Sécurité physique pour la souveraineté des données dans le partage sécurisé de fichiers en entreprise

La souveraineté des données est souvent évoquée de manière abstraite : juridictions, cadres juridiques, droits contractuels et attestations de conformité. Mais la sécurité physique met fin à ces abstractions. Le matériel qui héberge les données sensibles de votre organisation se trouve soit dans une installation que vous contrôlez, soit ailleurs. Les clés cryptographiques protégeant ces données sont soit détenues dans des modules matériels que vous exploitez, soit non. Lorsqu’un support de stockage arrive en fin de vie, votre équipe le détruit directement ou il passe par une chaîne de traçabilité que vous ne pouvez pas vérifier intégralement.

Il ne s’agit pas de cas marginaux. Ce sont les questions opérationnelles qui distinguent la véritable souveraineté des données d’une simple conformité de façade. Pour les responsables de la sécurité physique, les équipes d’audit et les RSSI chargés de la sécurité des centres de données et du matériel, l’évaluation d’une plateforme de partage sécurisé de fichiers doit impérativement aborder quatre points précis : où se trouve le matériel, qui peut y accéder physiquement, qui contrôle les clés cryptographiques et dans quel matériel, et que devient le support de stockage lorsqu’il doit être détruit ? Cet article répond directement à chacune de ces questions, analyse les certifications et normes pertinentes, et explique en quoi le modèle de déploiement influence les réponses.

Résumé exécutif

À retenir : La sécurité physique dans le partage sécurisé de fichiers d’entreprise dépend d’abord du modèle de déploiement, avant d’être une question de certification fournisseur. Un déploiement sur site place le matériel dans les locaux du client, ce qui rend le contrôle des accès physiques, la destruction des supports et l’exploitation des HSM entièrement déterminés par le client. Un déploiement cloud géré par le fournisseur transfère la responsabilité de la sécurité physique aux partenaires data center du fournisseur, avec les certifications BSI C5, ISO 27001, FedRAMP et IRAP comme garanties tierces. Les clients ayant les exigences de souveraineté physique les plus élevées — défense, infrastructures critiques, infrastructures de marchés financiers — doivent privilégier le déploiement sur site comme point de départ, et non comme solution de repli.

Pourquoi c’est important : L’article 21 de la directive NIS 2 impose aux opérateurs de services essentiels de mettre en œuvre des mesures de sécurité physique et environnementale adaptées pour les systèmes d’information. Les contrôles de l’annexe A.7 (contrôles physiques) de l’ISO 27001 s’appliquent aussi bien aux installations exploitées par le client qu’à celles du fournisseur, mais la capacité du client à les vérifier diffère fondamentalement selon que le matériel lui appartient ou non. BSI C5 et FedRAMP High incluent tous deux des familles de contrôles de protection physique (PE), offrant une évaluation structurée par des tiers de l’infrastructure opérée par le fournisseur. Savoir à qui appartiennent les contrôles — et comment les vérifier — constitue le cœur de la diligence en matière de sécurité physique.

