SecNumCloud et les postes admin dédiés : la contrainte la plus concrète du référentiel

SecNumCloud et les postes dédiés : la contrainte la plus concrète du référentiel

En cette dernière semaine du mois d’août un doux parfum de conformité monte déjà au nez des prestataires cloud privé. L'arrêté du 12 août 2026, signé par le Premier Ministre himself, a fait passer SecNumCloud du statut de simple doctrine recommandée par l'État à celui d’obligation légale pour les administrations, les opérateurs de l'État et groupements d'intérêt public (GIP) qui font appel à un prestataire cloud privé.  

Au-delà du volet souveraineté du référentiel, il y a une exigence beaucoup plus terre-à-terre, et pourtant tout aussi structurante pour un prestataire qui veut être qualifié : l'obligation d'utiliser des postes dédiés pour l'administration du service.  

Prenez votre boisson chaude préférée et allons gaiement à la découverte du SecNumCloud v3.2.  

Le poste de travail dédié au cœur de l’hygiène du SI

C’est le genre de détail qu'on pourrait croire secondaire face aux grands enjeux géopolitiques du cloud souverain. En réalité, c’est l’un des points qui coûtent le plus cher à mettre en œuvre, et qui illustre le mieux la philosophie du référentiel. La sécurité d'un service cloud ne se joue pas seulement dans les clauses contractuelles, elle se joue d'abord dans l'hygiène quotidienne des équipes qui l'administrent.

Ce que dit précisément le référentiel

Le chapitre 12.12 « Administration » du référentiel est sans ambiguïté : le prestataire doit documenter et mettre en œuvre une procédure obligeant ses administrateurs à utiliser des terminaux dédiés, réservés exclusivement à la réalisation des tâches d'administration.  

Pas de double usage.  
Pas de poste bureautique qui sert aussi, à l'occasion, à administrer l'infrastructure.  

Ces terminaux doivent être conformes au chapitre 4.1 du guide ANSSI dédié à l'administration sécurisée des systèmes d'information, et le prestataire doit les durcir selon les recommandations de sécurisation du socle prévues par ce même guide. Il doit ensuite les maîtriser et les maintenir à jour dans la durée. Ce n'est pas une mesure ponctuelle, c'est un engagement continu.

Et ce n’est pas tout ! Le référentiel va plus loin sur le cas, courant, du télétravail des administrateurs. S'il est autorisé, il doit être encadré par une politique documentée garantissant un niveau de sécurité équivalent à celui obtenu hors situation de mobilité.  

Concrètement, cela impose deux choses : un tunnel chiffré non débrayable et non contournable pour l'ensemble des flux, et un chiffrement intégral du disque du poste. Autrement dit, un administrateur ne peut pas décider, même ponctuellement, de désactiver le VPN pour des raisons “pratiques”. Le système doit l'en empêcher techniquement.

Une logique de cloisonnement qui infuse tout le référentiel

Ce qui rend cette exigence intéressante, c'est qu’elle sert d’axe central à un ensemble cohérent de mesures qui reviennent, chapitre après chapitre, sur la même idée : séparer strictement ce qui relève de l'administration du reste.  

Un p’tit schéma ?

‍

• Les supports amovibles utilisés pour des tâches d'administration doivent eux-mêmes être dédiés à cet usage (chapitre 8.5), pas de clé USB polyvalente qui passe d'un poste bureautique à un serveur de production.  

• Les interfaces d'administration doivent être distinctes des interfaces mises à disposition des clients, ne jamais être accessibles depuis un réseau public lorsqu'elles sont utilisées par le prestataire, et protégées par une authentification multifacteur forte (chapitre 9.6).  

• Et lorsqu'un tiers un support technique externe, par exemple doit intervenir en télédiagnostic ou télémaintenance sans avoir satisfait aux vérifications habituelles sur le personnel, l'accès ne peut se faire qu'au travers d'une passerelle sécurisée, un véritable poste de rebond, supervisée en temps réel par une personne habilitée qui peut interrompre l'intervention à tout moment (chapitre 12.13).

