Souveraineté numérique : reprendre le contrôle de vos dépendances importantes

La souveraineté numérique est fondamentalement une question de contrôle : la capacité d’une organisation à maintenir l’autorité sur ses activités, ses données, son infrastructure numérique et sa technologie. Il s’agit de veiller à ce que ces actifs soient gérés, protégés et régis conformément aux lois en vigueur, aux exigences organisationnelles et aux priorités stratégiques. De façon plus générale, la souveraineté numérique est la capacité de faire, de préserver et d’appliquer des choix stratégiques concernant les capacités numériques dont dépend l’organisation.

La souveraineté numérique ne signifie pas une autonomie absolue, pas plus qu’il ne faut tout ramener à l’interne. À une époque où l’interdépendance est la norme, il s’agit de définir où le contrôle doit être conservé, à quel degré et dans quel but.

Notamment, la souveraineté numérique est souvent réduite à l’emplacement des données. Bien que cette préoccupation soit légitime, elle ne suffit plus. Une organisation peut héberger ses données dans la région appropriée, satisfaire aux exigences réglementaires et réussir les audits, tout en restant profondément dépendante d’un fournisseur pour la gestion des identités, l’exploitation, les interfaces d’application, les capacités d’intelligence artificielle (IA) ou les chaînes d’approvisionnement contractuelles. Dans ce scénario, l’entreprise peut se conformer, mais elle n’est pas vraiment en contrôle.

Vue sous cet angle, la souveraineté numérique devient une stratégie de gestion des risques liés aux dépendances importantes. Pour les organisations qui cherchent à assurer un meilleur contrôle, voici quelques éléments clés à garder à l’esprit.

1. Conformité, cybersécurité, souveraineté numérique : logiques connexes, mais distinctes

La conformité des organisations commerciales consiste à déterminer et à respecter les exigences juridiques, réglementaires et, le cas échéant, sectorielles qui régissent leurs activités. Elle est maintenue par des politiques et des contrôles, mais elle ne doit pas être considérée comme un exercice purement binaire. Une organisation peut se conformer de manière formelle à ses obligations tout en étant confrontée à d’importantes dépendances opérationnelles ou stratégiques. La perspective est différente pour une entité gouvernementale, qui fonctionne non seulement dans un cadre juridique, mais qui définit ce cadre dans la poursuite de la politique publique et de l’autonomie stratégique.

La cybersécurité, quant à elle, vise à réduire la probabilité et les retombées des incidents touchant la confidentialité, l’intégrité ainsi que la disponibilité des systèmes et des services.

Cette différence est essentielle. La conformité établit une base de référence, tandis que la souveraineté numérique définit un niveau de contrôle. Ce n’est pas binaire, comme si une organisation pouvait simplement être « souveraine » ou « non souveraine ». Cela s’apparente davantage à un cadran, que l’on ajuste en fonction des activités, des marchés, des dépendances, de l’importance des services et des scénarios de perturbations qui doivent être absorbés.

Le but consiste à définir des objectifs pour les portées ciblées où un niveau élevé de contrôle est essentiel, sans tenter de rendre l’ensemble de l’organisation « souveraine ».

2. Maîtriser toute la chaîne de dépendance

Réduire la souveraineté numérique seulement à l’emplacement des données est tentant, mais pas suffisant. Des dépendances existent entre plusieurs couches de la pile technologique ; certaines sont très visibles, d’autres moins, et chacune peut influer considérablement sur les choix, les risques et les contraintes d’une entreprise. Une organisation peut, par exemple, stocker et protéger ses données entièrement sur son territoire tout en s’appuyant sur un fournisseur étranger pour gérer l’identité des utilisateurs, administrer les plateformes, surveiller les systèmes essentiels ou fournir le matériel indispensable. Lorsque le contrôle d’éléments clés de la pile technologique incombe à des parties externes, un risque important peut subsister, peu importe où se trouvent les données elles-mêmes.

