Google Cloud : souveraineté non garantie malgré des serveurs désormais en France

Le service Google Cloud destiné aux entreprises existe en France depuis 10 ans. Et il en aura fallu trois pour tenir cette promesse de 2019, d’avoir des serveurs, en France, sachant qu’il faut trois bâtiments, trois hangars, ou trois bunkers souterrains ; bref, trois centres de données à 10 kilomètres de distance minimum les uns des autres, par sécurité, pour pouvoir créer ce que, dans le métier, on appelle une “région“.

Celle-ci se trouve donc à cheval sur la région parisienne, avec ces trois sites dont la localisation est tenue secrète. Ils jouent chacun le rôle de sauvegarde pour les deux autres, en cas de catastrophe, incendie ou inondation. Voici donc la 34e région du Cloud de Google à travers le monde. Son nom de code : Europe – West (9) Paris.

Le géant américain joue d’ailleurs la carte du Cloud souverain pour séduire de nouveaux clients, mais celui-ci ne sera opérationnel que dans deux ans.

Cinq ans après Amazon, le leader

La question est légitime : est-ce que ces trois data centers autour de Paris garantissent que les données seront stockées en France ? La direction de Google Cloud France répond par l’affirmative, sauf à demander que les données soient aussi stockées ailleurs, bien sûr. La demande d’un stockage en France, c’est la raison d’être, fondamentale, de ce projet : pour rassurer les clients sur la sécurité de leurs données.

C’est ce même enjeu qui a motivé les concurrents américains de Google à s’implanter nettement plus rapidement en France : il y a cinq ans pour Amazon, leader incontesté, avec AWS ; il y a quatre ans pour Microsoft avec Azure ; et 24 heures avant Google, pour Oracle. Un enjeu que n’ont pas les acteurs français du Cloud comme OVH, puisqu’ils ont des infrastructures en France depuis le début. Certains ne cachent d'ailleurs pas une certaine irritation à voir le géant de Mountain View communiquer autour du “Cloud, à la française“ alors qu'eux occupent le terrain, depuis des années.

Autre question : est-ce que, pour autant, avec ces trois centres de données en région parisienne, les données confiées aujourd’hui à Google Cloud sont assurées de rester en France ? La réponse est : non, pas encore. Google est une société américaine. Elle doit répondre aux demandes d’accès aux données qui peuvent lui être adressées par la justice américaine dans le cadre du Cloud Act adopté en 2018, même si ces données se trouvent à l’étranger, et notamment en France.

Thales, partenaire et garant de Google

C’est l’une des raisons qui ont poussé Google à s’associer à Thales. Les deux groupes ont annoncé ensemble, le 30 juin, la création d’une société commune baptisée S3NS, dans laquelle Thales est fortement majoritaire. S3NS passe des contrats dès maintenant autour du Cloud de Google. Et à partir du 2e semestre 2024, autrement dit dans deux ans, Thales certifiera le niveau de sécurité du Cloud de Google selon le référentiel SecNumCloud, autrement dit le “Cloud de confiance“ défini par l’ANSSI (Agence nationale de la sécurité des systèmes d’information).

Selon Marc Darmon, le directeur général adjoint de Thales, ce sera le niveau de sécurité le plus élevé pour un Cloud public, juste en-dessous d’un Cloud certifié pour le ministère de la Défense. Le label SecNumCloud “permettra aussi de garantir une protection contre le Cloud Act“, a confirmé Anthony Cirot, directeur général de Google Cloud France, sur BFM Business. Il s'agit donc bien d'une période de transition vers un Cloud de confiance qui ne sera effectif que dans deux ans.