- il y a 6 minutes
Vendredi 25 septembre 2026, retrouvez Audrey Louail, (Présidente, Ecritel) dans SMART TECH, une émission présentée par Delphine Sabattier.
Catégorie
🗞
NewsTranscription
00:04Un collectif de cinq entreprises de santé numérique, on va citer Doctolib, mais on doit citer aussi Alan Impliciti,
00:11qui est notamment en plateau, représenté par l'Ouai Gargoum, merci beaucoup.
00:16Également, l'IFEN Resilience Care ont envoyé un courrier au cabinet de la ministre de l'IA et du numérique
00:22pour manifester une inquiétude, en tout cas, et une opinion sur ce qui pourrait arriver,
00:29une qualification secnumclat qui serait rendue obligatoire pour toutes les activités, services numériques autour de la santé.
00:36Voilà, il rejette en fait cette idée d'un secnumclat qui serait une sorte de passeport obligatoire
00:42et ce totem de la souveraineté numérique qu'on érige parfois.
00:46Donc on en parle évidemment avec l'Ouai Gargoum, merci beaucoup d'être avec nous.
00:49Je précise, vous êtes le CTO responsable du développement logiciel des infrastructures cloud d'Impliciti,
00:56donc vous faites partie de ces entreprises que j'ai citées qui ont donc rédigé ce courrier, vous allez nous
01:01en parler.
01:02Avec vous aussi sur ce sujet, notre experte Audrey Loaille qui est la co-dirigeante d'Ecritel.
01:09Bonjour, merci beaucoup d'être avec nous.
01:11Ecritel, donc hébergeur, infogéreur français indépendant, spécialiste des solutions cloud sur mesure
01:17et de la gestion des données sensibles.
01:19Alors vous, vous avez toutes les certifications, mais presque j'ai envie de dire,
01:22parce que vous êtes en cours de qualification Secnum Cloud.
01:25On attend le tampon final d'ici quelques jours ou quelques heures peut-être.
01:29Bon, donc vous êtes engagé vous dans ce long process,
01:32parce que je sais que ça prend du temps et que ça coûte aussi beaucoup d'argent.
01:35J'imagine que ça veut dire que vous vous estimez que c'est important d'avoir la qualification Secnum Cloud
01:40aujourd'hui ?
01:41Alors oui, alors c'est important.
01:43Déjà, pour vous donner une idée, c'est quand même 3000 jours hommes de travail.
01:47Pour nous, c'est deux ans de travail.
01:49Donc c'est quand même une qualification qui est extrêmement rigoureuse.
01:52Je pense que c'est important compte tenu du nombre d'attaques que l'on a aujourd'hui.
01:56Aujourd'hui, la France est quand même le deuxième pays le plus attaqué au niveau de l'Europe.
02:00Par rapport à la sophistication des attaques que l'on a aujourd'hui,
02:04grâce à l'IA ou à cause de l'IA, à cause des conditions géopolitiques.
02:08Et puis surtout, parce que c'est la seule qualification aujourd'hui qui est capable de nous garantir,
02:14de nous sécuriser par rapport à l'extraterritorialité,
02:17qui est un vrai risque en tout cas pour les données en France.
02:22D'accord, pas d'accord avec Audrey ?
02:26Sur ce point, c'est indispensable face justement à ces menaces croissantes ?
02:31Alors, ce qui est certain, c'est que la souveraineté est importante
02:37et que nous souhaitons tous être souverains sur la donnée de santé des Français.
02:43Et ce qui est contestable, c'est la façon de le faire.
02:46La façon de le faire est la certification SEC New Cloud, l'agenda, la précipitation
02:52et surtout les risques réels auxquels font face les entreprises aujourd'hui
02:56autour de la sécurité qui va au-delà de la souveraineté.
03:00On veut de la souveraineté, mais si on n'est pas bien couvert au niveau de la sécurité
03:04ou si ce passage-là compromet la sécurité, ça devient un risque.
03:09Alors, comment le SEC New Cloud ?
