Transparence opérationnelle et contrôle des données

La transparence opérationnelle et le contrôle des données décident, au quotidien, si le client est effectivement souverain de ses données ou seulement leur propriétaire formel. Ce domaine évalue la contrôlabilité démontrable des leviers opérationnels centraux.

Ce qui compte n'est pas l'assurance du fournisseur mais la séparation démontrable, par voie cryptographique ou organisationnelle, entre données, clés et accès privilégiés. La confiance sans démonstration ne compte pas dans ce domaine.

D2 est le domaine où le marketing de souveraineté s'écarte le plus du contrôle réel. Il exige des preuves techniques et procédurales solides.

• Modèle de gestion des clés

  Classification claire en provider-managed keys, BYOK ou HYOK — avec description des opérations possibles sans intervention du client.

• Résidence des données et sites de réplication

  Liste complète des sites primaires, secondaires et de sauvegarde ; restrictions contractuelles assurées.

• Gestion des accès privilégiés côté fournisseur

  Qui, chez le fournisseur, peut accéder aux données du client et à quelles conditions ? Principe des quatre yeux, accès juste-à-temps, procédures break-glass.

• Intégrité des journaux et résistance à la falsification

  Les journaux d'accès doivent être consultables par le client, complets et infalsifiables (p. ex. append-only, chaînes de hachage, notarisation externe).

• Transparence de la réponse aux incidents

  Délais de notification définis, niveau de détail défini, obligation contractuelle de divulguer les incidents internes au fournisseur qui touchent aux données client.

• Preuves d'accès

  Preuve de qui a accédé à quelles données ou clés et à quel moment — y compris par le fournisseur lui-même et par les sous-traitants.

1. Quel modèle de gestion des clés est contractuellement convenu, et quelles opérations sont possibles sans intervention du client ?
2. Localisation des données et cibles de réplication peuvent-elles être contractuellement limitées à l'UE ?
3. Quels groupes au sein du fournisseur disposent d'un accès en lecture ou en écriture, et à quelles conditions ?
4. Le journal d'accès est-il consultable par le client de façon complète, infalsifiable et en quasi-temps réel ?
5. Quels délais de notification s'appliquent aux événements de sécurité et aux incidents d'accès internes au fournisseur ?
6. Comment garantit-on que le fournisseur ne peut pas déchiffrer de contenus sans les clés du client ?
7. Quelles procédures existent pour les accès break-glass — et comment sont-elles journalisées ?

• Documentation d'architecture technique de la gestion des clés (HYOK/BYOK)
• Extraits de journaux PAM et preuves de configuration
• Architecture de journal append-only ou notarisation externe
• Clauses contractuelles de résidence des données et restrictions de réplication
• Rapports d'audit d'auditeurs indépendants sur les procédures d'accès (p. ex. ISAE 3000)

• Désignation BYOK malgré la capacité continue du fournisseur à déchiffrer pour les fonctions opérationnelles
• Réplication vers une région de sauvegarde hors UE non exclue contractuellement
• Procédures break-glass sans journalisation traçable
• Journaux d'audit uniquement rétrospectifs et via le portail fournisseur — sans résistance à la falsification
• Comptes fournisseur privilégiés sans principe des quatre yeux

• Vue d'ensemble des quatre domaines
• Principe d'agrégation
• Système de niveaux L0–L3
• Relation avec d'autres standards