AEES Executive Certificate en Souveraineté et risques numériques

Les capacités que l’évaluation atteste en cas de réussite.

• Arbitrer une dépendance numérique
• Décider un hébergement
• Limiter un lock-in
• Exiger la sortie
• Voir les sous-traitants que le prestataire n’a pas nommés
• Décider ce que l’on fait si le fournisseur disparaît

Il s’agit de la classification de la Commission européenne pour les aptitudes, les compétences, les certifications et les professions. Ce certificat s’y rattache par les compétences suivantes. Chaque lien ouvre la fiche officielle.

• législation sur la sécurité des TIC http://data.europa.eu/esco/skill/7814e88f-c133-4c3b-b27f-857afa145d42
• cybersécurité http://data.europa.eu/esco/skill/8088750d-8388-4170-a76f-48354c469c44
• respect de la gouvernance de l'information http://data.europa.eu/esco/skill/9a0d0abc-010d-440b-8242-7e31510471ba

1. Module 1, Dépendance : voir qui peut éteindre le service demain matin La souveraineté numérique commence par une question simple et exigeante : qui peut éteindre votre service demain matin. Derrière cette formule se cache la réalité des dépendances techniques, opérationnelles et contractuelles qui conditionnent la disponibilité, l’intégrité et la maîtrise de vos données et de vos opérations. Ce module propose une méthode directe pour les mettre au jour, les mesurer et les arbitrer. L’approche est pragmatique. Vous allez cartographier les acteurs et les points de coupure, qualifier la criticité, évaluer la réversibilité et décider des mesures réalistes pour réduire le risque. L’objectif n’est pas de tout internaliser, mais d’acheter et d’externaliser en connaissance de cause, avec des conditions de sortie praticables et des plans de continuité que vous pouvez réellement activer.
2. Module 2, Juridiction La souveraineté numérique ne se résume pas à un choix d’hébergeur. Elle implique de savoir quelle loi peut s’appliquer à vos données, à quel moment, par quel canal et pour quelle raison. La juridiction suit les acteurs, les flux et les moyens de contrôle. Une donnée stockée physiquement dans un pays peut rester exposée à une autre loi via la maison mère du prestataire, un outil d’administration à distance, un support externalisé ou un transfert automatisé. Dans ce module, vous apprenez à cartographier les emprises juridiques qui pèsent sur votre système d’information, vos prestataires et leurs sous-traitants. Vous saurez distinguer la localisation, la résidence des clés de chiffrement, le plan de management du cloud, les chaînes de support et la logique des transferts internationaux au sens du RGPD. Vous utiliserez un vocabulaire opérationnel et des critères de décision pour éclairer un dossier réel, face à un comité de direction ou à un acheteur.
3. Module 3/6, Hébergement: arbitrer un cloud sans slogan Ce module part d’un constat simple: l’hébergement n’est pas un logo sur un slide, c’est une chaîne concrète de choix techniques, juridiques, organisationnels et financiers. Dans un contexte où la dépendance à des plateformes mondiales progresse et où la pression réglementaire s’intensifie, l’enjeu n’est pas de coller l’étiquette « souverain » sur une infrastructure, mais de garder la main sur les données, les opérations et la réversibilité. Vous allez apprendre à lire un dossier d’hébergement avec une grille qui met les slogans de côté et fait apparaître la réalité: où seront les données, qui peut y accéder, avec quels moyens techniques, quelles clauses, et comment on sort si nécessaire. Nous poserons d’abord le vocabulaire utile, puis une méthode de décision reproductible et auditable. Vous ancrerez ces notions dans un exemple travaillé, puis un cas à résoudre. L’approche s’adresse à des professionnels qui doivent décider un hébergement, limiter un lock-in, exiger une sortie possible et voir au-delà du discours marketing, notamment les sous-traitants non listés en page commerciale. L’ambition: après ce module, vous êtes capable de piloter un arbitrage d’hébergement dans un dossier réel, en sachant défendre votre position face à la direction, aux métiers et aux fournisseurs.
4. Module 4/6, Contrat : Exiger la sortie, la portabilité et l’audit Ce module transforme des exigences de souveraineté et de maîtrise du risque en clauses contractuelles concrètes. Vous allez cadrer ce qui doit être réversible, dans quels formats, avec quelles preuves et sous quels délais. Vous apprendrez à relier vos enjeux d’exploitation à des engagements opposables: export complet des données, export des configurations, transfert des journaux, clés de chiffrement, scripts de migration, documentation et assistance. L’objectif n’est pas d’obtenir un contrat « parfait », mais un contrat testable qui soutient une sortie réaliste, budgétée et chronométrée. La portabilité n’est pas seulement un droit des personnes. C’est aussi une capacité technique et organisationnelle de votre entreprise à réutiliser ses actifs numériques ailleurs, avec un coût maîtrisé. Elle se prépare avant la signature par des exigences de formats, d’API, de schémas, de mappings et de jeux d’essai de conversion. Le droit d’audit, lui, ne se résume pas à un certificat. Il encadre un accès proportionné aux preuves, sur place ou à distance, complémentaire aux rapports tiers, et compatible avec la confidentialité des autres clients du prestataire.
5. Module 5, Chaîne : Voir les sous-traitants que le prestataire n’a pas nommés La dépendance à un prestataire numérique ne s’arrête pas à son logo. Derrière une application, une API ou un service managé, se trouve souvent une chaîne de services imbriqués : hébergeurs, CDN, routage de messagerie, délivrance de SMS, supervision, support, traitement antifraude, scores de risque, journaux, sauvegardes, outils d’intégration continue. La plupart sont légitimes et utiles. Certains sont déterminants pour vos risques et jamais nommés par le prestataire. Ce module vous donne une méthode pour “voir” ces sous-traitants invisibles et décider quoi faire. Vous travaillerez comme un acheteur-expert et comme un risk manager. Côté technique, vous apprendrez à relever des indices concrets (DNS, en-têtes HTTP, adresses IP et AS, certificats, journaux d’audit, parcours utilisateur, SDK mobiles). Côté documentaire, vous saurez exploiter les annexes sous-traitants, les notifications de changements, les politiques de confidentialité, les pages statut, les playbooks d’incident, et confronter ces sources aux observations.
6. Module 6, Plan B : Continuité opérationnelle et sortie fournisseur Un Plan B n’est pas un voeu pieux ni un document statique. C’est un dispositif vivant, fondé sur des scénarios plausibles, des décisions pré-approuvées et des mécanismes éprouvés de bascule ou de sortie. Dans l’économie numérique, l’arrêt soudain d’un service, la faillite d’un éditeur, une fusion-acquisition qui modifie les conditions d’usage, des sanctions internationales, un incident majeur de sécurité ou une fermeture de région cloud peuvent rendre indisponible un maillon critique du système d’information. Ce module vous guide pour structurer un Plan B actionnable. Il s’appuie sur des pratiques éprouvées de continuité d’activité et de réversibilité, sans présumer d’un contexte sectoriel particulier. Le coeur de la démarche consiste à lier des choix d’architecture (portabilité, sauvegardes, gestion des identités), des garanties opérationnelles (runbooks, tests, stocks de licences) et des leviers contractuels (assistance à réversibilité, dépôt d’entiercement) afin de réduire le temps de reprise et la perte de données.