5 points clés à retenir

1. Un déploiement sur site offre au client une souveraineté physique totale sur son infrastructure de fichiers. Lorsque l’appliance Kiteworks fonctionne sur un matériel détenu et exploité par le client, chaque décision de sécurité physique — contrôle d’accès, normes d’installation, surveillance environnementale, gestion des visiteurs — relève du client. Le fournisseur n’a aucun accès physique au matériel, sauf autorisation expresse. Il s’agit du niveau de souveraineté physique le plus élevé, vérifiable directement sans dépendre des certifications du fournisseur.
2. Les HSM exploités par le client stockent les clés de chiffrement hors de portée du fournisseur. Les modules matériels de sécurité (HSM) offrent un stockage inviolable des clés dans un matériel cryptographique dédié. Lorsqu’un HSM est géré par le client et validé FIPS 140-3, le fournisseur ne peut pas accéder aux clés de chiffrement, même s’il dispose d’un accès administratif à la couche applicative. Le modèle Hold Your Own Key (HYOK) — pris en charge par des fournisseurs validés comme le SafeNet Luna Network HSM de Thales — permet, même en mode hébergé, de conserver la garde des clés côté client.
3. Le contrôle de la destruction des supports est un impératif souvent négligé en matière de souveraineté. Qui détruit les supports de stockage, selon quelle procédure, avec quelle preuve ? En déploiement sur site, le client contrôle directement la destruction des supports — pas de chaîne de traçabilité fournisseur, pas de dépendance à des certificats tiers, pas de planification de destruction nécessitant la coordination du fournisseur. En mode cloud, la responsabilité de la destruction incombe au fournisseur et s’appuie sur des certifications telles que BSI C5 et ISO 27001.
4. Les procédures de key ceremony sont aussi importantes que le matériel HSM. Un HSM validé FIPS 140-3 offre une résistance matérielle à la falsification, mais la sécurité de la clé dépend de la cérémonie de génération : comment la clé a-t-elle été créée, par qui, sous quels contrôles procéduraux, et avec quelle traçabilité ? Des cérémonies formelles, documentées et sous contrôle client complètent le matériel HSM et sont exigées par des cadres comme le NIST SP 800-57 et PCI DSS.
5. La certification fournisseur des infrastructures cloud apporte une garantie, pas un contrôle. BSI C5 Type 2, ISO 27001, FedRAMP High et IRAP PROTECTED incluent tous des volets d’évaluation de la sécurité physique et fournissent des preuves tierces que les installations opérées par le fournisseur répondent aux normes définies. Mais la certification atteste d’une conformité à un instant donné, pas d’un contrôle en temps réel. Les organisations exigeant une maîtrise en temps réel et vérifiable de la sécurité physique doivent posséder le matériel.

Modèle de déploiement et souveraineté physique

Les questions de souveraineté physique ne peuvent être dissociées du modèle de déploiement. Que le matériel soit détenu par le client sur site, exploité par le fournisseur dans un cloud privé ou hébergé dans un cloud public dépend du choix de déploiement — et ce choix façonne tout le paysage de la sécurité physique. La plupart des évaluations de solutions de partage sécurisé de fichiers se concentrent sur les fonctions et certifications sans d’abord statuer sur le modèle de déploiement. C’est une erreur de séquence.

Sur site : contrôle physique total par le client

Dans un déploiement sur site, l’appliance Kiteworks fonctionne sur un matériel détenu par le client et installé dans une installation exploitée par le client. L’accès physique au serveur, au stockage et au matériel réseau est entièrement régi par le programme de sécurité physique du client. Le client décide quels personnels sont autorisés à entrer dans la salle serveurs, quels dispositifs de surveillance environnementale sont en place, quels mécanismes d’accès physique multifactoriels protègent les équipements, et quels systèmes de vidéosurveillance couvrent l’installation. Aucun de ces choix ne relève du fournisseur.

Ce point est crucial pour plusieurs raisons explicitement abordées dans les référentiels réglementaires. L’article 21(2)(e) de NIS 2 impose la « sécurité physique et environnementale » comme mesure de base pour les services essentiels. L’annexe A.7 (contrôles physiques) de l’ISO 27001 couvre les zones sécurisées, les contrôles d’accès physique, la sécurisation des locaux et équipements, la surveillance de la sécurité physique et la protection contre les menaces environnementales. Lorsque le client exploite le matériel, chacun de ces contrôles relève de sa mise en œuvre et de son audit direct — vérifiable par des preuves internes, sans dépendre d’attestations du fournisseur.

Le modèle sur site détermine aussi qui peut procéder à une inspection physique inopinée. Les régulateurs et équipes d’audit interne peuvent se rendre à tout moment dans les locaux du client et vérifier directement les contrôles physiques. En mode cloud, l’accès au data center du fournisseur pour inspection physique nécessite une coordination préalable, se limite généralement à une observation indirecte et peut exiger la présence du fournisseur. Pour les organisations soumises à des obligations d’inspection — notamment dans les services financiers, la défense et les infrastructures critiques — il ne s’agit pas d’un simple détail procédural, mais d’un véritable enjeu de droits d’audit.

À vérifier : Demandez au fournisseur si le déploiement sur site donne à votre équipe un accès physique total au matériel de l’appliance — y compris la possibilité d’ajouter ou de remplacer des contrôles de sécurité physique sur le matériel lui-même (par exemple, des scellés inviolables). Vérifiez si le fournisseur conserve un accès distant à l’appliance et dans quelles conditions.

