Contrairement aux idées reçues, la question de la souveraineté ne se résume pas aux craintes liées au Cloud Act américain, mais concerne avant tout le contrôle effectif de ses données et de son infrastructure numérique.

Concrètement, un cloud souverain doit répondre à quatre principes fondamentaux :

1. La résidence des données

Savoir où sont stockées vos données et avoir la garantie qu’elles respectent les lois du territoire choisi.

2. Le contrôle d’accès

Maîtriser qui peut accéder à vos informations et dans quelles conditions.

3. La sécurité et la résilience

Bénéficier de protections robustes contre les cybermenaces et assurer la continuité d’activité.

4. La réversibilité

Pouvoir récupérer ses données et changer de fournisseur sans dépendance technologique.

Une réalité similaire au Canada

Il est important de mettre en perspective le Cloud Act par rapport aux pouvoirs équivalents que possèdent les autorités canadiennes. En réalité, les mécanismes d’accès aux données au Canada ne sont pas fondamentalement différents de ceux prévus par le Cloud Act.

Au Canada, les forces de l’ordre peuvent déjà :

• Obtenir des mandats de perquisition pour les données numériques : En vertu de l’article 487 du Code criminel, les agents de la paix peuvent obtenir des mandats pour fouiller et saisir des données informatiques, y compris l’utilisation de tout ordinateur se trouvant dans un lieu pour vérifier les données qu’il contient ou auxquelles il donne accès. 
• Exiger la communication de données : La Loi sur la protection des renseignements personnels prévoit des exceptions permettant la communication de renseignements personnels « exigée par subpoena, mandat ou ordonnance d’un tribunal » ou « à un organisme d’enquête déterminé par règlement en vue de faire respecter des lois fédérales ou provinciales ». 
• Accéder aux données sans avis préalable : Tout comme le Cloud Act, le système canadien permet l’exécution de mandats sans notification immédiate aux personnes concernées, notamment dans les enquêtes de sécurité nationale. 
• Préserver les données : La Loi sur la protection des Canadiens contre la cybercriminalité prévoit des ordres de préservation de données informatiques, obligeant les fournisseurs de services à conserver certaines données pendant une période déterminée. 

Les protections sont similaires :

• Les deux systèmes exigent une autorisation judiciaire pour accéder aux données
• Les deux prévoient des mécanismes de contestation
• Les deux incluent des protections contre les demandes abusives
• Les deux permettent aux fournisseurs de services de contester les demandes non conformes

En essence, si votre entreprise québécoise héberge ses données chez un fournisseur canadien, elle reste soumise aux mêmes types de demandes gouvernementales qu’avec un fournisseur américain opérant sous le Cloud Act. La différence n’est pas dans l’existence de ces pouvoirs, mais dans la juridiction qui les exerce.

Protection contre les pannes et incidents

En 2021, 52% des TPE/PME/ETI ont été victimes d’attaques par rançongiciel. Une architecture cloud souveraine offre des garanties de résilience et de récupération des données cruciales pour la continuité d’activité.

Conformité réglementaire simplifiée

La non-conformité aux réglementations telles que le RGPD peut entraîner des sanctions financières importantes. Un cloud souverain facilite le respect des obligations légales en offrant des garanties claires sur la localisation et le traitement des données.

Indépendance technologique

Un monopole commercial qui permet de multiplier le prix par 2 ou 5 à l’occasion d’un renouvellement contractuel est tout autant un danger pour la souveraineté. La vraie souveraineté inclut la capacité de changer de fournisseur sans subir de chantage économique.

