Réseaux sur site et souveraineté des données : ce qu'il faut savoir en 2026

Savoir où sont physiquement stockées vos données (résidence des données) et quelles lois les régissent (souveraineté des données) a toujours été important. Mais avant le cloud, seules les multinationales dont les datacenters étaient répartis dans plusieurs pays se préoccupaient de ces questions. La réponse était généralement simple : la résidence des données dépendait de l'emplacement du datacenter d'entreprise sur site.

Le cloud a bouleversé cette logique. La localisation physique et le statut juridique des données sont soudainement devenus flous. En théorie, elles peuvent se trouver dans n'importe quel lieu géographique, ou dans une combinaison de lieux, soumises à des législations différentes.

Pour certaines organisations, c'est un problème. Un nombre croissant de réglementations en matière de conformité et de gouvernance, comme le RGPD, imposent des exigences en termes de résidence des données. Certaines organisations craignent également que des gouvernements étrangers accèdent à leurs données en vertu des lois locales. Ce n'est pas quelque chose que les organisations peuvent simplement accepter de confiance.

Atteindre la conformité juridique et réglementaire est devenu un véritable marché, où les fournisseurs de cloud et de SaaS rivalisent pour proposer des services de souveraineté et de résidence des données, parfois coûteux, afin de répondre à cette demande.

Paradoxalement, les inquiétudes liées à la résidence des données dans le cloud ont mis en lumière le fait que l'approche traditionnelle consistant à conserver les données sur site conserve des avantages importants.

Pourquoi les organisations maintiennent-elles des données sur site ? En y regardant de près, presque toutes les entreprises conservent encore une partie de leurs données sur site. Il y a généralement de très bonnes raisons à cela, notamment :

• Réglementation et sécurité : dans certains secteurs (santé, données de trading financier, recherche, défense), les données critiques doivent être conservées sur site pour garantir leur sécurité ou satisfaire à des normes spécifiques de conformité en cybersécurité.

• Applications legacy ou à hautes performances : certaines applications ne fonctionnent pas dans le cloud, ce qui oblige à maintenir des bases de données importantes accessibles localement.

• Réseaux isolés (air-gapped) : cas d'usage de niche, mais certaines données et applications dans les infrastructures critiques sont si sensibles qu'elles sont même cloisonnées au sein du réseau de l'entreprise.

• Les PME sous pression : les services cloud peuvent être coûteux. Certaines petites entreprises préfèrent gérer leur infrastructure elles-mêmes et continuer à exploiter les équipements dans lesquels elles ont déjà investi.

• Données IA : exécuter des modèles d'IA sur site offre un environnement plus sécurisé pour les données sensibles ou le développement de l'IA. Dans certains cas, cela peut inciter les organisations à rapatrier des données depuis des environnements cloud jugés plus risqués.

Dans chacun de ces cas, l'avantage de l'approche sur site est que la résidence des données devient un non-sujet. L'organisation sait exactement où se trouvent ses données et garde un contrôle total sur les personnes qui y accèdent.

Cela soulève une nuance importante : la souveraineté ne concerne pas seulement les lois applicables aux données, mais aussi qui en a le contrôle. En pratique, il s'agit de savoir qui gère les clés de chiffrement des données au repos et qui peut y accéder.

Pour les organisations qui recherchent la certitude, la voie de la simplicité consiste à conserver ces données sur site.

Dans un monde idéal, cela suffirait : les plateformes cloud seraient utilisées pour certains types de charges de travail, et l'infrastructure sur site servirait de filet de sécurité ou d'alternative lorsque des considérations de sécurité entrent en jeu.

Malheureusement, le monde n'est pas aussi simple. Le fait que des données soient sur site, et donc « souveraines », ne signifie pas qu'elles sont automatiquement plus sécurisées.

C'est l'un des compromis qui a poussé les organisations vers le cloud au départ.

Dans le cloud public, le prestataire assure l'infrastructure de sécurité selon un modèle de responsabilité partagée.

Les réseaux sur site, eux, doivent assumer seuls ce travail de sécurisation et de gestion.

En effet, même les réseaux sur site les plus rigoureusement contrôlés doivent encore autoriser l'accès à des tiers, partenaires commerciaux, prestataires de maintenance à distance, sans compter les employés qui accèdent au réseau à distance.

La sécurité des données sur site repose sur deux enjeux distincts : sécuriser l'accès aux données, et surveiller ce qui se passe après que cet accès a été accordé.

UserLock est conçu pour résoudre le premier enjeu dans les environnements Active Directory (AD), grâce à la gestion des identités et des accès (IAM). Les administrateurs peuvent ainsi appliquer des contrôles de sécurité tels que l'authentification multifacteur (MFA), l'authentification unique (SSO), le contrôle d'accès contextuel et la gestion des sessions en temps réel.

FileAudit, quant à lui, est conçu pour surveiller les fichiers directement — lectures, écritures, renommages, copies et toute modification des permissions. En cas d'événement inhabituel (copie ou suppression massive, accès à une heure atypique), les administrateurs reçoivent une alerte immédiate associée à un utilisateur, une adresse IP ou un appareil précis. FileAudit peut également exécuter des scripts automatisés pour bloquer ces actions.

Dans la pratique, cependant, la plupart des organisations ne fonctionnent plus dans des environnements purement sur site. Même lorsque les données critiques restent sur site pour des raisons de souveraineté, les accès et les activités dépassent le périmètre traditionnel.

C'est pourquoi UserLock et FileAudit étendent ces mêmes contrôles aux environnements cloud. La gestion des identités et de l'authentification peut rester ancrée dans AD tout en intégrant l'accès aux applications SaaS sous le contrôle de l'IT, et l'activité sur les fichiers peut être surveillée aussi bien sur les systèmes sur site que sur les principales plateformes de stockage cloud.

Les organisations peuvent ainsi maintenir le contrôle de leur environnement sur site tout en bénéficiant du même niveau de visibilité et de sécurité pour les accès et les données dans le cloud.

Il y a peu encore, les organisations contrôlaient leurs données dans un périmètre clairement défini. Le cloud public a remis en cause ce modèle, avec une nuance de taille : ce périmètre se trouvait désormais sur le réseau de quelqu'un d'autre.

Cette perte de contrôle, combinée à la multiplication des réglementations sur la protection des données, a conduit à une attention croissante portée à la résidence et à la souveraineté des données. Elle a également conduit les organisations à mieux percevoir les avantages de conserver certaines données dans leur périmètre sur site, sans migrer intégralement vers le cloud.

Mais conserver des données sur site remet entre les mains des organisations le problème bien connu de la sécurisation des données par leurs propres moyens, ce qui n'est pas toujours simple dans les environnements AD.

UserLock et FileAudit résolvent ce problème pour les organisations qui souhaitent utiliser AD comme système IAM sans se couper des applications SaaS ni du cloud public.