Il n'y a pas de réponse unique à la question de l'hébergement. Certaines données doivent ou gagnent à rester dans votre pays, d'autres peuvent sans inconvénient être confiées à un cloud international. Le bon choix dépend de trois choses : la nature de vos données, les règles qui s'appliquent à votre activité, et votre capacité à reprendre la main si vous changez de prestataire. La géographie compte, mais moins que la maîtrise.
Où se trouvent réellement vos données aujourd'hui ?
Avant de débattre de souveraineté, faites l'inventaire. Dans la plupart des PME, la réponse honnête est : un peu partout. La comptabilité sur l'ordinateur du comptable. Les fichiers clients dans une messagerie gratuite dont les serveurs sont à l'autre bout du monde. Les documents partagés sur un espace de stockage en ligne ouvert par un ancien stagiaire. Les échanges commerciaux dans des messageries personnelles. Les sauvegardes, quand il y en a, sur un disque dans un tiroir.
Autrement dit, beaucoup d'entreprises qui s'interrogent sur l'hébergement en Afrique ont déjà, sans l'avoir décidé, leurs informations les plus sensibles dispersées sur des services étrangers, sous des comptes individuels. La première mesure de souveraineté consiste à savoir ce que l'on possède, où, et sous quel contrat.
Que veut dire « souveraineté des données » pour une entreprise ?
Le mot est chargé politiquement. Pour un dirigeant, il recouvre quatre questions très pratiques :
- La localisation. Dans quel pays les serveurs se trouvent-ils physiquement ?
- Le droit applicable. Quelles lois s'appliquent à ces données, et quelles autorités peuvent demander à y accéder ?
- Le contrôle. Qui détient les accès d'administration ? Vous, votre prestataire, un tiers ?
- La réversibilité. Pouvez-vous récupérer l'intégralité de vos données, dans un format exploitable, et partir ailleurs ?
On peut héberger ses données à deux rues de son siège et n'avoir aucun contrôle, parce que le prestataire garde tous les accès et qu'aucun contrat ne prévoit la restitution. On peut aussi les confier à un fournisseur étranger avec un contrat clair, des données chiffrées dont vous gardez les clés, et des exports réguliers. La souveraineté réelle est une combinaison de ces quatre points.
Quelles sont les options d'hébergement ?
| Option | Points forts | Points faibles | Pour qui |
|---|---|---|---|
| Serveur dans vos locaux | Maîtrise physique, accès même sans internet | Dépend de l'électricité, de la climatisation, de la sécurité du local et d'une personne compétente sur place | Sites isolés, besoins très locaux, à condition d'avoir une copie ailleurs |
| Centre de données dans votre pays ou la sous-région | Données sur le territoire, proximité, interlocuteur local, bonne réactivité pour les utilisateurs proches | Offre et niveau de service variables selon les pays, à vérifier au cas par cas | Données réglementées, administrations, acteurs soucieux de localisation |
| Cloud international | Large choix de services, redondance, montée en charge facile | Données hors du territoire, facturation en devises, dépendance aux liaisons internationales | Applications sans contrainte de localisation, équipes réparties sur plusieurs pays |
| Approche mixte | Chaque donnée au bon endroit, copie de secours sur un second site | Architecture plus élaborée à concevoir et à suivre | La plupart des entreprises qui grandissent |
L'approche mixte est souvent la plus raisonnable. Par exemple : la base de gestion et les données personnelles dans un centre de données de la sous-région, une sauvegarde chiffrée sur un second site, et les outils de bureautique courants chez un fournisseur international.
Faut-il obligatoirement héberger ses données dans son pays ?
Cela dépend de votre secteur et de votre pays. Plusieurs États d'Afrique de l'Ouest encadrent le transfert de données personnelles vers l'étranger, et certains secteurs, la finance, la santé, les télécommunications, les administrations, sont soumis à des exigences particulières. Ces règles évoluent et diffèrent d'un pays à l'autre. Nous ne pouvons pas les résumer ici sans risque d'erreur : adressez-vous à l'autorité nationale de protection des données de votre pays, et au régulateur de votre secteur s'il en existe un.
Au-delà de l'obligation, quelques critères de bon sens orientent le choix :
- La sensibilité. Un catalogue de produits n'appelle pas les mêmes précautions qu'un fichier de patients.
- Les utilisateurs. Si tous sont à Conakry ou à Abidjan, un hébergement proche offre généralement de meilleurs temps de réponse.
- La connexion. Si votre liaison internet est fragile, prévoyez un fonctionnement dégradé, quel que soit l'hébergement. Nous en parlons dans notre article sur les applications qui marchent partout.
- Les compétences. Un serveur demande quelqu'un pour le surveiller, le mettre à jour, le sauvegarder. Qui s'en charge ?
- Le coût complet. Matériel, énergie, onduleurs, maintenance et temps passé pour un serveur local. Abonnements, trafic et variations de change pour le cloud.
Un cas typique : une institution de microfinance à Abidjan
Une institution de microfinance en croissance utilisait un logiciel installé sur un serveur dans son siège d'Abidjan, dans un local technique sans climatisation fiable. Deux coupures de courant prolongées avaient déjà immobilisé les agences pendant plusieurs heures. La direction voulait « passer au cloud », sans trop savoir ce que cela impliquait, tandis que le responsable de la conformité s'inquiétait de voir les données des clients quitter le pays.
Le débat opposait deux positions de principe. Il s'est dénoué en classant les données. Les informations sur les clients et les opérations, soumises aux exigences du secteur, ont été placées dans un centre de données de la sous-région, après vérification auprès des autorités concernées. Une copie chiffrée est conservée sur un second site. Les outils sans données sensibles, messagerie, site public, supports de formation, sont restés chez des fournisseurs internationaux. Et le contrat d'hébergement précise noir sur blanc comment l'institution récupère ses données si elle change de prestataire.
Personne n'a eu entièrement raison, et c'est bon signe. La décision s'est prise sur des faits, donnée par donnée.
Quelles questions poser à un hébergeur ?
- Où sont situés les serveurs, et où sont stockées les sauvegardes ?
- Quels engagements écrits sur la disponibilité, et que se passe-t-il s'ils ne sont pas tenus ?
- Comment l'alimentation électrique et la liaison internet sont-elles secourues ?
- Qui, chez l'hébergeur, peut accéder à mes données, et dans quelles conditions ?
- Les données sont-elles chiffrées, et qui détient les clés ?
- Comment récupérer toutes mes données, sous quel format et dans quel délai, si je pars ?
- Puis-je visiter le site ou consulter un rapport de contrôle indépendant ?
La question de la sortie est la plus révélatrice. Elle rejoint celle de la propriété de vos outils, que nous traitons dans être propriétaire de son logiciel et de son code source : maîtriser son hébergement n'a de sens que si l'on maîtrise aussi ce qui tourne dessus. Et quel que soit le lieu, les réflexes décrits dans les bases de la sécurité des données restent indispensables.
Vous préparez un projet et la question de l'hébergement se pose ? Parlons-en. Nous ne vendons pas d'hébergement à tout prix : nous vous aidons à choisir celui qui correspond à vos données, à vos contraintes et à votre budget.
Pour renforcer la protection de vos systèmes et de vos données, découvrez notre offre cybersécurité ou estimez votre projet.