Microsoft annonce une série de nouvelles fonctionnalités pour son cloud public, notamment le signalement automatique de l’accès par des collaborateurs non-européens.
Sous l’appellation Data Guardian, Microsoft s’engage à conserver et traiter les données sur une infrastructure européenne. Seul le personnel européen gérera l’accès à distance à ces systèmes. Ce contrôle humain et technique doit garantir que l’accès à distance de Microsoft à ces systèmes est approuvé et contrôlé par du personnel européen. Cet accès est également enregistré dans une base de données que Microsoft prétend inviolable.
Une deuxième annonce concerne la gestion des clés externes (‘external key management’). Celle-ci permet aux clients d’associer leur environnement Azure à des clés de cryptage stockées sur leur propre matériel (Hardware Security Module ou HSM), sur site ou auprès d’un acteur de confiance. Futurex, Thales et Utimaco, entre autres, supporteront cette fonctionnalité.
Une troisième annonce porte sur la gestion des environnements réglementés (‘regulated environment management’). Les clients pourront ainsi gérer les deux fonctionnalités susmentionnées depuis un seul et même emplacement. Ces outils permettront de configurer, déployer et surveiller de manière conviviale les charges de travail dans le cloud public souverain.
‘Sovereign’
Un avertissement important à propos de ces promesses: Microsoft aime apposer le terme souverain (‘sovereign’) sur plusieurs formules cloud. C’est ainsi qu’elle parle d’un ‘public sovereign cloud’, actuellement déployé dans tous ses centres de données européens.
Cela donne l’impression d’un environnement cloud souverain, mais tel n’est pas le cas. Un véritable centre de données ou environnement cloud souverain est un centre de données qui fait tourner les logiciels (et éventuellement le matériel) d’Azure/AWS/Google, mais sans connexion directe au reste du réseau cloud de cet acteur. Généralement, ces centres de données sont également détenus et gérés par un acteur local. Un centre de données Microsoft n’est donc en principe pas un ‘sovereign cloud’.
Localement
Ceux qui souhaitent réellement faire tourner une infrastructure cloud Microsoft localement et en gestion propre pourront désormais utiliser Microsoft 365 Local. Les logiciels serveur de la suite bureautique, notamment Exchange et SharePoint, pourront ainsi entièrement tourner dans le centre de données du client.
Promesses et réalité
Les annonces de Microsoft s’inscrivent dans le contexte géopolitique actuel. De nombreuses entreprises européennes prennent progressivement conscience de leur dépendance aux acteurs américains, Microsoft souvent en tête, pour de grandes parties de leur infrastructure technologique.
Microsoft a toujours formellement confirmé l’importance qu’elle accorde à la confidentialité et à la sécurité opérationnelle de ses clients européens. Il y a quelques semaines encore, l’entreprise a fièrement annoncé qu’elle saisirait également les tribunaux, si le gouvernement américain la contraignait à cesser ses services cloud.
D’un autre côté, certains incidents jettent un sérieux doute sur ces promesses. C’est ainsi que des entreprises technologiques américaines ont déjà été régulièrement exploitées par les services de sécurité américains à des fins d’espionnage, comme en témoignent les révélations avérées du lanceur d’alerte Edward Snowden. Mais il existe également des cas connus où de la technologie américaine a été intégrée à des portes dérobées spécifiques, très probablement à des fins d’espionnage similaires.
Ces incidents ne concernent pas directement Microsoft. Cependant, même les plus belles promesses en matière de confidentialité doivent être prises avec des pincettes, lorsqu’elles émanent d’une entreprise dont le siège social est aux Etats-Unis et qui dépend fortement de contrats gouvernementaux lucratifs dans ce pays.