Points clés
- AWS GovCloud (US) est un environnement cloud isolé physiquement et logiquement, exploité sur le sol américain par des citoyens américains habilités, et conçu pour les charges de travail relevant de l’ITAR, du CJIS, du FedRAMP et du DFARS.
- Les MSP et les services informatiques ont besoin d’outils de sauvegarde compatibles avec AWS GovCloud, le contrôle d’accès via GIA (gestion des identités et des accès), le stockage WORM et le versionnage. Dropsuite, Veeam et Commvault font partie des solutions compatibles.
- La souveraineté des données dans GovCloud suppose de désactiver la réplication des sauvegardes vers des destinations hors GovCloud et de gérer le chiffrement avec des clés gérées par le client (CMK) dans AWS KMS.
- Automatiser les calendriers de sauvegarde, les politiques de rétention et l’immuabilité à l’aide d’outils comme S3 Object Lock réduit le risque de non-conformité lié aux processus manuels.
- Démontrer sa conformité aux auditeurs gouvernementaux repose sur la journalisation CloudTrail, la MFA (authentification forte) et des rôles GIA limités au principe de moindre privilège.
Les services informatiques et les MSP qui travaillent avec des agences et des sous-traitants du gouvernement américain doivent respecter des exigences de sécurité strictes : où et comment les données sont stockées, mais aussi qui intervient dans leur hébergement et leur gestion. AWS GovCloud (US) répond à ce besoin avec deux régions isolées et souveraines, exploitées sur le sol américain par des citoyens américains habilités.
Cet article explique comment sécuriser vos solutions de sauvegarde et de restauration avec AWS GovCloud lorsque vous traitez des données ou des clients soumis à des réglementations telles que l’ITAR, le CJIS, le FedRAMP et le DFARS. Il aborde la planification de l’infrastructure, les exigences de conformité, les recommandations d’outillage et les bonnes pratiques opérationnelles pour prendre en charge les charges de travail du secteur public et de la défense aux États-Unis.
AWS GovCloud (US) : en quoi cet environnement se distingue du cloud commercial
AWS GovCloud (US) se compose de deux régions AWS isolées (des centres de données situés dans un emplacement géographique physique), dont le personnel est exclusivement composé de citoyens américains. Vous pouvez ainsi utiliser l’infrastructure cloud de cette région pour traiter et stocker des données sensibles soumises aux exigences particulières applicables aux données du gouvernement américain.
Cela la distingue des autres offres de cloud public commercial, dont le personnel peut ne pas être de nationalité américaine, qui peuvent être situées hors des États-Unis ou qui ne sont pas isolées physiquement et logiquement d’autres infrastructures ne respectant pas les mêmes normes de sécurité.
Les principales caractéristiques d’AWS GovCloud (US) sont les suivantes :
- Infrastructure isolée physiquement et logiquement
- Contrôlée et exploitée par des citoyens américains sur le sol américain
- Prise en charge des réglementations américaines protégeant les données sensibles, notamment FedRAMP High, ITAR, CJIS, DoD SRG IL4 et DoD SRG IL5
- Compatibilité avec AWS EC2, S3, RDS, Lambda et les intégrations de sauvegarde
Pour utiliser ces services, vous devez y être éligible : les sous-traitants fédéraux, les sous-traitants du DoD, les agences fédérées et locales soumises au CJIS, ainsi que les autres sous-traitants, fournisseurs de services cloud (CSP) ou fournisseurs de services gérés (MSP) au service d’agences fédérales, fédérées, locales, tribales ou liées à la défense doivent faire valider leur éligibilité auprès d’AWS et démontrer leur périmètre de conformité ainsi que la vérification de leurs utilisateurs.
