SAFARI

SAFARI signifie Sovereignty Assurance Framework for Autonomy, Resilience & Independence. Il s’agit d’une méthodologie ouverte permettant d’évaluer la souveraineté numérique des services cloud du point de vue du client : de quel contrôle une organisation dispose-t-elle réellement et quelles preuves l’étayent ?

Un appui pour les achats

SAFARI aide à préciser les exigences de souveraineté numérique avant un appel d’offres ou une négociation contractuelle. L’organisation choisit elle-même le niveau minimum requis pour chaque sujet. Des questions, des exigences de preuve et des règles de notation fixes facilitent la comparaison des offres et révèlent rapidement les informations, accords ou garanties techniques manquants.

Le niveau le plus élevé n’est pas toujours nécessaire. L’organisation détermine le niveau souhaité en fonction de l’utilisation, des données et des risques du service. SAFARI propose des niveaux minimums recommandés comme point de départ ; il est possible de s’en écarter en motivant ce choix.

Une assurance au degré de confiance approprié

SAFARI évalue séparément deux éléments :

• le niveau de souveraineté atteint, de 0 à 4 ;
• la qualité des preuves, également de 0 à 4.

Le niveau minimum souhaité et le degré de confiance visé sont définis à l’avance. La conclusion indique ensuite si ce minimum est atteint et si les preuves permettent de ne pas formuler de conclusion, de fournir une assurance limitée ou une assurance raisonnable. Le degré de confiance correspond ainsi à ce que l’organisation doit réellement démontrer.

Référentiels utilisés

Le European Cloud Sovereignty Framework (ECSF) constitue le point de départ. SAFARI reprend les huit objectifs de souveraineté et les niveaux de l’ECSF, mais adopte le point de vue du client et considère le maillon le plus faible comme déterminant pour le niveau global.

SAFARI relie également l’évaluation aux éléments suivants :

• ISO 27001:2022 pour les mesures pertinentes ;
• ISAE 3000 pour la structure de la conclusion d’assurance ;
• la législation actuelle, notamment le RGPD, le Data Act, NIS2, DORA et le Cyber Resilience Act ;
• la proposition de Cloud and AI Development Act (CADA), uniquement à titre indicatif tant qu’elle ne constitue pas du droit applicable.

La méthodologie complète, les questionnaires et les règles de notation sont publics dans le dépôt SAFARI.

SAFARI a été rendu possible par De Winter Information Solutions et Vigilis Consultancy.