C’est digne d’un meme Reddit

“Wow, your datacenter is on fire”…“Never mind, my dashboard says that everything is OK :oui2: “.

D’après les DNA, le feu s’est déclaré (ou a été détecté) à 00h47 et les pompiers n’ont pas pu combattre correctement le feu du fait de l’absence d’accès pompier sur les façades.

En tout cas, vu de l’extérieur, ces datacenter font vraiment TRES cheap et les photos postés dans le thread font assez peur niveau respect de la sécurité. Si OVH a pu obtenir des certifications ISO 27xxx, je crois que ces certifications ne veulent pas dire grand chose.

C’est une raison de plus pour la société de ne pas être introduite en bourse au risque d’un vrai accident industriel. Il leur faut vraiment tout reprendre de A à Z sur la sécurité physique et ça va pas être facile car les datacenter européens et américains ont dû être construit de la même manière de façon low cost…

Question subsidiaire : Pourquoi les entreprises françaises ont beaucoup tendance à ne pas être sérieuse et misent sur la réduction des coûts au lieu de miser sur le savoir-faire et la fiabilité ?

En même temps, les procédures d’homologation où tu paye un cabinet qui te vend la prestation d’homologation, ça ne me semble pas bien fiable. De même pour les procédures où cocher des cases et écrire une justification en 500 caractères est suffisante…

Rien ne vaut une homologation par l’Etat, une revue par les paires, par des experts indépendants type expert judiciaire ou assermenté, éventuellement par les compagnies d’assurance, un classement public par des ONG, ou encore un bon vieil audit à faire soi-même qui est toujours le plus efficace.

Comme indiqué, source les Dernières Nouvelles d’Alsace (DNA) : https://www.dna.fr/faits-divers-justice/2021/03/10/strasbourg-important-incendie-dans-une-entreprise-situee-sur-un-site-seveso-au-port-du-rhin

Le feu, qui s’est déclenché à 0h47 dans la nuit de mardi à mercredi, a pris sur le site de l’entreprise OVHcloud, un data center situé rue du Bassin de l’Industrie, dans le quartier du Port du Rhin à Strasbourg. Le site concerné n’est pas classé Seveso.

«On n’a pas pu rentrer du fait de la structure et de l’impossibilité de couper l’électricité», a indiqué le commandant Damien Harroué, qui a dirigé les opérations. Les pompiers ont procédé à une attaque massive depuis l’extérieur, au moyen de six lances-canons et deux échelles. Ils ont réussi à enrayer la propagation des flammes et ont évité qu’elles n’atteignent les deux bâtiments voisins. Le feu, circonscrit peu avant 6h, a été maîtrisé à 6h45 et a nécessité six heures d’intervention.

Moi j’en sais rien, je n’ai rien à voir avec tout ça, je suis juste un citoyen lambda et un lecteur de Nextinpact, mais je lis ce que les DNA rapportent du responsable des pompiers sur place, et celui là dit que les pompiers n’ont pas pu avoir accès au bâtiment (visiblement sur les images pas d’accès en façade), et n’ont pas pu couper l’électricité.

La morale de cette histoire est de ne pas mettre vos backup et vos espaces de stockage chez OVH et de privilégier un hébergeur plus fiable pour faire cela.

Ca c’est un raisonnement de techos avec sa petite règle de 3, mais ils y a des obligations légales en matière de sécurité, et la première étant le RGPD et visiblement OVH a sur le coup contrevenu à ses obigations de sécurisation des données car parmi celles qu’il hébergeait, il devait y avoir statistiquement de très nombreuses données à caractère personnel, voir sensibles et un certain nombre ont été détruites.

Biensûr qu’il faut sauvegarder et redonder ses données, mais choisir pour ce faire des hébergeurs non-fiables, c’est être irresponsable par rapport à ses obligations légales.

Ce genre de mentalité ne va certainement pas conduire les acteurs du marché à augmenter leurs standards de sécurité puisque pour certains, seuls le nombre de points de rendondance comptent, même si dans le lot nous avons des datacenter entiers qui partent en fumé.

Quel lien ? La sécurité physique des données, les responsabilités du sous-traitant et celle du responsable de traitement vis-à-vis des sous-traitants qu’il choisit.