Architecture multi-régions canadiennes

Régions AWS disponibles au Canada :

• Canada Central (ca-central-1) : Région de Montréal avec 3 zones de disponibilité
• Canada West (ca-west-1) : Région de Calgary avec 3 zones de disponibilité

Cette configuration bi-régionale permet aux entreprises québécoises de :

• Maintenir une haute disponibilité avec basculement automatique entre régions
• Respecter les exigences de résidence des données en gardant tout au Canada
• Optimiser la latence pour les utilisateurs de l’Ouest et de l’Est du pays
• Implémenter une stratégie de reprise après sinistre robuste

AWS Control Tower : Gouvernance automatisée

AWS Control Tower offre des garde-fous de résidence des données (Data Residency Guardrails) qui peuvent être configurés spécifiquement pour le Canada :

Configuration recommandée :

1. Restriction régionale : Activer le « Region Deny » pour bloquer automatiquement tout déploiement en dehors des régions canadiennes
2. Surveillance automatique : Déployer des règles de détection qui alertent en cas de création de ressources non conformes
3. Politiques préventives : Mettre en place des Service Control Policies (SCP) qui empêchent :
   • La réplication de données vers des régions non-canadiennes
   • La création de passerelles internet non autorisées
   • L’utilisation de services incompatibles avec la résidence des données

Avantages pour les PME :

• Configuration automatisée : Pas besoin d’expertise technique approfondie
• Conformité continue : Surveillance automatique 24/7
• Coût maîtrisé : Pas de frais supplémentaires pour les garde-fous (seuls les services sous-jacents sont facturés)

Chiffrement avancé avec AWS KMS et External Key Store (XKS)

Pour les PME ayant des exigences de souveraineté strictes, AWS propose des options de chiffrement avancées :

Option 1 : AWS KMS avec clés gérées par le client

• Clés de chiffrement générées et stockées dans les HSM d’AWS au Canada
• Contrôle total sur l’accès et la rotation des clés
• Compatible avec plus de 100 services AWS

Option 2 : External Key Store (XKS)

• Clés de chiffrement stockées complètement à l’extérieur d’AWS
• Partenaires canadiens disponibles (incluant des solutions avec Thales et Atos)
• Modèle « Hold Your Own Keys » (HYOK) pour une souveraineté maximale

Réseau privé et isolation

Configuration VPC souveraine :

• VPC privé dans les régions canadiennes uniquement
• Sous-réseaux privés sans accès internet direct
• VPN ou Direct Connect pour la connectivité sécurisée
• Endpoints VPC pour accéder aux services AWS sans transit par internet
• Flow Logs pour surveiller tout le trafic réseau

Points de contrôle réseau :

• Tous les flux de données restent dans l’infrastructure canadienne
• Chiffrement automatique de toutes les communications inter-régions
• Surveillance en temps réel des connexions non autorisées

Surveillance et audit continus

Outils de conformité automatisés :

• AWS CloudTrail : Audit de toutes les actions API
• AWS Config : Surveillance de la configuration des ressources
• AWS Security Hub : Dashboard centralisé de sécurité
• AWS GuardDuty : Détection d’activités suspectes

Comment choisir la bonne approche ?

Pour les PME débutantes :

• Commencer avec les régions canadiennes et AWS Control Tower
• Utiliser le chiffrement AWS KMS standard avec des clés gérées par le client
• Implémenter progressivement les garde-fous de résidence des données

Pour les PME avec exigences strictes :

• Architecture multi-régions Canada Central + Canada West
• External Key Store (XKS) avec HSM canadien
• VPC entièrement privé avec surveillance continue

Évaluation des coûts :

• AWS KMS : 1$/mois par clé (identique pour XKS)
• Control Tower : Gratuit (seuls les services sous-jacents sont facturés)
• Surveillance : AWS Config ~0.003$ par règle par région

Leurs engagements incluent :

• Contrôle de la localisation des données : Les clients contrôlent l’emplacement de leurs données, avec actuellement huit régions disponibles en Europe.
• Contrôle d’accès vérifiable : Le système AWS Nitro utilise du matériel et des logiciels spécialisés pour protéger les données contre tout accès extérieur.
• Chiffrement universel : Tous les services AWS supportent déjà le chiffrement, la plupart avec des clés gérées par le client et inaccessibles à AWS.

Que ce soit avec AWS, Microsoft Azure, Google Cloud ou des alternatives européennes comme OVHcloud, l’important est de s’assurer que vous gardez la maîtrise de votre patrimoine numérique.

Chez Unicorne, nous accompagnons les entreprises québécoises dans cette démarche en privilégiant des architectures qui allient performance, sécurité et souveraineté. Parce que votre autonomie numérique est la clé de votre réussite future.