Infrastructure opérée par le fournisseur : la certification comme garantie

Les déploiements cloud opérés par Kiteworks s’effectuent dans des installations soumises à une évaluation structurée de la sécurité physique par des tiers. L’attestation BSI C5 (Cloud Computing Compliance Criteria Catalogue) Type 2 couvre explicitement la sécurité physique dans son référentiel, incluant des exigences sur le contrôle d’accès physique, la surveillance, la protection environnementale et la gestion des supports. Un rapport Type 2 atteste de l’efficacité opérationnelle sur une période donnée — et non seulement de la conception à un instant T.

La certification ISO 27001 s’applique à l’ensemble du système de gestion de la sécurité de l’information, y compris les contrôles physiques et environnementaux de l’annexe A.7. La version 2022 de l’ISO 27001 a élargi cette annexe par rapport à l’édition 2013, ajoutant des exigences sur la politique de bureau propre, l’implantation des équipements et la surveillance de la sécurité physique. La certification ISO 27001 de Kiteworks couvre ses opérations d’infrastructure cloud.

Pour les charges de travail du secteur public australien, la classification IRAP PROTECTED impose une évaluation de la sécurité physique selon l’ISM (Information Security Manual) du gouvernement australien, qui prévoit des exigences spécifiques pour la sécurité physique des installations traitant des informations PROTECTED. Pour les charges de travail du gouvernement américain et les secteurs connexes, le statut FedRAMP High In Process de Kiteworks implique l’évaluation de la famille de contrôles PE (Physical and Environmental Protection) au niveau High — l’un des référentiels de sécurité physique les plus exigeants du secteur public américain.

L’essentiel est que ces certifications fournissent des preuves structurées et crédibles de la sécurité physique dans les installations opérées par le fournisseur. Elles ne donnent pas au client la maîtrise directe de ces contrôles. Les organisations qui exigent le contrôle — et non une simple garantie — doivent opter pour un modèle de déploiement sur site.

Modules matériels de sécurité : garde des clés et souveraineté cryptographique

Le chiffrement au repos protège les données contre tout accès non autorisé au niveau du stockage. Mais cette protection dépend de la sécurité des clés de chiffrement. Si le fournisseur détient les clés — ou peut y accéder — il peut, en principe, déchiffrer les données. C’est la question fondamentale de souveraineté cryptographique que l’intégration HSM permet de traiter.

Un module matériel de sécurité (HSM) est un dispositif cryptographique dédié, conçu pour générer, stocker et gérer les clés de chiffrement dans un matériel inviolable. Les HSM se distinguent de la gestion logicielle des clés par le fait que la clé n’existe jamais en clair hors du HSM — les opérations (chiffrement, déchiffrement, signature) s’effectuent dans le module, qui est conçu pour détruire la clé en cas de détection de falsification physique. Dans les environnements à haut niveau d’exigence, les HSM sont la norme attendue pour la gestion des clés, et non un simple plus.

Validation FIPS 140-3 : la référence matérielle pour la confiance cryptographique

FIPS 140-3 (Federal Information Processing Standard 140-3) est la norme américaine de validation des modules cryptographiques, gérée par le NIST et le Centre canadien pour la cybersécurité. Elle remplace FIPS 140-2 et s’aligne sur l’ISO/IEC 19790. FIPS 140-3 définit quatre niveaux de sécurité — du niveau 1 au niveau 4 — chaque niveau ajoutant des exigences accrues de résistance physique à la falsification.

Le niveau 3 est généralement requis pour les déploiements HSM d’entreprise dans les environnements réglementés : il impose des dispositifs de preuve de falsification, de détection et de réaction (effacement des paramètres critiques en cas de falsification) et une authentification basée sur l’identité. Le niveau 4 ajoute la résistance aux attaques environnementales, typique des systèmes de paiement ou classifiés.