Je vous renvoi vers le dossier de NextInpact sur les articles concernés : https://www.nextinpact.com/article/28047/106168-le-rgpd-explique-ligne-par-ligne-articles-24-a-50

Article 28

Sous-traitant

1. Lorsqu’un traitement doit être effectué pour le compte d’un responsable du traitement, celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée.





2. Le sous-traitant ne recrute pas un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Dans le cas d’une autorisation écrite générale, le sous-traitant informe le responsable du traitement de tout changement prévu concernant l’ajout ou le remplacement d’autres sous-traitants, donnant ainsi au responsable du traitement la possibilité d’émettre des objections à l’encontre de ces changements.





3. Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l’Union ou du droit d’un État membre, qui lie le sous-traitant à l’égard du responsable du traitement, définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement. Ce contrat ou cet autre acte juridique prévoit, notamment, que le sous-traitant:

a)

ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel le sous-traitant est soumis; dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public;

b)

veille à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité;

c)

prend toutes les mesures requises en vertu de l’article 32;

d)

respecte les conditions visées aux paragraphes 2 et 4 pour recruter un autre sous-traitant;

e)

tient compte de la nature du traitement, aide le responsable du traitement, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s’acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d’exercer leurs droits prévus au chapitre III;

f)

aide le responsable du traitement à garantir le respect des obligations prévues aux articles 32 à 36, compte tenu de la nature du traitement et des informations à la disposition du sous-traitant;

g)

selon le choix du responsable du traitement, supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation de services relatifs au traitement, et détruit les copies existantes, à moins que le droit de l’Union ou le droit de l’État membre n’exige la conservation des données à caractère personnel; et

h)

met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent article et pour permettre la réalisation d’audits, y compris des inspections, par le responsable du traitement ou un autre auditeur qu’il a mandaté, et contribuer à ces audits.

En ce qui concerne le point h) du premier alinéa, le sous-traitant informe immédiatement le responsable du traitement si, selon lui, une instruction constitue une violation du présent règlement ou d’autres dispositions du droit de l’Union ou du droit des États membres relatives à la protection des données.

1. Lorsqu’un sous-traitant recrute un autre sous-traitant pour mener des activités de traitement spécifiques pour le compte du responsable du traitement, les mêmes obligations en matière de protection de données que celles fixées dans le contrat ou un autre acte juridique entre le responsable du traitement et le sous-traitant conformément au paragraphe 3, sont imposées à cet autre sous-traitant par contrat ou au moyen d’un autre acte juridique au titre du droit de l’Union ou du droit d’un État membre, en particulier pour ce qui est de présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement. Lorsque cet autre sous-traitant ne remplit pas ses obligations en matière de protection des données, le sous-traitant initial demeure pleinement responsable devant le responsable du traitement de l’exécution par l’autre sous-traitant de ses obligations.





2. L’application, par un sous-traitant, d’un code de conduite approuvé comme le prévoit l’article 40 ou d’un mécanisme de certification approuvé comme le prévoit l’article 42 peut servir d’élément pour démontrer l’existence des garanties suffisantes conformément aux paragraphes 1 et 4 du présent article.





3. Sans préjudice d’un contrat particulier entre le responsable du traitement et le sous-traitant, le contrat ou l’autre acte juridique visé aux paragraphes 3 et 4 du présent article peut être fondé, en tout ou en partie, sur les clauses contractuelles types visées aux paragraphes 7 et 8 du présent article, y compris lorsqu’elles font partie d’une certification délivrée au responsable du traitement ou au sous-traitant en vertu des articles 42 et 43.





4. La Commission peut établir des clauses contractuelles types pour les questions visées aux paragraphes 3 et 4 du présent article et conformément à la procédure d’examen visée à l’article 93, paragraphe 2.





5. Une autorité de contrôle peut adopter des clauses contractuelles types pour les questions visées aux paragraphes 3 et 4 du présent article et conformément au mécanisme de contrôle de la cohérence visé à l’article 63.





6. Le contrat ou l’autre acte juridique visé aux paragraphes 3 et 4 se présente sous une forme écrite, y compris en format électronique.





