En mai 2021, Orange et Capgemini s’associaient avec Microsoft – présenté comme un partenaire technologique – pour annoncer Bleu, leur version du « cloud de confiance », c’est-à-dire une offre labellisée SecNumCloud par l’ANSSI. Le but : proposer « la suite de collaboration et de productivité Microsoft 365 et des services Microsoft Azure, dans un "cloud de confiance" ».

• Perdus face au cloud ? On vous explique les notions principales

Pour le moment, Cloud Temple, Oodrive, Outscale, OVHcloud et Worldline ont obtenu le précieux sésame. La liste des prétendants en cours de qualification est bien plus longue : Cegedim, Free Pro, Cloud Solutions, Index Education, Orange Business, SFR Business et Whaller. Impossible pour le moment de dire si les entreprises seront certifiées, le processus est en cours.

Bleu appartient à 100 % à Capgemini et Orange

Pour en revenir à Bleu, cette entreprise est « fondée et détenue à 100 % par Capgemini et Orange ». Une alternative à S3ns, une offre conjointe de Thales et Google cette fois-ci. Depuis plus de deux ans, c’était le calme plat autour de Bleu, ou presque.

En juin dernier, la Commission européenne avait conclu que ce rapprochement « ne poserait pas de problème de concurrence » et avait donc donné son feu vert. Nous avions bien tenté d’en parler avec les partenaires lors des Assises de la cybersécurité à Monaco en octobre dernier, mais on nous avait simplement répondu qu’il fallait attendre le lancement de l’offre.

C’est désormais le cas si l’on en croit le communiqué d’Orange et Capgemini. Ils annoncent en effet « le lancement des activités commerciales de Bleu, leur future plateforme de "cloud de confiance" ». Il faut comprendre qu’il ne s’agit que d’un « paper launch » pour le moment. S3ns ne propose aussi que son offre « Contrôles locaux avec S3NS » pour l’instant, le cloud de confiance (qui vise la certification SecNumCloud) n’est pas encore disponible.

Dirigeants de Bleu : trois anciens de Capgemini, trois d’Orange

La nouvelle entreprise Bleu se contente pour le moment de travailler « avec des entreprises et des organismes publics français intéressés, pour s’assurer qu’ils soient prêts à migrer lorsque les premiers services seront disponibles sur la plateforme à partir de fin 2024 ». Une manière d’entrer dans la course sans être prêt, ni certifié par l’ANSSI.

Un site officiel est disponible et on connait donc l’équipe dirigeante. Trois viennent de chez Capgemini : Jean Coumaros (président de Bleu), Papa Ibrahima Ndao (directeur technologie et services) et Siham Benayad (directrice ressources humaines). Ils cumulent plus de 30 ans d’anciennetés à eux trois chez Capgemini.

Trois autres proviennent de chez Orange : Laurent Lemaire (directeur commercial et marketing), Mélanie Pasquier (directrice communication et marketing opérationnel) et Dominique Le Beuz (directeur opérations et systèmes d’information). Ils approchent les 60 ans d’ancienneté cumulée à eux trois… Autant dire que Bleu est dirigé par des fidèles des deux partenaires. Une campagne de recrutement est lancée.

La promesse et les cibles de Bleu

La promesse de Bleu est de proposer « la suite de collaboration et de productivité Microsoft 365, ainsi que les services Microsoft Azure, dans un cloud français sécurisé, ayant vocation à obtenir la qualification SecNumCloud 3.2 de l’ANSSI ». Bleu vise aussi la certification des Hébergeurs de Données de Santé (HDS). Reste maintenant à les avoir.

Bleu proposera des solutions pour les « besoins spécifiques de l'État, des collectivités territoriales, des hôpitaux et établissements de santé, des entités publiques et privées reconnues comme Opérateurs d’Importance Vitale (OIV) et Opérateurs de Services Essentiels (OSE) ». Des domaines que les deux partenaires connaissent bien.

Orange est par exemple un opérateur d’importance vitale. De son côté, Capgemini assure la liaison entre services publics et les fournisseurs de cloud via la centrale d’achat UGAP (Union des groupements d'achats publics) : « Capgemini assure en toute transparence et impartialité un rôle de facilitateur dans la mise en relation entre les bénéficiaires et les fournisseurs de Cloud, avec la mise à disposition de différents outils (Portail de souscription, parcours de choix, etc.) ». Bleu sera-t-il traité avec la même « transparence et impartialité » que les autres services ?