Pour être utile, une analyse de la souveraineté numérique doit couvrir l’ensemble de la chaîne de dépendance numérique. Tout commence par les données : le stockage, les sauvegardes, les transferts, le chiffrement, la gouvernance et la capacité d’isoler ou de déplacer des actifs informationnels. Elle doit également comprendre la gestion des identités et des accès, les répertoires, la fédération d’identité, la fonctionnalité d’authentification unique, l’authentification multifacteur, la gestion des privilèges et les comptes administratifs.

Dans de nombreuses entreprises, la dépendance la plus importante n’est pas liée aux données elles-mêmes, mais à la couche qui contrôle l’accès et permet l’administration du système.

L’analyse doit ensuite s’étendre aux applications et aux plateformes, y compris les solutions de logiciel-service ainsi que de plateforme-service, les API exclusives, les composants gérés, les intergiciels et les dépendances vis-à-vis de fonctionnalités non portables. La couche opérationnelle est tout aussi décisive : elle couvre la surveillance, la maintenance à distance, le soutien, les mises à jour, la gestion des incidents et le recours à des équipes externes ou à des sous-traitants possédant une autorité technique importante.

Les dimensions juridiques et contractuelles doivent également être évaluées, y compris le droit applicable, la sous-traitance en cascade, les droits d’audit, la réversibilité, les conditions de suspension des services et les changements unilatéraux des politiques commerciales. Enfin, l’infrastructure et le matériel ne doivent pas être négligés, y compris les chaînes d’approvisionnement, les composants, les micrologiciels, la dépendance vis-à-vis d’accélérateurs spécialisés, la disponibilité de la capacité de calcul et l’exposition à des restrictions commerciales ou industrielles.

3. Accepter le coût tout en tirant parti de ses avantages

Dans un écosystème dominé par quelques grands fournisseurs mondiaux, l’accroissement de la souveraineté numérique a un prix : des choix techniques moins normalisés, des fonctionnalités réduites, des architectures plus exigeantes, des contrats complexes, la maintenance des capacités de basculement, des mises à l’essai supplémentaires et parfois des coûts à court terme plus élevés. Cependant, l’absence de souveraineté numérique a aussi des coûts, souvent moins visibles au début, mais potentiellement beaucoup plus élevés. Il s’agit notamment de la dépendance vis-à-vis de fournisseurs, des départs tardifs coûteux, des renégociations déséquilibrées, l’incapacité de répondre aux appels d’offres, des interruptions de service, une souplesse stratégique réduite et d’éventuelles violations de la conformité réglementaire.

La souveraineté numérique n’est pas seulement une dépense protectrice ; elle peut devenir un avantage concurrentiel.

Cela est particulièrement vrai pour les organisations qui accordent une grande importance au contrôle dans l’ensemble de l’écosystème numérique, y compris les secteurs réglementés, les marchés publics, les infrastructures essentielles, les soins de santé, la défense, les finances et d’autres secteurs sensibles. Dans de tels contextes, la transparence, la vérifiabilité, la réversibilité et le contrôle des sous-traitants deviennent des critères de sélection, et la résilience devient un argument commercial.

Le renforcement de la souveraineté numérique dans ces secteurs peut également avoir un effet positif plus large dans l’ensemble de l’écosystème. Les organisations à l’extérieur des secteurs traditionnellement sensibles peuvent encore être indirectement exposées à des actions d’États hostiles par le biais de fournisseurs partagés, de chaînes d’approvisionnement interconnectées ou de dépendances numériques importantes. Les pratiques et les mesures de protection élaborées pour les environnements sensibles peuvent donc contribuer à améliorer la résilience d’un plus large éventail d’organisations.

4. IA : un accélérateur de dépendance

L’intelligence artificielle introduit une nouvelle forme de dépendance. Le débat est souvent centré sur les données et les modèles. Pour de nombreuses entreprises, le problème le plus urgent se situe ailleurs : l’accès à la puissance informatique, aux accélérateurs matériels, aux plateformes infonuagiques, aux modèles de fondations, aux outils d’orchestration, aux bibliothèques, aux services de gestion déléguée et aux API.