7. Sans préjudice des articles 82, 83 et 84, si, en violation du présent règlement, un sous-traitant détermine les finalités et les moyens du traitement, il est considéré comme un responsable du traitement pour ce qui concerne ce traitement.

Article 32

Sécurité du traitement

1. Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins:

a)

la pseudonymisation et le chiffrement des données à caractère personnel;

b)

des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement;

c)

des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique;

d)

une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.

1. Lors de l’évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l’altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou de l’accès non autorisé à de telles données, de manière accidentelle ou illicite.





2. L’application d’un code de conduite approuvé comme le prévoit l’article 40 ou d’un mécanisme de certification approuvé comme le prévoit l’article 42 peut servir d’élément pour démontrer le respect des exigences prévues au paragraphe 1 du présent article.





3. Le responsable du traitement et le sous-traitant prennent des mesures afin de garantir que toute personne physique agissant sous l’autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne les traite pas, excepté sur instruction du responsable du traitement, à moins d’y être obligée par le droit de l’Union ou le droit d’un État membre.

Toujours en revenir au texte, c’est l’essentiel, mais c’est vrai qu’il y a eu un petit problème sur la prise en compte des BBcode et notamment le gras (les petites étoiles).

Non, elle concerne la sécurité, l’inaltérabilité, la disponibilité des données, y compris contre les risques accidentels dont l’incendie, mais ça pourrait aussi être le cas avec la destruction par infiltration d’eau.

La logique du texte est la suivante : Si vous recueillez des données personnelles, vous devez vous mettre en mesure de parfaitement les sécuriser, et de vous aider pour cela d’une analyse fine des risques qui vous permet de prendre les mesures nécessaires.

Vous avez des datacenter qui présentent un manquement à la sécurité incendie et qu’un incendie détruit votre datacenter ? Et bien vous avez failli à l’obligation de sécurité que vous avez vis à vis du responsable de traitement et vous êtes condamnables à ce titre.

Les deux sont obliglatoire, point. Et votre backup, il n’empêche pas à des données personnelles de devenir inaccessibles, n’empêche pas une perte lorsque des données sont corrompues, ou non comprise dans votre dernier backup accessible.

L’obtention d’une certification ne dédouane de rien du tout, surtout lorsque les faits montre que derrière ces certifications il n’y a rien de solide.

Au mieux, la certification a dû vous faire progresser si elle est faite sérieusement, et doit vous permettre d’apporter des éléments montrant que vous respectiez vos obligations, rien de plus.

Si les faits démontrent que votre certification est au niveau d’une blague carambar…

Il y a plusieurs fondements sur lesquels la société pourra avoir des comptes à rendre :

• Responsabilité contractuelle, obligation de sécurité, préjudice causé.





• Responsabilité délictuelle : négligence, préjudice causé.





• RGPD : Les obligations de sécurité physique n’ont pas été respecté, des traitements de données ont été réalisé par les responsables de traitements sur des moyens techniques loués à OVH qui devient sous-traitant. Là pas besoin de préjudice, le non-respect s’il est démontré suffit à la condamnation. Ensuite il est possible d’intenter une action au civil pour condamner sur la base du non-respect du RGPD et du préjudice causé.





• Responsabilité potentielle sur la base du droit social vis à vis de la sécurité de ses employés.





• Pénal pour négligence, et heureusement qu’aucun employé n’est mort dans l’incendie, sinon c’est directement en correctionnel voir la cour d’assise pour les dirigeants de la société.

Justement, sur ce point, le RGPD est là pour faire prendre conscience aux acteurs français qu’il faut devenir bon dans le domaine de la sécurité autour des données personnelles, et il doit faire monter le niveau en faisant réaliser des analyses des risques et in fine les investissements nécessaires et ainsi se montrer au niveau des mastodontes américains, qui loin d’être parfait, ont certainement une longueur d’avance à ce sujet (notamment parce que là bas, les procès peuvent faire TREEEES MAL)

De manière beaucoup plus générale, les français doivent comprendre qu’on ne devient pas leader mondiale en institutionnalisant amateurisme et low-cost (c’est pas spécialement vis à vis d’OVH, je parle généralement d’une certaine mentalité qu’on retrouve dans pas mal de boites françaises).