Projet : le dossier d'hébergement d'un client sensible
Ce projet clôt le cours Cloud souverain : choisir et justifier. Le niveau 300 (Concevoir) ne se valide pas par un script : il se valide par un livrable que relit une autre personne, avec la grille ci-dessous. Comptez une journée de travail, puis une heure de revue.
Le livrable sert aussi en dehors de la formation : c'est, à peu de chose près, le dossier qu'un client public ou de santé demande avant de signer.
Le cas
Un centre hospitalier de taille moyenne veut utiliser Signalements pour que ses agents techniques remontent les incidents sur ses bâtiments : fuites, pannes d'ascenseur, portes défectueuses, dégradations. Les signalements peuvent comporter des photos, prises dans les couloirs et parfois dans les chambres. L'établissement est rattaché à un groupement hospitalier de territoire, et sa direction des systèmes d'information pose quatre questions :
- Quels textes s'appliquent à ce traitement, et qu'imposent-ils à l'hébergement ?
- Où et chez qui les données seront-elles hébergées, et qui pourra y accéder ?
- Que se passe-t-il si le fournisseur cesse son service, ou si nous voulons partir ?
- Pourquoi ce choix plutôt qu'un autre, et à quel prix ?
L'architecture actuelle de Signalements est celle du cours Le cloud : les fondamentaux : deux instances et une base PostgreSQL managée chez Scaleway en fr-par, un bucket pour les photos, les images dans un registre, le code sur GitHub, l'intégration continue sur GitHub Actions, l'équipe d'exploitation qui se connecte à Argo CD par son compte Google.
Le livrable
Un document de dix pages au plus, en Markdown, qui contient dans l'ordre :
| Section | Contenu attendu | Leçon |
|---|---|---|
| 1. Données | Inventaire des données traitées, classification, présence ou non de données de santé ou de données personnelles, avec le raisonnement (et non la seule conclusion) | 4, 6 |
| 2. Obligations | Matrice des textes applicables à ce client et de ce qu'ils imposent à l'hébergement, avec pour chaque ligne la référence précise (article, version du référentiel) et la date de vérification | 2, 4 |
| 3. Dépendances | Cartographie des fournisseurs et sous-traitants de toute la chaîne (hébergement, registre, forge, CI, authentification, support, observabilité), classés par dimension de souveraineté | 1, 5 |
| 4. Risques | Trois à six scénarios de risque proportionnés : source, objectif, chemin, gravité, vraisemblance | 2, 6 |
| 5. Exigences | Exigences d'hébergement qui découlent des sections 2 et 4, en distinguant les éliminatoires des pondérées | 6 |
| 6. Options | Au moins trois options comparées dans une matrice pondérée, dont l'architecture actuelle ; statut de qualification vérifié sur la liste de l'ANSSI à la date du dossier | 3, 6 |
| 7. Décision | Note au format ADR : contexte, options, décision, conséquences (y compris ce que l'on perd), date de réexamen et événements déclencheurs | 6 |
| 8. Sortie | Plan de sortie : formats, commandes ou procédures d'export, durée estimée, responsabilités, date du dernier test | 5 |
| 9. Questions ouvertes | Ce qui doit être tranché par un juriste, le délégué à la protection des données ou le client | toutes |
Important
Ne recopiez pas les exemples des leçons : le cas diffère (un établissement de santé seul, des photos dans les chambres), et la revue vérifie précisément que le raisonnement a été refait. Revérifiez aussi chaque fait daté des leçons : une qualification, un arrêt ou un décret a pu changer depuis leur rédaction.
La revue
La personne qui relit dispose d'une heure. Elle note chaque critère de 0 à 2 (0 : absent ou faux ; 1 : présent mais incomplet ou non justifié ; 2 : complet et justifié), puis échange avec l'auteur sur les points à 0 et 1.
| Critère | Ce que la relecture vérifie |
|---|---|
| Exactitude | Chaque référence (texte, article, version, qualification) existe, est la bonne, et est datée ; aucune affirmation de droit sans source |
| Proportionnalité | Les exigences découlent des obligations et des risques, et non d'une préférence ; rien n'est exigé « par principe », rien n'est écarté par « nous n'avons rien à cacher » |
| Données de santé | La question est traitée par un raisonnement sur la définition, et la conclusion indique ce qui la ferait changer |
| Chaîne complète | Les sous-traitants hors hébergement (forge, CI, authentification, support, observabilité) sont analysés, pas seulement le fournisseur d'infrastructure |
| Distinction des notions | Localisation, juridiction, qualification et certification ne sont pas confondues ; une certification ISO 27001 n'est pas présentée comme une qualification |
| Matrice | Les éliminatoires sont appliqués avant la pondération ; les poids sont expliqués ; le résultat serait le même entre les mains d'une autre personne |
| Coût et renoncements | La décision dit ce qu'elle coûte et ce qu'elle fait perdre (services, délais, compétences) |
| Réversibilité | Le plan de sortie est exécutable : formats ouverts, commandes réelles, durée, et un test prévu ou réalisé |
| Réexamen | La note fixe une date de réexamen et les événements qui l'imposent avant (rachat, arrêt, nouvel arrêt de la CJUE, nouvelle version d'un référentiel) |
| Lisibilité | Une direction peut lire la section 7 seule et comprendre ce qui est décidé, pourquoi, et à quel prix |
Le niveau 300 est validé à 15 points sur 20, sans aucun 0 sur les critères Exactitude, Proportionnalité et Chaîne complète.
Conseils
- Commencez par la section 1 : presque tout le reste en dépend, et c'est là que les dossiers se trompent le plus souvent.
- Écrivez les questions ouvertes au fil de l'eau ; un dossier sans question ouverte est rarement un dossier honnête.
- Gardez une trace des pages consultées et de leur date, par exemple dans une annexe : c'est ce qui permettra de mettre le dossier à jour dans un an.