Conformité et alignement sur les exigences de sécurité
Les cadres de conformité suivants sont explicitement pris en charge par AWS GovCloud (US). À noter : lorsque vous concevez vos politiques de sauvegarde, mieux vaut les aligner sur les exigences propres à chaque agence et veiller à documenter l’ensemble des mesures de conformité et des garde-fous techniques.
| Cadre de conformité | Prise en charge par AWS GovCloud (US) |
| FedRAMP High | Pris en charge (ATO valable pour l’ensemble du gouvernement) |
| ITAR | Pleinement conforme aux restrictions de contrôle des exportations lorsque la configuration est correcte |
| CJIS | Répond aux politiques de sécurité du FBI en matière de justice pénale |
| DFARS/NIST 800-171 | Permet aux sous-traitants du DoD d’être conformes, moyennant une implémentation rigoureuse |
| DoD SRG IL4/DoD SRG IL5 | Pris en charge avec une configuration adaptée des charges de travail |
| CMMC 2.0 | Auto-évaluation de la phase 1 en vigueur ; certification par un tiers en phase 2 suspendue dans l’attente de l’examen du DoD (en date de juillet 2026) ; les obligations sous-jacentes NIST 800-171/DFARS restent applicables |
Remarque : le statut du CMMC 2.0 évolue actuellement. Les exigences d’auto-évaluation de la phase 1 sont entrées en vigueur le 10 novembre 2025 et le restent, mais en juillet 2026, le Department of War a suspendu l’exigence de phase 2 qui aurait imposé une certification par un tiers (C3PAO) à partir du mois de novembre suivant.
Un examen mené par le département est en cours afin de recommander un cadre révisé. L’obligation sous-jacente de protéger les informations de défense couvertes au titre du DFARS 252.204-7012 et du NIST SP 800-171 n’a pas changé : les entreprises doivent donc continuer à bâtir des pratiques de sauvegarde compatibles CMMC, même si le calendrier de certification reste incertain.
Construire une stratégie de sauvegarde MSP dans GovCloud
Avant de concevoir et de déployer une solution de sauvegarde basée sur AWS GovCloud, assurez-vous de bien comprendre la classification des données de votre client (par exemple CUI, ITAR, FCI ou données classifiées IL4 à IL6) et les réglementations qui s’appliquent. Vous pourrez ensuite construire votre solution de sauvegarde en fonction de ces exigences.
GovCloud fournit une infrastructure qui vous aide à respecter les exigences et les lois de sécurité du gouvernement américain, mais il est essentiel de consulter des experts juridiques et techniques familiers de ce contexte tout au long de la planification et de l’implémentation. Contacter les éditeurs des produits concernés est une première étape recommandée : ils savent comment leurs produits répondent aux exigences de conformité et ont l’habitude d’accompagner l’onboarding de clients aux besoins similaires.
Étape 1 : choisir un outil de sauvegarde compatible
Les outils de sauvegarde que vous utilisez doivent être compatibles avec le stockage hébergé dans AWS GovCloud, ainsi qu’avec la GIA (gestion des identités et des accès) pour le contrôle d’accès. Ils doivent également prendre en charge le stockage WORM (write once, read many : une donnée écrite ne peut plus être modifiée) et le versionnage à des fins de conformité.
Parmi les solutions de sauvegarde compatibles avec AWS GovCloud (US) figurent Dropsuite (une société du groupe NinjaOne), Veeam et Commvault.
Étape 2 : configurer les paramètres de souveraineté des données
Pour garantir la souveraineté des données, l’ensemble des données doit rester aux États-Unis et ne jamais quitter la région AWS GovCloud. Pour cela, la réplication des données doit être désactivée sur tous les outils de sauvegarde, pour toutes les destinations hors GovCloud.
Le chiffrement est également obligatoire. La gestion des clés de chiffrement peut s’effectuer via AWS KMS avec des clés gérées par le client (CMK) depuis GovCloud.
Étape 3 : automatiser les politiques de sauvegarde et de rétention
L’automatisation permet d’éviter que l’erreur humaine ne compromette la conformité. Planifiez vos sauvegardes en fonction de vos RTO (recovery time objective) et RPO (recovery point objective), et appliquez des politiques de cycle de vie. Le stockage hiérarchisé (S3 Standard et S3 Glacier, par exemple) permet d’obtenir des sauvegardes conformes à moindre coût.
