Externalisation, cloud et accès aux données hors de Suisse

Gestion de patrimoine · Master 2

Externaliser et utiliser le cloud sans trahir le secret ni perdre le contrôle.

Introduction

Banques et gestionnaires de fortune externalisent de plus en plus (hébergement cloud, logiciels de gestion, impression, support informatique). La FINMA exige que l'externalisation de fonctions importantes soit encadrée: choix, instruction et surveillance rigoureux du prestataire, contrat précisant les droits d'audit, la sécurité et la sortie, et responsabilité qui reste auprès de l'établissement.

Le secret bancaire et la protection des données imposent des conditions supplémentaires: les données identifiant les clients (CID) ne peuvent être confiées à un tiers que dans un cadre contractuel strict, avec chiffrement, contrôle d'accès et traçabilité. La localisation des données joue un rôle: stocker hors de Suisse expose à des demandes d'autorités étrangères, ce qui pose des questions de secret, de souveraineté et de conformité nLPD pour la communication à l'étranger.

Les mesures techniques font la différence: chiffrement avec clés maîtrisées par l'établissement, séparation des environnements, gestion des accès à privilèges, journalisation et plan de sortie du prestataire (réversibilité). La due diligence doit couvrir la solidité financière, la sécurité, la sous-traitance en cascade et la concentration sur un même fournisseur.

Objectifs d'apprentissage

Identifier les exigences FINMA d'externalisation et de surveillance
Relier cloud, secret bancaire et protection des données
Expliquer les risques de localisation et d'accès par des autorités étrangères
Comparer chiffrement avec clés propres et clés gérées par le fournisseur
Concevoir une due diligence et un plan de sortie

Concepts clés

Externalisation: Confier une fonction à un prestataire tout en gardant la responsabilité.
CID: Données identifiant directement ou indirectement les clients; leur protection est sensible.
Gestion des clés: Maîtriser les clés de chiffrement limite l'accès du prestataire.
Réversibilité: Capacité à reprendre ou migrer les services en fin de contrat.

Conclusion

Externaliser n'est pas déléguer la responsabilité. Un cloud bien choisi améliore la sécurité, à condition de maîtriser les données, les clés, les accès et la sortie.

Cartes

Que reste-t-il de la responsabilité en cas d'externalisation ?: L'établissement demeure responsable du respect des exigences, même si le prestataire exécute la tâche.
Que doit contenir un contrat d'externalisation ?: Niveaux de service, sécurité, droits d'audit, sous-traitance, confidentialité, localisation des données et conditions de sortie.
Qu'est-ce que le CID ?: Les données d'identification des clients; leur divulgation non maîtrisée peut violer le secret bancaire.
Pourquoi la localisation du cloud est-elle importante ?: Elle détermine le droit applicable et l'exposition à des demandes d'autorités étrangères.
Que pose la nLPD pour la communication de données à l'étranger ?: Elle exige un niveau de protection adéquat ou des garanties appropriées.
Pourquoi maîtriser ses clés de chiffrement ?: Pour que le prestataire ne puisse pas déchiffrer les données sans l'accord de l'établissement.
Qu'est-ce que le risque de concentration ?: La dépendance à un seul fournisseur critique: sa panne bloque plusieurs fonctions.
Que couvre la due diligence d'un fournisseur ?: Solidité financière, certifications de sécurité, sous-traitants, localisation et plan de continuité.
Qu'est-ce qu'un plan de sortie ?: Une procédure pour récupérer les données et migrer vers une autre solution sans interruption critique.

Glossaire

Cloud public: Infrastructure partagée fournie par un prestataire externe.
Chiffrement: Transformation des données pour les rendre illisibles sans clé.
Gestion des accès à privilèges: Contrôle strict des comptes administrateurs.
Sous-traitance en cascade: Le prestataire confie à son tour une tâche à un tiers.
Droit d'audit: Droit de contrôler les systèmes et les processus du prestataire.
Souveraineté des données: Maîtrise juridique et technique de l'accès aux données.