La fusée comportait un autre étage. Cette semaine, le vice-président et directeur général «Infrastructure» de Google, Sachin Gupta, et le directeur principal des produits «Google Cloud», Brad Bonnet, ont annoncé le lancement, avec près d’un an et demi de retard sur leurs ambitions, de Google Distributed Cloud Hosted, à la punchline sans équivoque: «Votre cloud, à votre façon».
«GDC Hosted comprend le matériel, les logiciels, le plan de contrôle local et les outils nécessaires pour déployer, exploiter, mettre à l’échelle et sécuriser un cloud géré complet», indique Sachin Gupta. «De plus, GDC Hosted s’intègre nativement avec les logiciels tiers couramment utilisés et des systèmes, tels que des modules de sécurité matériels qui ajoutent des couches de protection supplémentaires, des outils de gestion de service qui permettent une billetterie intégrée, d’observabilité pour surveillance, et DevSecOps pour améliorer le travail du développeur, la sécurité et la productivité».
GDCH est isolé et ne nécessite à aucun moment une connectivité à Google Cloud.
C’est le produit dont Proximus a pris une licence, la semaine dernière, dans le cadre de l’annonce Proximus-LuxConnect-Google autour d’un cloud souverain luxembourgeois, voire belge si affinités. Des cinq arguments de ce produit dans la communication officielle, retenons le premier, la promesse d’un isolement complet, sous-entendu par rapport à Google, qui propose sa solution à 300.000 dollars.
«GDCH est isolé et ne nécessite à aucun moment une connectivité à Google Cloud ou à l’internet public pour gérer l’infrastructure, les services, les API ou les outils, et il est conçu pour rester déconnecté à perpétuité. Google a conçu GDC Hosted pour répondre aux exigences d’accréditation les plus strictes, notamment: NIST SP 800-53-FedRAMP Contrôles de haute sécurité, ICD 503/703, FedRAMP+ pour l’autorisation IL6 et FIPS140-2L3, ainsi qu’une série d’exigences européennes, les deux existants et émergents – avec l’évolution de l’initiative d’autonomie stratégique ouverte de l’UE.»
Des Américains obligés de «bouger»
Soit les quatre standards américains et une porte ouverte sur l’initiative européenne de cloud souverain, lancée en 2020 via une entorse aux règles sur les subventions publiques. Le projet important d’intérêt européen commun (en anglais IPCEI – Important Project of Common European Interest), rallié par le Luxembourg, selon le document signé par le Premier ministre et ministre des Communications et des médias, (DP), prévoyait une enveloppe de 5 milliards d’euros et, selon le gouvernement français, comporte 60 projets qui impliquent 180 entreprises européennes.
Parmi les choses qui semblent avoir bien avancé est née une Alliance européenne pour les données industrielles, la périphérie et le cloud qu’une seule organisation luxembourgeoise a rejoint, Securitymadeinlu, . Mais on semble encore très loin d’une solution européenne autre qu’un catalogue de briques que les entreprises ou les administrations qui ont besoin du cloud puissent solliciter de manière efficace.
Pour le reste, on imagine aisément que les trois fournisseurs américains de cloud en Europe, Amazon (Amazon Web Service), Microsoft (Azure) et Google (Google Cloud Platform), qui captent 69% du marché européen à eux seuls d’après , ne vont pas risquer de passer à côté d’une belle part d’un gâteau estimé à 530 milliards d’euros en 2030 en Europe. D’où leur obligation de bouger de leurs lignes: ils ont de la technologie qui fonctionne très bien, mais sous couvert de protection de nos données personnelles, s’ils ne peuvent plus en vendre, problème.
La France, sa certification et ses offres souveraines
Mais il y a une autre manière de voir les choses: la position dogmatique française sur le cloud. Le 17 mai 2021, le ministre français de l’Économie, des Finances et de la Relance, Bruno Le Maire, décrivait une stratégie reposant sur trois piliers.
«Le premier pilier, c’est de garantir la protection maximale des données aux entreprises et aux administrations qui feront le choix de ce cloud de confiance», expliquait le numéro 2 du gouvernement français. Pour parvenir à cette «protection juridique», «les serveurs doivent être opérés en France et les entreprises qui utilisent et qui vendent ce cloud doivent être européennes et possédées par des Européens».
Lire aussi
Deuxièmement, c’est «l’accès aux meilleurs services mondiaux». «Nous avons décidé que ces meilleures entreprises de services américaines, je pense en particulier à Microsoft ou Google, pourraient licencier tout ou partie de leur technologie à des entreprises française de façon à ce que, dans ce cloud de confiance, on puisse conjuguer ce que nous n’étions jamais arrivés à conjuguer, protection maximale et valorisation maximale des données», a dit le ministre, selon le verbatim de son discours, complété par un troisième pilier consistant à s’aligner sur le et sur .
Le contrat «luxembourgeois» annoncé la semaine dernière rentre donc parfaitement dans cette manière d’envisager un cloud souverain, en dehors du fait qu’il est luxembourgeois et non français.
Statu quo sur la certification européenne
La stratégie du ministre a été suivie de trois annonces de fournisseurs de solutions:
– Whaller s’est associée à OVH, elle-même en partenariat avec à Google, partenariat aujourd’hui disparu parce que Google voulait faire les mises à jour d’une technologie à distance et non plus sur site;
– Orange s’est alliée à Capgemini et à Microsoft, alliance saluée par le patron de la cybersécurité française, Guillaume Poupard au moment où il lançait la certification SecNumCloud, première du genre en Europe;
– et Thales avait annoncé la création d’une joint-venture avec Google, baptisée S3NS, qui devrait lancer son offre de cloud souverain l’an prochain.
Aujourd’hui, sont estampillées SecNumCloud quatre entreprises:
– Cloud Temple, qui gère les besoins des clients quand il s’agit de passer par Amazon ou par Microsoft;
– OVHCloud,
– Oodrive,
– Worldline (ancienne filiale d’Atos qui est toujours son actionnaire majoritaire).
Un concept provisoire, ont rappelé les autorités françaises qui attendent que soit réalisée la promesse du Cyber Security Act, adopté en 2019, et qui prévoit des certifications européennes. Début février, les discussions étaient vives autour de six scénarios élaborés par la Commission européenne en vue de finaliser cette certification si attendue…
Cet article est issu de la newsletter hebdomadaire Paperjam Tech, le rendez-vous pour suivre l’actualité de l’innovation et des nouvelles technologies. Vous pouvez vous y abonner .