- il y a 52 minutes
Vendredi 25 septembre 2026, retrouvez Audrey Louail, (Présidente, Ecritel) dans SMART TECH, une émission présentée par Delphine Sabattier.
Catégorie
🗞
NewsTranscription
00:07Bonjour à tous, faut-il généraliser le Secnum Cloud, cette qualification très exigeante aux données de santé ?
00:15Alors un collectif d'entreprises dans la santé numérique estime que ce serait une grave erreur.
00:20On va en parler tout de suite avec deux experts dont un très concerné.
00:29Un collectif de cinq entreprises de santé numérique, on va citer Doctolib, mais on doit citer aussi Alan Impliciti,
00:35qui est notamment en plateau, représenté par Louaï Gargoum, merci beaucoup.
00:41Également, Lifen Resilience Care ont envoyé un courrier au cabinet de la ministre de l'IA et du numérique
00:47pour manifester une inquiétude, en tout cas, et une opinion sur ce qui pourrait arriver,
00:54une qualification Secnum Cloud qui serait rendue obligatoire pour toutes les activités, services numériques autour de la santé.
01:01Voilà, il rejette en fait cette idée d'un Secnum Cloud qui serait une sorte de passeport obligatoire
01:06et ce totem de la souveraineté numérique qu'on érige parfois.
01:11Donc on en parle évidemment avec Louaï Gargoum, merci beaucoup d'être avec nous.
01:14Je précise, vous êtes le CTO responsable du développement logiciel des infrastructures cloud d'Impliciti,
01:21donc vous faites partie de ces entreprises que j'ai citées qui ont donc rédigé ce courrier, vous allez nous
01:26en parler.
01:27Avec vous aussi sur ce sujet, notre experte Audrey Loaï, qui est la co-dirigeante d'Ecritel.
01:33Bonjour, merci beaucoup d'être avec nous.
01:36Écritel, donc hébergeur, infogéreur français, indépendant, spécialiste des solutions cloud sur mesure et de la gestion des données sensibles.
01:44Alors vous, vous avez toutes les certifications, mais presque j'ai envie de dire, parce que vous êtes en cours
01:48de qualification Secnum Cloud.
01:49On attend le tampon final d'ici quelques jours ou quelques heures peut-être.
01:53Bon, donc vous êtes engagé vous dans ce long process, parce que je sais que ça prend du temps et
01:58que ça coûte aussi beaucoup d'argent.
02:00J'imagine que ça veut dire que vous vous estimez que c'est important d'avoir la qualification Secnum Cloud
02:05aujourd'hui ?
02:06Alors oui, alors c'est important.
02:08Déjà, pour vous donner une idée, c'est quand même 3000 jours hommes de travail.
02:12Pour nous, c'est deux ans de travail.
02:14Donc c'est quand même une qualification qui est extrêmement rigoureuse.
02:17Je pense que c'est important compte tenu du nombre d'attaques que l'on a aujourd'hui.
02:21Aujourd'hui, la France est quand même le deuxième pays le plus attaqué au niveau de l'Europe.
02:25Par rapport à la sophistication des attaques que l'on a aujourd'hui, grâce à l'IA ou à cause
02:29de l'IA, à cause des conditions géopolitiques.
02:33Et puis surtout, parce que c'est la seule qualification aujourd'hui qui est capable de nous garantir contre l
02:38'extra...
02:38Enfin, de nous sécuriser par rapport à l'extraterritorialité, qui est un vrai risque, en tout cas, pour les données
02:45en France.
02:47D'accord, pas d'accord avec Audrey ?
02:50Sur ce point, c'est indispensable face justement à ces menaces croissantes ?
02:56Alors, ce qui est certain, c'est que la souveraineté est importante et que nous souhaitons tous être souverains sur
03:05la donnée de santé des Français.
03:08Et ce qui est contestable, c'est la façon de le faire.
03:11La façon de le faire est la certification SecNumCloud, l'agenda, la précipitation et surtout les risques réels auxquels font
03:19face les entreprises aujourd'hui,
03:21autour de la sécurité qui va au-delà de la souveraineté.
03:24On veut de la souveraineté, mais si on n'est pas bien couvert au niveau de la sécurité,
03:29ou si ce passage-là compromet la sécurité, ça devient un risque.
