La Direction interministérielle du numérique (Dinum) a adressé le 15 septembre 2021 une note à l’Agence nationale de la sécurité des systèmes d’information (Anssi), ainsi qu’aux DSI des ministères pour les informer qu’Office 365 de Microsoft n’est plus conforme à la doctrine Cloud de la DSI de l’État français. Quid des données de santé du Health Data Hub hébergées par Microsoft ?
Coup de tonnerre dans l’univers feutré des suites bureautiques pour le cloud, un secteur dominé par des éditeurs comme Microsoft et Google. Nadi Bou Hanna, directeur général de la Direction interministérielle du numérique (Dinum), le DSI de l’Etat, a adressé le 15 septembre 2021 une note à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), ainsi qu’aux DSI des différents ministères pour les informer que « Office 365 n’est pas conforme à la doctrine Cloud au centre ». Il fait référence à la circulaire 6282-SG du Premier ministre en date du 5 juillet 2021 relative à la doctrine d’utilisation de l’informatique dans le cloud par l’État.
Une offre qualifiée SecNumcloud doit être immunisée contre les réglementations extracommunautaires
Dans sa règle (R9), la doctrine précise que « pour un système numérique qui manipule des données sensibles, le recours à une offre cloud commerciale est possible uniquement si cette offre est qualifiée SecNumcloud et qu’elle est immunisée contre les réglementations extracommunautaires », dont les Cloud ou Patriot Acts américains par exemple.
Quelques rares dérogations pour une durée de 12 mois, à titre transitoire
La Dinum invite donc les DSI des différents ministères français à ne plus utiliser ou installer Microsoft Office 365 immédiatement. Elle tolère quelques rares dérogations pour une durée de 12 mois, à titre transitoire, et notamment « pour les éventuels projets très avancés au 5 juillet 2021 », et sous contrôle direct du ministre de tutelle. Cette dérogation se limite au seuls services de messagerie et de « drive » personnel. Les services collaboratifs, de messagerie instantanée, de visioconférence, etc. d’Office 365 sont exclus de facto de ces dérogations. Elles peuvent être remplacée par l’offre interministérielle Snap, déjà (presque) conforme à la doctrine Cloud de l’État. Ce type de décision s’étendra-t-il aux concurrents directs de Microsoft Office 365, Google par exemple ? Et aux traitements des données de santé du Health Data Hub par Microsoft ?
Utiliser le cloud interne de l’Etat ou un cloud commercial de confiance, mutualisée entre les ministères
Au cas où les DSI des ministères et collectivités envisageraient d’externaliser la construction et le fonctionnement de leurs suites collaboratives hors de vos systèmes d’information ministériels, la Dinum les invite à la contacter « pour évaluer l’opportunité de construire (build) et d’opérer (run) une offre de service bureautique collaborative et messagerie » sur le cloud interne de l’Etat ou sur le cloud commercial de confiance, mutualisée entre les ministères qui rejoindraient l’initiative ».
Ou Bleue, un consortium cloud entre Capgemini, Orange Business Services et… Microsoft !
La Dinum les autorise également à « privilégier un scénario dans lequel le consortium « Bleu » réalise son ambition de construction d’une offre labellisée SecNumCloud conforme à la doctrine Cloud au Centre, avec une suite Office 365 bénéficiant d’un transfert de compétences et des responsabilités technique et juridique à son profit, et donc à prendre contact avec la direction de ce consortium ». La SSII Capgemini et l’intégrateur Orange Business Services (OBS) avait annoncé fin mai la création de « Bleu », un prestataire qui vendra un cloud « souverain » sur la base de la plateforme Cloud de… Microsoft. Bizarre que la Dinum estime que cette offre soit plus protégée, d’autant que Cigref, le club des DSI des très grandes entreprises, émet certaines réserves quand à son utilisation… Comme
Par quoi remplacer ces grandes suites bureautiques américaines très populaires ?
Par des solutions françaises qui seront bientôt disponibles déclare la Dinum. Mais sans préciser de date ou donner de noms. Alexandre Zapolsky, le président et cofondateur de l’éditeur open source Linagora, candidate : « Pour le porteur de l’offre de digital workplace qu’est Linagora Twake nous sommes prêts à co-constuire avec les services de la DINUM cette alternative souveraine et opensource“.
Et Alain Garnier, président de l’éditeur français Jamespot, d’ajouter : « au vu du nombre et de la qualité des plate-forme françaises et souveraines (Jamespot, Talkspirit, Twake, Whaller, etc.), l’Etat n’a que l’embarras du choix pour choisir les partenaires avec lesquels co-constuire sa DigitalWorkplace. L’eco-système y est prêt ! ».
Par ailleurs, Alexandre Zapolsky « salue la prise de position très claire du DSI de l’état ainsi que la proposition qui est faite d’évaluer l’opportunité de construire (build) et d’opérer (run) une offre de service « bureautique collaborative et messagerie » sur le cloud interne de l’Etat ou sur le cloud commercial de confiance, mutualisée entre les ministères qui rejoindraient l’initiative ».
