La sauvegarde souveraine en France

La souveraineté numérique est devenue un argument marketing. Des dizaines de prestataires se disent souverains, sécurisés, conformes au RGPD et hébergés en France. Certains le sont. Beaucoup se prévalent de la localisation de leur datacenter sans en avoir la nationalité de l'éditeur, la chaîne de contrôle, ou le chiffrement par client.

Avant de signer un contrat de sauvegarde, trois questions méritent une réponse franche : qui contrôle l'éditeur ? Où sont hébergées les données ? Qui détient les clés de chiffrement ?

Le Cloud Act : ce que la localisation du datacenter ne règle pas

Le Cloud Act américain de 2018 autorise les autorités fédérales américaines à obtenir des données détenues par des entreprises américaines, quelle que soit la localisation physique de ces données. Une injonction s'adresse à l'entreprise, pas au serveur.

Conséquence directe : si vous utilisez un service édité par une société américaine, même avec un datacenter à Paris ou à Francfort, vos données peuvent être accessibles aux autorités américaines sans procédure judiciaire française. La résidence des données en France ne protège pas contre cette exposition.

La seule protection effective est la nationalité de l'éditeur. Un éditeur français, sans actionnariat américain dans la chaîne de contrôle, n'est pas soumis au Cloud Act.

Les signaux d'alerte à identifier dans une offre de sauvegarde

• Éditeur domicilié aux États-Unis, au Royaume-Uni ou dans un pays à législation extraterritoriale agressive
• Actionnariat comprenant des fonds d'investissement américains majoritaires ou significatifs
• Revendeur français qui utilise un moteur de sauvegarde américain (Veeam, Acronis, NAKIVO) : la souveraineté porte sur l'enveloppe, pas sur la technologie
• Prix non public ou modèle de vente exclusivement via MSP : vous ne contrôlez pas ce que vous payez
• Chiffrement avec une clé partagée ou détenue par l'éditeur : vos données sont lisibles par le prestataire
• Absence de périmètre machines ou stockage objet : des sources séparées impliquent plusieurs contrats, plusieurs consoles, plusieurs stratégies de restauration

Le piège des revendeurs souverains avec un moteur américain

Plusieurs acteurs français du marché revendent Veeam ou Acronis avec un stockage situé en France et se présentent comme souverains. La donnée est bien sur le sol français, parfois même dans un datacenter certifié HDS. Mais le logiciel qui lit, écrit et gère ces données est édité par une entreprise américaine.

Une injonction américaine adressée à l'éditeur du logiciel peut contraindre cet éditeur à exposer vos données, indépendamment du contrat avec le revendeur français. La souveraineté de l'enveloppe n'est pas la souveraineté de la chaîne.

Kryolys édite sa propre plateforme. Aucun composant tiers américain ne traite vos données de sauvegarde. La chaîne est française de bout en bout.

SaaS, machines et stockage objet : pourquoi les séparer est un problème

La plupart des solutions de sauvegarde se spécialisent. Les outils SaaS (Veeam for Microsoft 365, Afi.ai, Keepit) couvrent vos comptes en ligne mais pas vos machines. Les outils machines (Veeam, NAKIVO, Synology) couvrent vos serveurs et postes mais pas ou mal vos comptes SaaS. Et vos buckets S3 tombent entre les deux catégories. Résultat : deux ou trois services, autant de consoles, autant de stratégies de restauration et de factures.

Un incident réel ne respecte pas cette séparation. Un ransomware qui frappe votre réseau touche à la fois vos serveurs et vos postes. Si votre backup SaaS et votre backup machines ne parlent pas le même langage, la restauration se complique.

Kryolys couvre le tout dans une seule plateforme : Microsoft 365, Google Workspace, IMAP, VM, serveurs physiques, postes Windows, macOS et Linux, et vos buckets S3. Un seul contrat, une seule console, une seule stratégie de restauration.

Ce que Kryolys couvre

• Microsoft 365 : Exchange Online, SharePoint, OneDrive, agenda et contacts
• Google Workspace : Gmail, Drive, Drive partagés, Agenda, Contacts
• Boîtes IMAP : tout hébergeur de messagerie compatible IMAP
• Machines virtuelles : snapshots complets, streaming chiffré
• Serveurs physiques Windows et Linux
• Postes de travail Windows, macOS et Linux
• Stockage objet : buckets S3 et compatibles (Scaleway, OVHcloud, AWS, MinIO)

Chiffrement par organisation : la différence concrète

Un chiffrement « au repos » partagé protège contre la perte physique d'un disque. Il ne protège pas contre un employé du prestataire qui accède à vos données, ni contre une injonction qui contraindrait le prestataire à les livrer en clair.

Un chiffrement par organisation avec une clé propre à chaque client garantit que seul votre organisation peut déchiffrer vos sauvegardes. Même Kryolys ne peut pas lire vos données : la clé est descellée le temps de la sauvegarde, puis effacée de la mémoire. C'est ce que Kryolys applique à chaque client.