Évaluez et mettez en place les fonctionnalités de stockage AWS qui favorisent la conformité, comme S3 Object Lock pour créer des sauvegardes immuables et le versionnage pour conserver un historique de sauvegardes économe en espace de stockage.
Étape 4 : journaliser les audits et sécuriser les accès
Vous devez être en mesure de prouver votre conformité à la demande d’un organisme public. CloudTrail doit être configuré dans votre région AWS GovCloud pour assurer le suivi des modifications, afin que toute l’activité pertinente des utilisateurs et des API soit journalisée.
La MFA (authentification forte) doit être mise en place pour tous les administrateurs (et idéalement pour tous les utilisateurs), et les rôles GIA doivent être limités aux seules tâches dont chaque utilisateur ou service a besoin, conformément au principe de moindre privilège.
Intégration avec Microsoft GCC High
Si vous utilisez Microsoft 365 GCC High, un service cloud similaire destiné aux sous-traitants du gouvernement américain, vous devez sauvegarder les données qui y sont stockées vers un service offrant un niveau de conformité équivalent. Cela réduit les options disponibles pour sauvegarder les données couvertes par les cadres américains de protection des données.
AWS GovCloud (US) permet de lever cet obstacle en fournissant une infrastructure conforme utilisable comme emplacement de sauvegarde dans un déploiement multicloud. Vous évitez ainsi d’associer une infrastructure Microsoft 365 conforme à des sauvegardes stockées dans le cloud public, en infraction avec la réglementation.
Autres considérations de sécurité des données et bonnes pratiques pour les MSP et les CSP
Plusieurs autres considérations et bonnes pratiques permettent aux MSP et CSP multi-tenant de tirer le meilleur parti d’AWS GovCloud et de garantir le respect des lois sur la protection des données :
- Cloisonner les données de chaque client
- Chiffrer les données et restreindre les accès avec le contrôle d’accès basé sur les rôles (RBAC), et appliquer le PMP (principe de moindre privilège)
- Vérifier que votre système de sauvegarde propose des journaux d’audit, des conservations à titre légal et un suivi de la chaîne de responsabilité
- Former vos équipes au traitement des données réglementées et les sensibiliser à leurs responsabilités, y compris les contrôles à l’exportation et les besoins en SLA (contrat de niveau de service) propres à chaque client
Testez régulièrement votre processus de restauration et vérifiez que vos sauvegardes contiennent toutes les données requises, qu’elles respectent les normes de conformité et que les RTO sont tenus.
La conformité sur l’ensemble de votre stack de gestion informatique
Se conformer aux obligations légales liées au statut de sous-traitant du gouvernement américain est complexe et suppose de respecter plusieurs normes de sécurité exigeantes, sur l’ensemble de votre infrastructure informatique et de vos processus.
Choisir des outils qui facilitent cette conformité est déterminant pour une exploitation efficace, capable de gérer plusieurs clients évoluant dans des environnements réglementés par l’État. Le recours à AWS GovCloud (US) fait partie de ces mesures : il garantit la souveraineté des données et la mise en place des garde-fous techniques exigés.
La gestion de votre infrastructure informatique et de celle de vos clients est elle aussi soumise à des exigences de conformité. NinjaOne propose une plateforme de gestion informatique unifiée, comprenant la sauvegarde, la surveillance et gestion à distance (RMM), la gestion des appareils mobiles (MDM) et des outils de support client. Nous sommes conformes à plusieurs cadres américains de protection des données dès l’installation (et d’autres suivront), et nos outils peuvent être configurés pour stocker les données sur AWS GovCloud afin de répondre à des besoins de conformité plus élevés.
Vous êtes un MSP actif dans le secteur public et vous souhaitez rationaliser vos opérations informatiques tout en accélérant votre croissance ? Contactez un représentant NinjaOne pour échanger sur vos besoins en matière de sécurité et de conformité.