03:34Alors, comment le SecNumCloud, parce que dans votre courrier, effectivement, vous nous expliquez que ce passage obligatoire au SecNumCloud
03:42pour tout ce qui concerne les données de santé serait une erreur.
03:45En quoi cela pourrait remettre en question le sujet de la sécurité des données,
03:51alors que justement, c'est une qualification qui a été mise en place par l'ANSI, l'Agence Nationale de
03:56Sécurité des Systèmes d'Information ?
03:57Oui, oui. Non, ce n'est pas contradictoire. C'est juste qu'aujourd'hui, les vrais risques auxquels on fait
04:05face tous les jours,
04:06on l'entend dans les news, les risques de phishing, d'attaque, de ransomware,
04:13c'est des risques importants sur lesquels les entreprises doivent se concentrer.
04:19Et pour aller vers de la souveraineté, que l'on ne consente absolument pas,
04:25c'est un programme qui nécessite de ne pas être fait dans l'urgence.
04:31Il faut le faire avec une échéance de temps réaliste.
04:36Ça fait des décennies que l'on parle de souveraineté au niveau de l'infrastructure.
04:42Ce n'est pas maintenant, du jour au lendemain, qu'on va nous demander de passer le niveau du dessus,
04:47c'est-à-dire le software.
04:48Donc pour vous, ce qui vous inquiète, c'est de l'imposer trop rapidement, en fait ?
04:51Oui, exactement. De l'imposer quelque chose trop rapidement.
04:55Il y a plusieurs points. Donc, un, trop rapidement.
04:59Deux, de façon franco-française.
05:02Si aujourd'hui, Secnum Cloud est franco-français.
05:05Nous, en tant qu'entreprise, avec des ambitions mondiales,
05:09nous avons besoin d'un framework le plus large possible.
05:12Donc là, le minimum que l'on doit considérer, c'est le niveau européen.
05:17C'est le niveau européen, ça c'est le minimum.
05:19Aujourd'hui, Secnum Cloud est franco-français.
05:21Les Allemands font autre chose.
05:23Parce qu'au niveau européen, on a adopté le UCS, c'est ça ?
05:27Donc, il ne reprend pas tout à fait toutes les exigences du Secnum Cloud.
05:31Est-ce que ça, selon vous, c'est un problème ?
05:33Parce que c'est vrai que moi-même, je me suis posé la question,
05:35quelle est la valeur aujourd'hui, finalement, de cette qualification française,
05:39alors qu'on a des décisions européennes qui ne vont pas au-delà,
05:45qui sont d'ailleurs de moindre exigence ?
05:48Alors, moi, je rejoins complètement Louaï sur ce sujet-là,
05:51parce qu'aujourd'hui, d'abord, trop de qualifications tue la qualification.
05:55Nous, on passe quasiment notre année à faire des audits PCI-DSS,
06:02HDS pour l'hébergement de données de santé, pour les données bancaires, etc.
06:05Donc, c'est extrêmement lourd.
06:07Il y a quand même un manque de lisibilité pour nos clients finaux,
06:10pour savoir quelle est la bonne qualification ils doivent avoir pour sécuriser leurs données.
06:15Et je pense que tout doit partir, plutôt que d'imposer une qualification Secnum Cloud
06:19au domaine de la santé, je pense que c'est important d'avoir une bonne analyse de risque.
06:22Il y a données de santé et données de santé, selon moi.
06:25La donnée de santé pour acheter une boîte de Doliprane sur un site e-commerce
06:30n'est pas la même qu'une donnée de santé, par exemple, du Health Data Hub,
06:34dont on a beaucoup parlé il y a quelques mois.
06:37La plateforme des données de santé, désormais.
06:38Voilà, tout à fait, avec la plateforme de données de santé, avec les données des cartes vitales
06:43ou la donnée de recherche.
06:46Je pense qu'il faut faire une bonne analyse de risque pour voir quel est le risque
06:49par rapport à l'extraterritorialité, qui est la principale sécurité de Secnum Cloud.
06:54C'est ça, c'est l'extraterritorialité.