03:12Parce que dans votre courrier, effectivement, vous nous expliquez que
03:14ce passage obligatoire au SEC New Cloud pour tout ce qui concerne les données de santé
03:19serait une erreur. En quoi cela pourrait remettre en question le sujet de la sécurité des données
03:26alors que, justement, c'est une qualification qui a été mise en place par l'ANSI,
03:30l'Agence Nationale de Sécurité des Systèmes d'Information ?
03:32Oui, ce n'est pas contradictoire.
03:35C'est juste qu'aujourd'hui, les vrais risques auxquels on fait face tous les jours,
03:41on l'entend dans les news, les risques de phishing, d'attaque, de ransomware,
03:48c'est des risques importants sur lesquels les entreprises doivent se concentrer
03:54et pour aller vers de la souveraineté, ou ce que l'on ne conteste absolument pas,
04:00c'est un programme qui nécessite de ne pas être fait dans l'urgence.
04:07Il faut le faire avec une échéance de temps réaliste.
04:11Ça fait des décennies que l'on parle de souveraineté au niveau de l'infrastructure.
04:17Ce n'est pas maintenant, du jour au lendemain, qu'on va nous demander de passer le niveau du dessus,
04:22c'est-à-dire le software.
04:23Donc, pour vous, ce qui vous inquiète, c'est de l'imposer trop rapidement, en fait ?
04:26Oui, exactement. De l'imposer quelque chose trop rapidement.
04:30Il y a plusieurs points.
04:30Donc, un, trop rapidement.
04:34Deux, de façon franco-française, si aujourd'hui, Secnum Cloud est franco-français.
04:40Nous, en tant qu'entreprise, avec des ambitions mondiales, nous avons besoin d'un framework le plus large possible.
04:47Donc là, le minimum que l'on doit considérer, c'est le niveau européen.
04:52C'est le niveau européen, ça c'est le minimum.
04:54Aujourd'hui, Secnum Cloud est franco-français.
04:56Les Allemands font autre chose.
04:59Parce qu'au niveau européen, on a adopté le UCS, c'est ça.
05:02Donc, il ne reprend pas tout à fait toutes les exigences du Secnum Cloud.
05:06Est-ce que ça, selon vous, c'est un problème ?
05:08Parce que c'est vrai que, moi-même, je me suis posé la question,
05:10quelle est la valeur aujourd'hui, finalement, de cette qualification française,
05:14alors qu'on a des décisions européennes qui ne vont pas au-delà,
05:20qui sont d'ailleurs de moindre exigence ?
05:23Alors, moi, je rejoins complètement l'OI sur ce sujet-là,
05:26parce qu'aujourd'hui, d'abord, trop de qualifications tue la qualification.
05:30Nous, on passe quasiment notre année à faire des audits PCDSS,
05:37HDS pour l'hébergement de données de santé, pour les données bancaires, etc.
05:40Donc, c'est extrêmement lourd.
05:42Il y a quand même un manque de lisibilité pour nos clients finaux.
05:45Pour savoir quelle est la bonne qualification ils doivent avoir pour sécuriser leurs données.
05:50Et je pense que tout doit partir, plutôt que d'imposer une qualification Secnum Cloud au domaine de la santé,
05:55je pense que c'est important d'avoir une bonne analyse de risque.
05:57Il y a données de santé et données de santé, selon moi.
06:00La donnée de santé pour acheter une boîte de Doliprane sur un site e-commerce n'est pas la même
06:06qu'une donnée de santé, par exemple, du Health Data Hub, dont on a beaucoup parlé il y a quelques
06:11mois.
06:12La plateforme des données de santé, désormais.
06:13Voilà, tout à fait.
06:14Avec la plateforme de données de santé, avec les données des cartes vitales,
06:18ou la donnée de recherche.
06:21Je pense qu'il faut faire une bonne analyse de risque pour voir quel est le risque par rapport à
06:25l'extraterritorialité,
06:26qui est la principale sécurité de Secnum Cloud.
06:29C'est ça, c'est l'extraterritorialité.