Kiteworks prend en charge l’intégration avec des HSM exploités par le client et validés FIPS 140-3. Le partenaire d’intégration documenté pour les déploiements sur site est le SafeNet Luna Network HSM de Thales (ex-Gemalto) — un module validé FIPS 140-3 largement utilisé dans les services financiers réglementés, le secteur public, la santé et la défense. Le SafeNet Luna HSM offre un stockage inviolable des clés, la prise en charge de cérémonies de génération formelles et la journalisation d’audit au niveau matériel. Le certificat de validation HSM est vérifiable directement dans la base CMVP du NIST, preuve indépendante du niveau d’assurance cryptographique du module.

Hold Your Own Key (HYOK) : la garde des clés reste côté client

Le modèle Hold Your Own Key est l’architecture qui garantit que la garde des clés reste entièrement côté client, quel que soit l’emplacement de l’application. En configuration HYOK, la clé de chiffrement ne quitte jamais le HSM du client — plus précisément, la clé en clair ne sort jamais du périmètre du HSM. Lorsque l’application doit déchiffrer des données, elle envoie une requête au HSM ; le HSM effectue l’opération et renvoie la donnée déchiffrée (pas la clé). La couche applicative du fournisseur n’a jamais accès à la clé elle-même.

Cette distinction est essentielle car elle sépare l’accès logique (l’application du fournisseur peut traiter les données) de la garde des clés (le fournisseur ne peut pas déchiffrer les données sans la disponibilité du HSM client et l’autorisation de la requête). Si le client retire le HSM de la chaîne de gestion des clés — par politique, déconnexion physique ou suite à une injonction légale — le fournisseur ne peut pas déchiffrer les données, quel que soit son accès à l’application ou au stockage.

Kiteworks prend en charge HYOK pour les déploiements sur site, où le HSM est physiquement situé dans les locaux du client et sous son contrôle opérationnel total. Cette configuration offre le niveau de souveraineté cryptographique le plus élevé : le matériel contenant les clés est dans l’installation du client, exploité par son équipe, sans aucun accès distant possible pour le fournisseur.

Key ceremony : contrôles procéduraux pour la génération des clés

Une key ceremony est la procédure documentée par laquelle une clé cryptographique est générée, éventuellement scindée (si la séparation de la connaissance est utilisée), chargée dans un HSM et activée sous des contrôles procéduraux garantissant qu’aucune personne seule n’a accès à la totalité du matériel de clé à aucun moment. Les exigences de cérémonie sont spécifiées dans le NIST SP 800-57 Part 1 (Recommendation for Key Management), PCI DSS exigence 3.7 et divers standards sectoriels.

La cérémonie est cruciale car la sécurité de toutes les opérations cryptographiques ultérieures dépend de l’intégrité de l’événement de génération de la clé. Une clé générée sans contrôle procédural — par un seul opérateur, sans témoin ni documentation — n’est pas plus fiable qu’une clé logicielle gérée en mémoire applicative, quelle que soit la sécurité du HSM qui la stocke. La cérémonie constitue l’ancrage de confiance procédural pour tout le cycle de vie de la clé.

Dans les déploiements sur site Kiteworks, les procédures de key ceremony sont menées sous contrôle total du client. L’équipe du client définit les exigences procédurales, choisit les participants et témoins, décide de l’application ou non de la séparation de la connaissance et du double contrôle, et génère la documentation d’audit. Ceci est directement vérifiable par l’équipe d’audit interne du client et par des auditeurs externes — les enregistrements de la cérémonie constituent des preuves internes détenues par le client, et non une attestation du fournisseur.

Destruction des supports : la fin du cycle de vie des données

La gestion du cycle de vie des données s’achève par la destruction des supports de stockage. La plupart des discussions sur la sécurité d’entreprise se concentrent sur le début et le milieu du cycle — chiffrement au repos, contrôle d’accès, journalisation d’audit — et considèrent l’élimination des supports comme un détail procédural. Pour les organisations soumises à la réglementation sur la protection des données ou à des exigences de traitement d’informations classifiées, c’est une erreur. La question de savoir qui détruit physiquement les supports, selon quelle méthode et avec quelle vérification, est un enjeu de souveraineté aux implications réglementaires et contractuelles directes.

