La souveraineté numérique PLM/ALM comme fin en soi ? Je ne trouve pas que ce soit particulièrement malin. Non pas que je sous-estime la valeur de motivations intrinsèques — bien au contraire. Mais je vois le risque de se laisser aveugler, et que des solutions prétendument souveraines ne soient finalement pas ce qu’elles prétendent être : du sovereign-washing.
Dans la sécurité de l’information, on parle souvent d’objectifs de protection. Les plus importants sont Confidentiality (confidentialité), Integrity (intégrité) et Availability (disponibilité) — en bref : la triade CIA.
Ces objectifs de protection ne sont en rien une nouveauté. Mais ils se prêtent aussi, dans le contexte de la souveraineté numérique, à spécifier ou évaluer le degré de souveraineté d’une solution informatique.
Confidentialité
Quelle importance l’entreprise accorde-t-elle à ce que ses données et sa propriété intellectuelle restent réellement confidentielles ? Dans quelle mesure ces données doivent-elles être protégées contre une éventuelle fuite organisée par un État vers des pays tiers ?
Intégrité
Dans quelle mesure les données doivent-elles être protégées contre une manipulation ou un sabotage passant inaperçu ?
Disponibilité
Quel est le niveau de garantie de la disponibilité continue de la solution PLM et des données qu’elle contient ? Ou les données et les processus métier pourraient-ils être compromis pour des raisons géopolitiques dans la solution PLM/ALM choisie ?
Dans un article précédent de cette série, j’ai déjà défendu l’idée qu’une souveraineté absolue ne peut pas exister dans un monde fondé sur la division du travail. La souveraineté n’est pas une fin en soi. Il est d’autant plus important de clarifier le degré de souveraineté souhaité — et si elle doit être garantie par des mesures organisationnelles, architecturales ou techniques.
Ces objectifs de protection peuvent en effet être atteints de différentes manières : sur le plan architectural, par le choix de fournisseurs et de prestataires relevant d’une juridiction bien disposée ; sur le plan organisationnel, par une rédaction contractuelle appropriée ; ou sur le plan technique, par le chiffrement et les signatures numériques.
Si une architecture PLM doit être souveraine, elle doit donc être examinée au moins selon ces trois dimensions, afin de pouvoir décider si le degré de souveraineté correspond à la stratégie de sa propre entreprise.
La triade CIA de la sécurité de l’information offre un cadre éprouvé pour évaluer la souveraineté de façon concrète plutôt qu’abstraite : confidentialité, intégrité et disponibilité peuvent être adressées sur le plan architectural, organisationnel ou technique — mais seulement si l’on sait au préalable quel degré de souveraineté est réellement nécessaire.
