont désormais largement répandues : le chiffrement des données stockées et celui des communications réseau. Des standards éprouvés comme AES pour les données et TLS pour les communications constituent aujourd’hui les briques fondamentales de cette architecture. Une troisième frontière devient cependant stratégique : les données utilisées par une application doivent généralement être déchiffrées en mémoire pour être traitées. Le Confidential Computing cherche à réduire cette zone d’exposition grâce à des environnements d’exécution de confiance, ou TEE. Ces enclaves isolent certaines opérations au niveau matériel afin de protéger les informations pendant leur traitement. Pour des applications financières, médicales ou des projets d’intelligence artificielle manipulant des données particulièrement sensibles, cette technologie ouvre la voie à des architectures Cloud dans lesquelles l’hébergeur dispose d’une visibilité fortement réduite sur les informations exploitées.
Organiser le cycle de vie des clés
Une clé cryptographique ne doit jamais être considérée comme permanente. L’entreprise doit formaliser sa création, son activation, sa sauvegarde, sa rotation, sa révocation et finalement sa destruction. Les fréquences doivent être définies selon la criticité des données, les contraintes réglementaires et le modèle de menace plutôt qu’à partir d’un calendrier arbitraire. Cette gouvernance doit également prévoir les situations d’urgence. En cas de compromission, l’organisation doit pouvoir révoquer rapidement une clé, identifier les systèmes concernés et activer une nouvelle chaîne cryptographique sans interrompre durablement son activité.
Faire de la cryptographie un levier de souveraineté
Pour les données les plus sensibles, notamment dans la finance, la santé ou certaines infrastructures critiques, une architecture combinant contrôle organisationnel des clés, KMS et HSM peut apporter une séparation supplémentaire entre hébergement informatique et capacité de déchiffrement. La souveraineté numérique ne consiste donc pas uniquement à demander où se trouve un serveur. Elle suppose aussi de savoir qui détient les identités, qui contrôle les accès et, surtout, qui possède réellement le cryptographique permettant de rendre une donnée lisible. Dans une stratégie Cloud mature, la clé devient ainsi l’un des actifs numériques les plus critiques de l’entreprise.