Le message implicite est cohérent : un accès administrateur compromis est l'un des scénarios de compromission les plus dévastateurs pour un service cloud mutualisé, puisqu'il peut potentiellement affecter l'ensemble des commanditaires hébergés. Le référentiel traite donc ce risque non pas comme une case à cocher, mais comme un axe transversal qui structure la gestion des actifs, le contrôle d'accès, l'exploitation et la maintenance.

Hep hep hep ! Et le client public ? Le référentiel ne l’oublie pas, loin de là. En annexe, l’ANSSI conseille que le commanditaire qui achète une prestation SecNumCloud utilise, lui aussi, des moyens dédiés (terminaux, serveurs) pour accéder aux interfaces de gestion du service.

La qualification d'un prestataire ne garantit rien sur la façon dont l'administration cliente gère, de son côté, ses propres accès à la console de gestion. La sécurité de bout en bout reste une responsabilité partagée. Une nuance qui vaut la peine d’être mentionnée.

Ce qui change, et ce que ça coûte

Sur le fond, l'exigence de poste dédié n'a rien d'inédit : elle reprend un principe d'hygiène informatique bien établi par l'ANSSI depuis plusieurs années, bien avant SecNumCloud v3.2. Ce qui change avec l'arrêté du 12 août 2026, c'est son statut.

Pourquoi ce détail compte pour les acteurs du secteur

Pour le périmètre couvert par le décret du 14 avril 2026 (administrations, opérateurs de l'État, GIP listés), cette exigence conditionne désormais l'obtention et le maintien de la qualification, donc la capacité même à contractualiser avec ces clients.

Pour un prestataire qui envisage la qualification SecNumCloud, c'est un point à budgéter tôt : matériel dédié pour chaque administrateur, procédures de durcissement documentées, gestion du cycle de vie de ces postes, dispositif technique empêchant tout contournement du tunnel chiffré en mobilité. Pour une DSI publique qui doit vérifier la conformité d'un prestataire existant ou évaluer une offre, c'est un point de contrôle concret et vérifiable, bien plus facile à auditer qu'une clause contractuelle de souveraineté du capital.

C'est peut-être la meilleure leçon à tirer de ce chapitre 12.12 : la conformité SecNumCloud ne se résume pas à un empilement de garanties juridiques sur la localisation ou l'actionnariat du prestataire. Elle se mesure aussi, très concrètement, à la façon dont un administrateur système se connecte, un matin comme un autre, à l'infrastructure qu'il a la responsabilité de maintenir.

Ce que coûte vraiment un poste dédié à l’administration  

Sur le papier, « un poste dédié par administrateur » tient en une phrase. Dans les faits, ça se traduit par :

• un terminal physique supplémentaire par administrateur, en plus du poste bureautique ;

• un cycle de renouvellement et de maintenance à gérer en doublon (patchs, durcissement, inventaire — voir chapitre 8.1) ;

• une infrastructure de tunnel chiffré non contournable à déployer et superviser pour chaque situation de mobilité ;

• une procédure de contrôle d’accès et d’authentification multifacteur dédiée, distincte de celle des interfaces clients ;

• et ce, multiplié par le nombre d’administrateurs, et par le nombre de services que le prestataire fait qualifier.

Si vous êtes administrateur, DSI, ou CFO chez prestataire de service cloud, vous avez probablement soupiré en lisant cette liste. C’est normal.  

Pour un prestataire de taille modeste qui vise la qualification SecNumCloud, cette seule exigence peut représenter une part significative du budget de mise en conformité, largement plus visible, en réalité, que les clauses de souveraineté du capital qui font les gros titres.

Il risque de faire face à un dilemme bien connu des admins évoluant dans d’autres secteurs : multiplier les PC ou utiliser un Virtual Desktop Infrastructure (VDI).  
Les problèmes de dos ou ceux à la dépendance du VDI au réseau.

Cloisonner sans multiplier le matériel

Ce n’est pas la première fois que l’ANSSI affronte cette tension. Elle a déjà tranché ce dilemme ailleurs, pour un cas encore plus contraint : les systèmes d’information DR.

Dans son guide relatif à la sécurisation des postes de travail multi-environnements, l’ANSSI reconnaît la possibilité d’héberger plusieurs environnements cloisonnés, y compris des environnements NP et DR, sur un seul et même poste physique, à condition que l’isolation logique et matérielle soit aussi robuste qu’une séparation physique complète.