Destruction contrôlée par le client en déploiement sur site

Lorsque l’appliance Kiteworks fonctionne sur un matériel détenu par le client, la destruction des supports de stockage est entièrement sous son contrôle. L’équipe du client choisit la méthode de destruction — démagnétisation, broyage physique, effacement cryptographique ou combinaison — met en œuvre la procédure, assiste à la destruction et génère l’attestation d’élimination. Aucune intervention du fournisseur n’est requise, aucune coordination de planification n’est nécessaire, aucune chaîne de destruction tierce n’est introduite.

Ce point est crucial dans deux scénarios réglementaires précis. D’abord, lorsque la réglementation exige que la destruction des supports soit réalisée à l’intérieur du périmètre de sécurité du client — fréquent dans la défense et les environnements classifiés — le déploiement sur site est la seule configuration conforme. Ensuite, lorsqu’une enquête ou une procédure judiciaire impose l’arrêt immédiat de toute opération sur les supports, l’équipe du client peut agir sans aucun délai de coordination avec le fournisseur.

L’ISO 27001 Annexe A.7.10 (Supports de stockage) impose la gestion des supports tout au long de leur cycle de vie, y compris leur élimination sécurisée. La norme ne prescrit pas de méthode précise, mais exige que la destruction soit adaptée à la sensibilité des informations stockées. Le NIST SP 800-88 (Guidelines for Media Sanitization) constitue la référence technique la plus citée pour les méthodes de destruction et leur applicabilité selon le type de support et le niveau de sensibilité. En déploiement sur site, le client choisit la méthode appropriée selon le NIST SP 800-88 et l’applique directement.

Destruction gérée par le fournisseur : certification et chaîne de traçabilité

En mode cloud, les supports de stockage font partie de l’infrastructure du fournisseur (ou de son partenaire cloud). La destruction des supports est assurée par le fournisseur ou ses partenaires data center, attestée par les certifications pertinentes. BSI C5 exige des procédures documentées de gestion et de destruction des supports dans ses critères de sécurité physique. L’ISO 27001 couvre ce point à l’annexe A.7.10. Les contrôles PE de FedRAMP incluent des exigences de protection des supports (famille MP) portant sur la désinfection et l’élimination.

Ces certifications apportent la preuve par un tiers que des procédures documentées existent et sont suivies. Elles ne donnent pas au client de visibilité directe sur le moment où un support spécifique est détruit, sur quels supports contenaient ses données, ni sur la méthode appliquée à ses propres supports. Pour la plupart des organisations commerciales réglementées, ce niveau de garantie attestée est suffisant. Pour les organisations manipulant des données hautement sensibles — données classifiées, informations privilégiées, données d’infrastructures critiques — l’absence de contrôle et de vérification directe constitue une véritable limite du modèle cloud.

À vérifier : Demandez au fournisseur de préciser la chaîne contractuelle et opérationnelle de traçabilité pour la destruction des supports. Vérifiez quelles certifications couvrent le data center hébergeant vos données — et non uniquement le portefeuille global de certifications du fournisseur. Demandez la dernière lettre d’attestation BSI C5 ou ISO 27001 couvrant l’installation traitant vos données et assurez-vous que la destruction des supports est bien incluse dans le périmètre.

Responsabilité partagée : ce que cela signifie concrètement

Le modèle de responsabilité partagée est largement évoqué en matière de sécurité cloud, mais il revêt une importance particulière pour la sécurité physique car les responsabilités sont les plus claires aux extrêmes : 100 % sur site ou 100 % cloud. L’ambiguïté concerne les configurations hybrides ou en colocation, qui sont pourtant fréquentes dans les déploiements d’entreprise.

Savoir quels contrôles de sécurité physique relèvent du client et lesquels incombent au fournisseur n’est pas un simple exercice de conformité — cela détermine la provenance des preuves d’audit, les contrôles à tester lors de vos propres évaluations et les points de vulnérabilité lors d’une inspection de supervision.

Différenciation Kiteworks : sécurité physique selon le modèle de déploiement

Kiteworks propose un éventail de déploiements allant du 100 % sur site au cloud opéré par le fournisseur, la posture de sécurité physique évoluant selon ce spectre. Voici les principaux éléments différenciateurs documentés pour la sécurité physique et l’intégration HSM.

