Le 1er septembre 2026, un nouveau fournisseur cloud a rejoint la liste restreinte des prestataires qualifiés SecNumCloud (la qualification de cybersécurité délivrée par l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information, aux fournisseurs d’informatique en nuage). Cette qualification porte sur son offre IaaS (infrastructure as a service : serveurs, stockage et réseau mis à disposition). Chaque nouvelle qualification est saluée comme une avancée pour la confiance numérique. Elle l’est. Mais elle rappelle aussi une confusion fréquente entre ce que ce label garantit et ce que les organisations en déduisent trop vite sur leur propre sécurité.
Une qualification qui répond à une exigence réelle
Obtenir SecNumCloud suppose de démontrer, sur plusieurs mois, la robustesse technique de l’infrastructure, la protection contre les accès non autorisés, la continuité d’activité et la traçabilité des opérations. Le référentiel impose aussi, depuis 2022, une immunité à l’égard des législations extérieures à l’Union européenne susceptibles de contraindre l’accès aux données hébergées. Pour des secteurs soumis à des obligations strictes, santé, finance, administration, cette exigence n’a rien de symbolique. Les organisations qui choisissent un hébergeur qualifié font un choix vérifié par une autorité publique, l’ANSSI, plutôt qu’un choix déclaré par le fournisseur.
Son périmètre s’arrête à la brique technique, pas à l’usage qui en est fait
Cette qualification porte sur l’infrastructure : les serveurs, le réseau, le stockage, les procédures de l’opérateur. Elle ne porte pas sur ce que chaque organisation construit ensuite au sommet de cette infrastructure. Une application mal configurée, des droits d’accès trop larges, un compte administrateur mal protégé, restent possibles sur une infrastructure pourtant qualifiée. Le référentiel le précise directement : SecNumCloud qualifie un service d’hébergement, pas les usages qui en découlent. Confondre les deux revient à croire qu’un immeuble aux normes garantit la sécurité de ce que chaque locataire fait chez lui.
Sécuriser le contenant ne sécurise pas ce qu’il contient
C’est la distinction qui structure tout le sujet. Le contenant, l’infrastructure, peut être robuste, qualifié, audité, sans que le contenu, les applications, les données, les usages, le soit autant. Les rapports publiés par l’ANSSI sur les incidents traités rappellent régulièrement qu’une part importante des compromissions provient d’une mauvaise gestion des accès ou d’une configuration défaillante, bien plus que d’une faille propre à l’infrastructure. Un hébergeur qualifié réduit un risque précis et documenté. Il ne dispense pas l’organisation qui l’utilise de surveiller ce qu’elle construit et opère au quotidien sur cette base.
La vigilance se joue dans la gestion quotidienne, pas dans l’audit annuel
Une qualification SecNumCloud est délivrée à un instant donné, revue périodiquement. Entre deux audits, les organisations ajoutent des services, ouvrent des accès, modifient des configurations. C’est dans cet intervalle que se prennent la plupart des décisions qui déterminent le niveau réel de sécurité : qui a accès à quoi, comment les alertes sont traitées, à quelle vitesse une faille identifiée est corrigée. Le label atteste d’un état de départ solide. Il ne remplace pas l’attention continue que suppose l’exploitation d’un système d’information, semaine après semaine, bien après la remise du certificat.
Cette vigilance ne suppose pas de tout internaliser, mais de savoir ce que l’on délègue
Peu d’organisations ont les moyens de surveiller seules chaque couche de leur système d’information. Faire appel à des prestataires spécialisés pour une partie de cette surveillance est un choix légitime, à condition de savoir précisément ce qui est délégué et ce qui reste sous contrôle interne. À l’inverse, multiplier les outils et les alertes sans les hiérarchiser produit souvent l’effet contraire de celui recherché : des signaux que plus personne ne traite réellement. La maîtrise ne se mesure pas au nombre d’outils déployés, mais à la clarté de ce que chacun surveille.
Une qualification d’infrastructure et une vigilance sur les usages ne s’opposent pas, elles se complètent. La première offre un socle vérifié par une autorité publique. La seconde reste, quoi qu’il arrive, la responsabilité de chaque organisation. L’enjeu n’est donc pas de choisir entre la confiance dans un label et l’attention portée à ce qui tourne dessus, mais de ne jamais confondre les deux.
Cet article a été rédigé par Olivier Arous, CEO d’Ogo Security.