Seuls les acteurs ayant des capacités d’investissement massives peuvent fournir des services d’IA de pointe. L’atteinte d’une souveraineté numérique dans l’ensemble de la chaîne de l’IA est irréaliste pour la plupart des entreprises.

Sans stratégie, l’IA ajoutera une autre couche de dépendance. Pour renforcer votre position dans ce domaine, vous devez déterminer dans quels cas les options doivent être conservées, dans quels cas la transparence, la vérifiabilité et la réversibilité sont nécessaires, et dans quels cas les modèles doivent être remplaçables, les services commutés, les charges de travail rapatriées ou les utilisations sensibles isolées.

5. Approche pragmatique : souveraineté numérique par portée et par niveau

Une stratégie de souveraineté numérique doit traduire les objectifs stratégiques en décisions et en priorités concrètes. Pour ce faire, les organisations ont besoin d’une méthode structurée, appuyée par des outils pratiques et des livrables.

La première étape consiste à établir un schéma des dépendances couvrant les processus opérationnels essentiels, les données, les applications, l’infrastructure et les dépendances vis-à-vis des fournisseurs. Cette mise en correspondance devrait indiquer où l’organisation fait appel à des fournisseurs externes, où les options de changement sont limitées et où une perturbation pourrait avoir une incidence sur les activités essentielles.

L’organisation devrait ensuite définir un cadre de souveraineté numérique qui établit les critères d’évaluation à appliquer uniformément dans ces dépendances. Ces critères peuvent comprendre le contrôle des données, la compétence, la gouvernance de l’accès, la vérifiabilité, la portabilité, la réversibilité, l’autonomie opérationnelle, l’exposition à la chaîne d’approvisionnement et la capacité de remplacer ou de rapatrier un service.

Chaque dépendance critique peut ensuite être évaluée au moyen d’une feuille de pointage de la souveraineté numérique ou d’une matrice de risque qui tient compte des éléments suivants :

• importance de l’activité commerciale soutenue ;
• degré de dépendance à l’égard d’un fournisseur ou d’une technologie ;
• conséquences d’une perturbation juridique, politique, commerciale ou opérationnelle ;
• niveau de contrôle actuel ;
• faisabilité et coût des autres arrangements.

À partir de cette évaluation, l’organisation peut attribuer un niveau cible de souveraineté numérique à chaque portée.

1. Standard : la dépendance est acceptable et surveillée.
2. Renforcé : d’autres mesures de protection, protections contractuelles, mesures de portabilité et options de sortie éprouvées sont nécessaires.
3. Souverain : l’organisation doit conserver un degré élevé de contrôle technique, opérationnel, juridique et stratégique.

Le résultat principal devrait être une feuille de route de la souveraineté numérique qui définit les mesures correctives, les priorités et les échéanciers.

Accepter les dépendances ou les maîtriser ?

La souveraineté numérique n’est ni un slogan ni un luxe. C’est une réponse concrète à une nouvelle réalité. Les entreprises s’appuient sur des dépendances profondes et parfois invisibles, et l’IA accélérera cette tendance.

Le défi consiste à prendre des décisions éclairées quant aux questions ci-dessous.

• Qu’est-ce qui doit rester sous contrôle à tout prix ?
• Quelles dépendances sont acceptables ?

Vous n’avez pas besoin de tout gérer à l’interne.

Une stratégie de souveraineté numérique consiste à choisir ce que vous contrôlez. La stratégie en TI et les conseillers en cybersécurité de CGI aident les clients à transformer la souveraineté numérique en avantage afin qu’ils puissent cesser d’accepter leurs dépendances et commencer à les maîtriser.

De plus, à mesure que l’IA devient un élément de plus en plus essentiel du paysage de la souveraineté numérique, l’IA souveraine applique les principes de souveraineté numérique aux modèles, aux données, à la puissance de calcul et à la gouvernance de l’IA. Apprenez-en davantage sur notre expérience et nos capacités en IA souveraine.

Enfin, n’hésitez pas à communiquer avec moi pour discuter de ce sujet de plus en plus primordial.