Modèle appliance sur site

L’appliance Kiteworks est conçue pour fonctionner sur un matériel détenu par le client, dans ses propres locaux. Il ne s’agit pas d’une colocation ni d’un cloud privé hébergé par Kiteworks — c’est un matériel que le client choisit, exploite et contrôle physiquement. L’appliance peut être déployée dans des data centers opérés par le client sous son propre référentiel ISO 27001, BSI IT-Grundschutz ou programme sectoriel, ce qui lui confère une souveraineté physique totale sur le déploiement.

Le contrôle client s’étend au choix du matériel, aux dispositifs de sécurité physique appliqués à l’appliance (scellés inviolables, verrouillage des racks, badge d’accès à la salle), à la configuration de la surveillance environnementale et aux procédures de destruction des supports. Le fournisseur n’a aucun accès physique au matériel dans cette configuration — tout accès distant à des fins de support nécessite une autorisation explicite du client et relève de sa politique d’accès à distance.

Intégration HSM avec les principaux fournisseurs d’entreprise

Kiteworks prend en charge l’intégration avec le SafeNet Luna Network HSM de Thales, un module matériel validé FIPS 140-3 largement déployé dans les secteurs réglementés. En déploiement sur site, le HSM est physiquement situé dans les locaux du client et fonctionne sous gestion exclusive du client. L’architecture HYOK garantit que les processus applicatifs Kiteworks envoient des requêtes cryptographiques au HSM sans jamais recevoir la clé elle-même — uniquement le résultat de l’opération. Ainsi, un accès à la couche applicative Kiteworks — qu’il s’agisse d’un identifiant compromis, d’une session de support ou d’une injonction légale visant l’éditeur — ne donne pas accès à la capacité de déchiffrement. Les clés sont dans un matériel contrôlé par le client, inaccessible au fournisseur.

Certifications pour l’infrastructure opérée par le fournisseur

Pour les organisations utilisant le cloud Kiteworks, la garantie de sécurité physique repose sur le portefeuille de certifications couvrant l’infrastructure data center de Kiteworks. L’attestation BSI C5 Type 2 fournit les preuves les plus détaillées pour les organisations EMEA, avec une évaluation portant sur l’efficacité opérationnelle et non la seule conception. La certification ISO 27001 couvre l’ensemble du système de gestion de la sécurité de l’information, y compris les contrôles physiques. Le statut FedRAMP High In Process indique que toute la famille de contrôles PE au niveau High est en cours d’évaluation, ce qui représente le référentiel de sécurité physique le plus rigoureux pour les services cloud du secteur public US. La classification IRAP PROTECTED offre une garantie équivalente pour les charges de travail du secteur public australien.

Ces certifications constituent des preuves cumulées des contrôles de sécurité physique dans les installations opérées par le fournisseur, évaluées de façon indépendante par des auditeurs qualifiés. Elles sont le mécanisme de garantie approprié pour les organisations ayant choisi un modèle d’infrastructure opérée par le fournisseur et ayant besoin d’une vérification tierce que la sécurité physique répond aux exigences réglementaires et contractuelles.

Conclusion

La sécurité physique est le volet de la souveraineté des données qui ne peut être remplacé par des contrôles logiciels ou des certifications de conformité. Le fait que le matériel hébergeant des données sensibles soit dans une installation contrôlée par le client — et que les clés cryptographiques soient dans des modules matériels exploités par le client — a une réponse opérationnelle directe qui dépend du modèle de déploiement, et non du portefeuille de certifications du fournisseur. Pour les organisations pour qui la souveraineté physique est un impératif réel et non une simple case à cocher, le modèle sur site avec intégration HSM gérée par le client offre aujourd’hui la posture la plus robuste et la plus vérifiable dans le partage sécurisé de fichiers d’entreprise.

La tendance réglementaire en EMEA, dans le secteur public US et en Australie va vers des exigences de sécurité physique plus explicites, et non l’inverse — les dispositions de NIS 2 sur les services essentiels, l’évolution du BSI C5 et la rigueur croissante de FedRAMP sur les contrôles PE vont toutes dans ce sens. Les organisations qui mettent en place dès maintenant des contrôles physiques vérifiables en interne — via leurs choix de déploiement, leur architecture HSM et leurs procédures de destruction des supports — bâtissent la base de preuves que les inspections de supervision exigeront de plus en plus de voir documentée, et non simplement attestée.

Foire aux questions