06:33Il ne faut pas oublier que la loi FISA permet notamment au gouvernement américain
06:37d'aller à n'importe quel moment sous couvert de sécurité,
06:41voir ce qu'il se passe sur les serveurs, qu'ils soient hébergés en France, en Europe ou n'importe
06:45où,
06:45à partir du moment où la boîte est une boîte américaine,
06:48et sans prévenir le client final.
06:50C'est un vrai risque.
06:51Alors, est-ce que c'est dangereux pour une boîte de Doliprane ?
06:53Je ne pense pas.
06:54En revanche, pour les données stratégiques de santé, je pense que c'est un problème.
06:57Et dans ce cas-là, une analyse de risque permet d'aiguiller vers la bonne solution.
07:01Alors, Implicity, c'est quand même un sujet très sensible,
07:06puisque vous êtes une entreprise qui est spécialisée dans la télésurveillance
07:11des patients qui portent des dispositifs cardiaques implantables.
07:14Donc, les données sont particulièrement sensibles.
07:16Oui, les données sont particulièrement sensibles.
07:18C'est d'autant plus important de les sécuriser avec les meilleures solutions possibles existantes aujourd'hui sur le marché
07:26et pour assurer cette sécurité maximale.
07:30L'histoire de la souveraineté et le Cloud Act et tout ça doit être adressée au niveau où il doit
07:40l'être,
07:40c'est-à-dire au niveau légal, au niveau des institutions, pour adresser ce problème-là.
07:46Et il existe aujourd'hui des solutions qui adressent l'extraterritorialité,
07:53qui n'est pas nécessairement cette Nume Cloud aussi.
07:55Oui, mais est-ce que vous faites des choix, par exemple, d'hébergement ?
07:59Je sais que Doctolib, ce n'est pas le cas, mais vous, je ne suis pas au fait.
08:03Faites des choix d'hébergement des données sur des serveurs uniquement français,
08:08des hébergeurs uniquement européens ?
08:10Alors, aujourd'hui, le choix de l'hébergement a été fait en 2020
08:16sur les normes qui existaient à ce moment-là.
08:20Donc, sur les normes HDS, hébergeurs de données de santé français,
08:25et donc, nous choisissons nos fournisseurs avec ces normes-là.
08:29Les nouvelles normes qui arrivent maintenant sont très instables, ça change.
08:34On vient de dire qu'il y a un niveau européen, un niveau français.
08:37Mais on peut être hébergeur de données de santé sans être français, on est d'accord.
08:41Il y en a beaucoup, des Américains qui sont HDS.
08:43Il y a beaucoup d'Américains qui sont HDS, mais c'est la réglementation française.
08:49Actuelle.
08:49Voilà, c'est HDS.
08:51Maintenant, pour aller à l'autre phase et assurer la protection juridique
08:56et l'extraterritorialité et tout ça, là, il faut le gérer sans penser que c'est un switch que l
09:03'on doit tourner.
09:03Les technologies sont très différentes.
09:05La démarche pour passer d'un hyperscaler, des technologies hyperscalers qui ont prouvé leur validité, leur sécurité sur le marché,
09:17à des offres qui sont aujourd'hui à Secnum Cloud.
09:20Sans parler du fait que ça change, je viens d'apprendre qu'Écritel passe Secnum Cloud bientôt.
09:27Absolument.
09:28Et donc, tout ça bouge beaucoup trop vite maintenant pour pouvoir choisir un hébergeur.
09:37Si je devais choisir maintenant sur ce qui est disponible, il y a une poignée.
09:42Une poignée uniquement d'hébergeurs.
09:45Et dans cette poignée, il n'y a qu'encore moins qu'ils soient capables d'héberger des solutions robustes
09:52comme la nôtre ou comme celle de Doctolib.
09:55Physiquement, la taille des serveurs et tout ça est un défi auquel on doit faire face.