Cloisonnement et poste multi-environnements

Le chapitre 12.12 de SecNumCloud demande un terminal « dédié » et à « l’exclusivité » des tâches d’administration. Il ne demande pas, littéralement, un boîtier physique distinct pour chaque usage.  

Le guide relatif à l'administration sécurisée des systèmes d'information, celui-là même qui sert de référence au chapitre 12.12 de SecNumCloud, présente trois architectures possibles pour le poste d'administration, classées par niveau de sécurité décroissant : le poste dédié, le poste multi-niveaux, et le poste avec accès distant au SI bureautique.  

Autrement dit, l'ANSSI admet déjà, dans le guide même que SecNumCloud invoque pour durcir le poste d'administration, qu'une séparation physique stricte n'est pas l'unique voie possible à condition que le cloisonnement soit évalué et de confiance. En 2026, elle va finalement définir les critères d’évaluation de ce type de poste, dans son guide sur la Sécurisation du poste de travail multi-environnements, destinés aux éditeurs.

Le poste multi-environnement fait cohabiter des environnements non classifiés mais de nature différente, jusqu'à obtenir des combinaisons NP/NP, NP/DR ou DR/DR. Et parmi les exemples d'environnements cités dans le guide pour faire cohabiter sur un tel poste figure noir sur blanc : « un environnement d'administration tel que décrit dans le guide Recommandations relatives à l'administration sécurisée des SI ».  

Deux guides, deux publics, une continuité assumée par l'ANSSI : l’isolation matérielle correctement évaluée peut, dans certains contextes, constituer une alternative crédible à la multiplication des postes physiques. Une approche qui ouvre des perspectives intéressantes pour répondre aux exigences d'administration sécurisée.

En d’autres termes : vous pouvez décharger chaque administrateur d'au moins un PC, c’est-à-dire environ 2,5kg de moins dans son sac lors des déplacements chez le client. La conformité pèsera moins lourd sur ses épaules et dans votre budget.  

Consolider plutôt qu’empiler les PC

C’est exactement ce que permet un hyperviseur de type 1 (bare-metal) comme YS::Desktop. Plutôt que de multiplier les postes de travail pour chaque nouvelle exigence de cloisonnement, l’isolation se joue au niveau matériel, sur un seul poste. Le prestataire garde l’exclusivité et le durcissement que le référentiel exige sans la logistique d’une flotte de boîtiers qui grandit à chaque nouvel administrateur qualifié.

Bref, un seul poste physique, un environnement d’administration cloisonné au niveau matériel, sans transiger sur le tunnel non contournable ni sur le chiffrement intégral du disque.

Cette approche est loin d'être théorique. Un prestataire cloud français du secteur recherche et technologie, réalisant environ 5 millions d'euros de chiffre d'affaires, a été confronté à une problématique : progresser vers la qualification SecNumCloud sans supporter les coûts d'une multiplication des postes dédiés aux audits, tests d'intrusion et activités d'administration.

Son choix a été celui de la consolidation plutôt que de l'empilement. Les environnements opérationnel, administratif et audit conforme SecNumCloud ont été regroupés sur un même PC, au lieu d'être répartis sur trois postes distincts. Aucun matériel supplémentaire : l'infrastructure existante a suffi. Le résultat est double : un cloisonnement strict entre les usages et une trajectoire vers la qualification préservée, sans les surcoûts d'infrastructure induits par la logique du « air-gap».  

Conclusion  

On l'écrivait en introduction : la sécurité d'un service cloud ne se joue pas seulement dans les clauses contractuelles, elle se joue d'abord dans l'hygiène quotidienne des équipes qui l'administrent. La phrase pouvait sonner comme une formule un peu convenue. Elle l'est moins maintenant qu'on sait ce qu'elle recouvre.

Et le parfum de conformité qui flottait sur les prestataires cloud depuis la mi-août, sera remplacé par l’odeur nettement moins agréable d'un audit SecNumCloud à préparer et d'un chapitre 12.12 à cocher pour éviter que la qualification ne file entre les doigts.  
Autant alléger un peu le sac. Besoin d’un coup de main ? Contactez un expert Kerys Software.