Les réseaux d'entreprise : cette couche dont personne ne se soucie tant qu'elle fonctionne correctement

Le réseau est la couche que l'on a tendance à négliger dans les débats sur la souveraineté. On évalue les applications, on évalue les plateformes de données, mais on considère le réseau comme une simple infrastructure. La Commission Cloud

Sovereignty Framework refuse de passer cela sous silence, et à juste titre. C'est au niveau de l'infrastructure que les paquets franchissent les frontières juridictionnelles, que le micrologiciel est signé et que le plan de gestion exporte discrètement vos données télémétriques opérationnelles vers un cloud étranger.

La situation actuelle des réseaux d'entreprise

Deux tendances se dégagent.

• Une grande entreprise européenne utilisant des solutions SD-WAN et SASE proposées par l'un des principaux fournisseurs américains, avec des contrôleurs gérés dans le cloud et hébergés aux États-Unis ou dans une région européenne dont le siège social est situé aux États-Unis. Ce parc informatique obtient généralement le niveau SEAL-1 pour les critères SOV-5 et SOV-7, quel que soit l'emplacement physique des équipements.
• Une entreprise européenne exploitant un réseau de campus et de centres de données fourni par un fournisseur européen, avec une gestion locale, mais dont la puce sous-jacente utilise un micrologiciel provenant d’un pays tiers. Ce parc informatique peut atteindre le niveau SEAL-2 en termes d’objectifs opérationnels, mais se heurte au niveau SOV-5 en raison de la couche matérielle.

Les objectifs SOV qui dominent la mise en réseau

SOV-5, chaîne d'approvisionnement

C'est l'objectif que les équipes chargées des réseaux sous-estiment le plus. Le cadre de référence s'intéresse aux lieux de fabrication du matériel, aux sources de signature et de mise à jour des micrologiciels, ainsi qu'au degré de transparence de la chaîne des sous-traitants.

Dans la plupart des réseaux d'entreprise, les mises à jour du micrologiciel proviennent de l'extérieur de l'UE et sont signées par des clés non européennes. Il s'agit là d'une vulnérabilité de niveau SOV-5, que les paquets quittent ou non le territoire national.

SOV-7, sécurité et conformité

La question de l'emplacement du centre d'exploitation du réseau (NOC) et du centre d'exploitation de la sécurité (SOC) se pose avec plus d'acuité dans le domaine des réseaux que dans tout autre secteur, car les données opérationnelles que le NOC recueille (télémétrie, enregistrements de flux, modifications de configuration et données topologiques) sont elles-mêmes sensibles.

Si le NOC est situé dans une juridiction hors de l'UE, ces données télémétriques s'y trouvent également, et le cadre réglementaire les considère comme des données franchissant la frontière.

SOV-6, technologie

Normes ouvertes contre normes propriétaires.

Un réseau reposant sur des protocoles documentés et des API ouvertes est portable.

Ce n'est pas le cas d'un réseau reposant sur un contrôleur propriétaire utilisant des formats de télémétrie propriétaires. Le cadre récompense le premier et pénalise le second.

Le problème du plan de gestion

Les réseaux gérés dans le cloud constituent aujourd'hui le principal enjeu en matière de souveraineté dans la plupart des entreprises, et celui qui risque le plus d'être négligé.

Lorsqu'un fournisseur de solutions réseau transfère son contrôleur vers le cloud, trois choses se produisent simultanément.

• Les données de configuration quittent les locaux du client.
• Les données de télémétrie quittent les locaux du client.
• Les points de terminaison de l'API de contrôle relèvent désormais de la compétence du fournisseur.

Le cadre réglementaire ne tient pas compte du fait que cela soit pratique. Il évalue l'exposition juridictionnelle. Un parc SD-WAN géré dans le cloud dont le contrôleur est hébergé aux États-Unis n'est pas conforme à la norme SEAL-2, quoi qu'en dise la présentation commerciale.

Il existe trois positions défendables :

1. Transférez le contrôleur vers une instance hébergée dans l'UE, bénéficiant d'une assistance et d'une conservation des clés au sein de l'UE. Certains fournisseurs proposent cette option, d'autres non.
2. Optez pour un fournisseur européen dont le contrôleur est hébergé dans l'UE par défaut. Il s'agit souvent d'un sujet trop vaste pour que l'entreprise puisse l'aborder en une seule fois.
3. Passer à un modèle de contrôleur auto-hébergé sur une infrastructure européenne, en acceptant la charge opérationnelle que cela implique. C'est souvent la seule voie possible pour obtenir la certification SEAL-3.

La question du micrologiciel et de la signature

C'est au niveau du micrologiciel que les débats sur la souveraineté deviennent délicats, car le marché grand public des réseaux d'entreprise ne comporte pratiquement pas de composants électroniques européens.

Ce cadre en tient compte et n'exige pas que chaque couche soit fabriquée en Europe. Ce qu'il exige, en revanche, c'est la transparence, des droits d'audit et un contrôle sur le processus de mise à jour.

Des positions pratiques qui rapportent des points:

• Un référentiel de mises à jour logicielles hébergé dans l'UE, géré par le client ou par un intégrateur européen, contenant des images de micrologiciel signées et vérifiées localement.
• Une liste documentée des sous-traitants, assortie de droits d'audit, précisant notamment la localisation géographique des clés de signature.
• Une clause contractuelle exigeant la notification de tout changement concernant le pays de développement ou de signature du micrologiciel.

Huit questions à poser lors de votre prochain événement de réseautage

1. Où est hébergé le plan de gestion, et sous quelle juridiction relève-t-il ?
2. Où sont stockées les données de télémétrie opérationnelle, et pendant combien de temps ?
3. Quel pays signe le micrologiciel de chaque gamme de matériel, et qui détient les clés de signature ?
4. Quelle est la couverture géographique du NOC, et est-il possible de souscrire un contrat NOC valable uniquement dans l'Union européenne ?
5. Quelles sont les API de contrôle documentées et ouvertes, et lesquelles sont propriétaires ?
6. Quelle serait notre position de sortie si le fournisseur changeait de juridiction d'hébergement de son contrôleur en cours de contrat ?
7. Quels sous-traitants interviennent dans la chaîne d'approvisionnement, et de quels droits d'audit disposons-nous à leur égard ?
8. Quel serait le score SEAL que nous présenterions aujourd'hui à une autorité de régulation, sur la base des critères effectivement utilisés par la Commission ?

Ce que cela signifie pour les acheteurs

Les performances du réseau sont moins bonnes que ne le pensent la plupart des DSI, et les solutions pour y remédier sont moins contraignantes qu'un changement complet de fournisseur.

Commencez par le plan de gestion et le parcours de mise à jour du micrologiciel. Ces deux modifications permettent généralement de faire passer un parc informatique à un niveau SEAL supérieur.

L'article n° 5 vous guide pas à pas dans l'utilisation du calculateur de la Commission à l'aide d'un petit exemple concret, afin que vous puissiez commencer à évaluer votre propre parc immobilier avant le lancement de votre prochain appel d'offres.