06:58Il ne faut pas oublier que la loi FISA permet notamment au gouvernement américain
07:02d'aller à n'importe quel moment, sous couvert de sécurité, voir ce qu'il se passe sur les serveurs,
07:08qu'ils soient hébergés en France, en Europe ou n'importe où, à partir du moment où la boîte
07:12est une boîte américaine, et sans prévenir le client final.
07:15C'est un vrai risque.
07:16Alors, est-ce que c'est dangereux pour une boîte de Doliprane ? Je ne pense pas.
07:19En revanche, pour les données stratégiques de santé, je pense que c'est un problème.
07:22Et dans ce cas-là, une analyse de risque permet d'aiguiller vers la bonne solution.
07:26Alors, Implicity, c'est quand même un sujet très sensible,
07:31puisque vous êtes une entreprise qui est spécialisée dans la télésurveillance
07:35des patients qui portent des dispositifs cardiaques implantables.
07:39Donc, les données sont particulièrement sensibles.
07:41Oui, les données sont particulièrement sensibles.
07:43C'est d'autant plus important de les sécuriser avec les meilleures solutions possibles
07:49existantes aujourd'hui sur le marché, pour assurer cette sécurité maximale.
07:55L'histoire de la souveraineté et le Cloud Act,
07:59et tout ça, doit être adressée au niveau où il doit l'être,
08:05c'est-à-dire au niveau légal, au niveau des institutions,
08:10pour adresser ce problème-là.
08:11Et il existe aujourd'hui des solutions qui adressent l'extraterritorialité,
08:18qui n'est pas nécessairement cette Nume Cloud aussi.
08:21Oui.
08:21Mais est-ce que vous faites des choix, par exemple, d'hébergement ?
08:24Je sais que Doctolib, ce n'est pas le cas, mais vous, je ne suis pas au fait.
08:28Faites des choix d'hébergement des données sur des serveurs uniquement français,
08:33des hébergeurs uniquement européens ?
08:35Alors aujourd'hui, le choix de l'hébergement a été fait en 2020,
08:41sur les normes qui existaient à ce moment-là.
08:45Donc sur les normes HDS, hébergeurs de données de santé français,
08:50et donc nous choisissons nos fournisseurs avec ces normes-là.
08:54Les nouvelles normes qui arrivent maintenant sont très instables, ça change.
08:58On vient de dire qu'il y a un niveau européen, un niveau français.
09:02Mais on peut être hébergeurs de données de santé sans être français, on est d'accord.
09:06Il y en a beaucoup, des Américains qui sont HDS.
09:08Il y a beaucoup d'Américains qui sont HDS,
09:11mais c'est la réglementation française.
09:14Actuelle.
09:15Voilà, HDS.
09:15Maintenant, pour aller à l'autre phase et assurer la protection juridique
09:21et l'extraterritorialité et tout ça,
09:24là, il faut le gérer sans penser que c'est un switch que l'on doit tourner.
09:28Les technologies sont très différentes.
09:30La démarche pour passer d'un hyperscaler,
09:36des technologies hyperscaler qui ont prouvé leur validité,
09:39leur sécurité sur le marché,
09:41à des offres qui sont aujourd'hui un Secnum Cloud,
09:44sans parler du fait que ça change tout le temps.
09:47Ça change, on vient d'apprendre, enfin, je viens d'apprendre
09:49qu'Ecritel passe Secnum Cloud bientôt.
09:52Absolument.
09:53Et donc, tout ça bouge beaucoup trop vite maintenant
09:59pour pouvoir choisir un hébergeur.
10:01Si je devais choisir maintenant sur ce qui est disponible,
10:06il y a une poignée, une poignée uniquement d'hébergeurs.
10:10Et dans cette poignée, il n'y a qu'encore moins
10:13qu'il soit capable d'héberger des solutions robustes
10:17comme la nôtre ou comme celle de Doctolib.
10:20Physiquement, la taille des serveurs et tout ça
10:26est un défi auquel on doit faire face.
10:31Et je me souviens parce que ce discours de dire
10:34qu'aujourd'hui, on n'a finalement pas d'offres existantes
10:37sur le marché qui puisse rivaliser vraiment
10:39avec celle des hyperscalers,
10:42c'est ce qu'on entendait au tout début de la polémique
10:45autour de l'hébergement du S-Data Hub par Microsoft.
