2856 BULLETIN OFFICIEL Nº 7254 bis – 23 joumada I 1445 (7-12-2023)
7 /25 De plus, il convient de noter que certains pays établissent des juridictions d’une portée extraterritoriale. Ces juridictions s’appliquent à tous les fournisseurs de services nationaux et leur confèrent le droit de superviser les données hébergées dans d’autres pays par ces mêmes fournisseurs. Par exemple, le CLOUD15 Act, actuellement en vigueur aux Etats Unis, permet théoriquement d’accéder aux données à caractère sensible relevant d’un organisme national si elles sont hébergées par un fournisseur de services cloud américain.
Il y a donc un enjeu primordial pour notre pays : les données et applications à caractère sensible (secrets protégés par la loi, données pour l’accomplissement de missions essentielles de l’Etat) doivent être localisées sur le sol national et administrées par des opérateurs de cloud soumis à la réglementation marocaine, de manière à faire prévaloir les lois nationales en matière de cybersécurité et de protection des données à caractère personnel.
Toutefois, la localisation exclusive des données, hormis celles classées sensibles, n’est plus requise dans certains pays16. Il est plutôt judicieux de renforcer les mesures relatives à la sécurité telles que le chiffrement, l’anonymisation, les audits de sécurité réalisés par des parties tierces et le respect des normes de sécurité applicables17. Indépendamment de la localisation des données, une approche « zero trust » doit être adoptée, consistant à réduire la « confiance implicite » accordée dans le modèle périmétrique de sécurité aux utilisateurs et aux activités menées par le biais des équipements de l’entité18.
Définition de « zero trust » L’approche de sécurité « zero trust » repose sur la notion qu'aucun élément du réseau ne peut être considéré comme fiable par défaut, qu'il s'agisse des terminaux, des utilisateurs ou des processus. Le principe sous-jacent du « zero trust » est de ne jamais accorder une confiance implicite, mais plutôt de s'appuyer sur une vigilance constante et sur des mécanismes de vérification en permanence.
La mutualisation des ressources, la croissance économique et la transformation digitale L’enjeu économique principal du cloud est celui de la mutualisation. En effet, il n’est pas viable que chaque administration ou chaque entreprise se dote de sa propre infrastructure 15 Clarifying Lawful Overseas Use of Data 16 Par exemple, le Qatar :( cloud policy framework ) 17 Ces normes peuvent inclure: CSA STAR, ISO 22301 (Business continuity management systems), ISO/IEC 27001 (Information security management), ISO/IEC 27701 (Privacy information management), ISO/IEC 27017 (Cloud security), ISO/IEC 27018 (Cloud privacy), ISO/IEC 27035 (Incident reporting), Service Organization Controls Report "SOC" 1 and 2, Payment Card Industry Data Security Standard ("PCI DSS") for financial services.
18 https://www.ssi.gouv.fr/agence/publication/le-modele-zero-trust/ .
.