10:06Et je me souviens parce que ce discours de dire qu'aujourd'hui, on n'a finalement pas d'offres
10:11existantes sur le marché qui puisse rivaliser vraiment avec celle des hyperscalers,
10:17c'est ce qu'on entendait au tout début de la polémique autour de l'hébergement du S-Data Hub
10:22par Microsoft.
10:24Depuis, ça a quand même pas mal bougé.
10:26Moi, je ne suis pas d'accord avec cet argument-là.
10:29Je ne suis pas du tout d'accord parce que d'abord, il y a quand même un principe d
10:33'interopérabilité par rapport au cloud acte
10:36qui doit permettre à des clients de basculer rapidement en un mois, s'il le faut, vers un autre hébergeur.
10:42Aujourd'hui, nous sommes capables de faire ça.
10:45Alors après, effectivement, sur les clouds publics, il peut y avoir des tas d'offres sur étagère.
10:50Chez des hébergeurs français ou européens, il y a aussi des tas d'offres sur étagère.
10:55Ce n'est pas une bonne remarque, mais quand vous choisissez votre voiture, vous ne choisissez pas la voiture avec
11:00le plus d'options.
11:00Vous choisissez une voiture avec des options qui correspondent à vos besoins.
11:04Aujourd'hui, je pense que, comme le proposait Loaï...
11:07Est-ce qu'on utilise finalement tous les services qui sont proposés par ces hyperscalers ?
11:11C'est ça que vous nous dites ?
11:12Oui, je ne pense pas.
11:13Ce qui est important, c'est que le client fasse un cahier des charges qui soit le plus à même
11:18de répondre à ces enjeux.
11:19Et après, le prestataire infogéreur répond avec une infrastructure ad hoc et des services ad hoc.
11:26Mais ça, vous l'entendez beaucoup, ce discours, j'imagine ?
11:28On l'entend beaucoup, de moins en moins.
11:30De moins en moins, dans le sens qu'aujourd'hui, il y a quand même une responsabilité par rapport à
11:35ces risques
11:35qui ont quand même été soulevés de plus en plus, avec beaucoup de fuite de données dont on parle en
11:41France.
11:42Mais sur le sujet de la qualité de l'offre européenne ?
11:46De moins en moins.
11:47De moins en moins.
11:47L'offre aujourd'hui, je pense que l'offre en France est riche.
11:50Cela dit, comme l'a dit l'Oye...
11:52Ce qui reste compliqué, c'est la difficulté de bascule aussi, j'imagine.
11:55La difficulté de bascule, mais...
11:56Alors, là où je ne suis pas d'accord, c'est qu'aujourd'hui, les offres de cloud proposées, notamment
12:00ce sac de cloud,
12:01s'appuient sur les offres du marché.
12:03Ce qui est important sur ce sac de cloud, c'est la segmentation logique, physique,
12:07et la segmentation des rôles également que vont avoir les différents ingénieurs pour traiter telle ou telle offre.
12:12Ce n'est pas dans l'infrastructure.
12:14D'un mot, l'Oye, parce que je vois qu'on arrive à la fin, je vous laisse répondre.
12:18Oui, mais c'est exactement ce qu'on a proposé.
12:21Ce collectif a proposé l'établissement d'un groupe de travail pour établir exactement ce dont on a besoin.
12:29Et cette liste-là pourrait être proposée et mise claire pour tous les fournisseurs d'infrastructures,
12:35pour arriver à ce niveau-là, pour pouvoir dire enfin qu'il y a des offres qui sont disponibles pour
12:41des solutions comme nous.
12:41L'idée, c'est de travailler ensemble et de nous faire grandir ensemble dans l'écosystème.
12:45Merci beaucoup à tous les deux pour vos réponses, vos éclairages.
12:48Audrey Loaï était avec nous d'Ecritel et Loaï Gargoum d'Implicity.
12:51Merci à tous de nous suivre.
12:53C'était Smartech, votre émission quotidienne sur la tech, le numérique et l'IA,
12:57que vous regardez sur la chaîne Bsmart, bien sûr.
12:59Sous-titrage Société Radio-Canada
13:05Sous-titrage Société Radio-Canada