10:49Depuis, ça a quand même pas mal bougé.
10:51Moi, je ne suis pas d'accord avec cet argument-là.
10:53Je ne suis pas du tout d'accord parce que d'abord,
10:57il y a quand même un principe d'interopérabilité
10:59par rapport au Cloud Act
11:00qui doit permettre à des clients de basculer rapidement
11:04en un mois, s'il le faut, vers un autre hébergeur.
11:06Aujourd'hui, nous sommes capables de faire ça.
11:10Alors après, effectivement, sur les clouds publics,
11:12il peut y avoir des tas d'offres sur étagère.
11:15Chez des hébergeurs français ou européens,
11:16il y a aussi des tas d'offres sur étagère.
11:18Quand vous choisissez votre voiture,
11:23vous ne choisissez pas la voiture avec le plus d'options.
11:25Vous choisissez une voiture avec des options
11:27qui correspondent à vos besoins.
11:29Aujourd'hui, je pense que, comme le proposait l'OI...
11:31Est-ce qu'on utilise finalement tous les services
11:33qui sont proposés par ces hyperscalers ?
11:35C'est ça que vous nous dites ?
11:36Oui, je ne pense pas.
11:38Ce qui est important, c'est que le client fasse un cahier des charges
11:40qui soit le plus à même de répondre à ces enjeux.
11:44Et après, le prestataire infogéreur répond
11:48avec une infrastructure ad hoc et des services ad hoc.
11:51Mais ça, vous l'entendez beaucoup, ce discours, j'imagine ?
11:53On l'entend beaucoup, de moins en moins.
11:55De moins en moins, dans le sens où aujourd'hui,
11:58il y a quand même une responsabilité par rapport à ces risques
12:00qui ont quand même été soulevés de plus en plus,
12:03avec beaucoup de fuites de données dont on parle en France.
12:06Mais sur le sujet de la qualité de l'offre européenne ?
12:11De moins en moins.
12:12De moins en moins.
12:12L'offre aujourd'hui, je pense que l'offre en France est riche.
12:15Cela dit, comme l'a dit l'Oye...
12:17Ce qui reste en plus, c'est la difficulté de bascule aussi, j'imagine.
12:20La difficulté de bascule ?
12:21Alors, là où je ne suis pas d'accord, c'est qu'aujourd'hui,
12:23les offres de cloud proposées, notamment ce sac de cloud,
12:26s'appuient sur les offres du marché.
12:28Ce qui est important sur ce sac de cloud,
12:29c'est la segmentation logique, physique,
12:32et la segmentation des rôles également
12:34que vont avoir les différents ingénieurs
12:36pour traiter telle ou telle offre.
12:37Ce n'est pas dans l'infrastructure.
12:39D'un mot l'Oye, parce que je vois qu'on arrive à la fin,
12:41je vous laisse répondre.
12:43Oui, mais c'est exactement ce qu'on a proposé.
12:46Ce collectif a proposé l'établissement d'un groupe de travail
12:50pour établir exactement ce dont on a besoin.
12:54Et cette liste-là pourra être proposée
12:56et mise claire pour tous les fournisseurs d'infrastructures
12:59pour arriver à ce niveau-là,
13:02pour pouvoir dire enfin qu'il y a des offres qui sont disponibles
13:05pour des solutions comme nous.
13:06de travailler ensemble et de nous faire grandir ensemble
13:09dans l'écosystème.
13:10Merci beaucoup à tous les deux pour vos réponses,
13:12vos éclairages.
13:13Audrey Loaille était avec nous,
13:14décrit-elle, et Loaille Gargoum d'Implicity.
13:16Merci à tous de nous suivre.
13:18C'était Smartech, votre émission quotidienne
13:20sur la tech, le numérique et l'IA
13:22que vous regardez sur la chaîne Bsmart, bien sûr.
13:24Sous-titrage Société Radio-Canada
13:28Sous-titrage Société Radio-Canada
13:32Sous-titrage Société Radio-Canada
13:34Sous-titrage Société Radio-Canada
13:34Sous-titrage Société Radio-Canada