Quid de la sécurité ? Faites confiance…

Passons maintenant au cœur du sujet : les « principes de sécurité et de confiance ». Bleu fait plusieurs promesses. Tout d’abord, ses datacenters sont « localisés exclusivement en France, dans deux régions distantes de plus de 300 km », sans plus de détails (nous ne savons pas si c’est de la colocation par exemple).

De plus : « les opérations seront gérées depuis le territoire national, par nos équipes, qui proposeront un support en français ». Le siège social aussi se trouve en France et « nous contractualisons avec nos clients en droit français », ajoute Bleu.

Pour la sécurité des données, « des mécanismes de chiffrement avancés pour toutes vos données stockées et en transit seront proposés, avec la possibilité d’utiliser et d’héberger vos propres clés »… heureusement d’ailleurs !

La certification SecNumCloud 3.2 est visée, mais c’est l’ANSSI qui décide ou non de la donner, après un long processus de vérification. OVHcloud dispose pour rappel de trois datacenters certifiés SecNumCloud (Gravelines, Roubaix et Strasbourg) formant ainsi une région. L’hébergeur compte passer une large partie de ses services sous la certification SecNumCloud au cours des deux prochaines années.

• • OVHcloud Summit 2023 : SecNumCloud, IA et Local Zones

Pour ce qui est de l’étanchéité entre Microsoft et Bleu, c’est plus flou… mais promis, c'est « by design » : « Nous conjuguons le meilleur de la sécurité du cloud Microsoft à des mécanismes de cloisonnement physique et virtuel mis en place par les équipes de Bleu à tous les niveaux de l’infrastructure cloud, dans une approche "security by design" ».

Mises à jour de la discorde…

Concernant les mises à jour de Microsoft Azure et 365, « un principe de quasi-parité » est mis en avant : « Les mises à jour quotidiennes seront contrôlées et déployées par les équipes techniques de Bleu ». Est-ce que le code source de toutes les mises à jour sera contrôlé avant mise en ligne ? Ce n’est pas précisé…

Il y a quelques mois, Michel Paulin (directeur général d’OVHcloud) expliquait que les mises à jour de Google et de Microsoft… pouvaient atteindre une cadence infernale de « 50 000 modifications par jour ». Il expliquait aussi que « T-Systems avait un partenariat avec Microsoft sur lequel ils avaient mis en place justement le même type de stratégie que nous voyons aujourd'hui […] Ça n'a pas marché parce que d'abord techniquement, c'est d’une complexité incroyable. Deuxièmement, ils avaient un problème de coût ». Résultat des courses, une solution « plus chère et en retard par rapport aux releases de Microsoft », affirmait le directeur général d’OVHcloud.

• • Quand OVHcloud explique le nuage (souverain) avec une disquette et des voitures

S3ns aussi navigue entre deux eaux sur la question des mises à jour, et reconnait que toutes les vérifier (chez Google) est impossible. En effet, Thales prône « la vérification systématique de toutes les mises à jour qui sont fournies par GCP… et il y en a beaucoup », via un « système de bac à sable pour les tester », expliquait Éric Brier (directeur de la stratégie cyberdéfense solutions chez Thales et directeur technique de Sens). Mais à la question de savoir si Thales vérifiera le code source de toutes les mises à jour, la réponse d’Ivan Maximoff (responsable de la sécurité des systèmes d'information chez Thales) était sans appel : « Non, on ne vérifie pas l’ensemble du code ».

• Thales et Google détaillent le fonctionnement de S3ns sur le « cloud de confiance »

Des modalités de réversibilité « clairement définies »… mais non précisées

Bleu affirme que « des modalités techniques de réversibilité clairement définies vous permettront de récupérer l’intégralité de vos données et applications en conformité avec les exigences réglementaires et les standards de l’industrie ». Bref, une phrase pour ne pas dire grand-chose des conditions exactes, si ce n’est qu’elles respecteront la loi, encore heureux !

En plus des services Microsoft, Bleu proposera une place de marché avec « des solutions provenant d’éditeurs de logiciels tiers (ISV, Independent Software Vendor) ». Celles-ci seront pensées pour un déploiement rapide sur… « les services Azure proposés par Bleu ». La boucle est bouclée.

Programme Départ Lancé à défaut d’un vrai départ

À défaut d’une offre commerciale disponible, Bleu propose un « Programme Départ Lancé » pour permettre aux entreprises et institutions intéressées d’anticiper leurs besoins (définir une stratégie de migration), préparer leurs migrations et enfin sauter le pas lorsque les services seront disponibles, vers la fin de l’année. Pour chacune des étapes, Bleu affirme qu’un « écosystème de partenaires » sera proposé.