Le vocabulaire de l'IA

Cloisonnement : vos données sont-elles séparées ou seulement rangées ?

Le cloisonnement logique sépare les données par des règles au sein d'une infrastructure partagée. L'infrastructure dédiée les sépare physiquement, sur des machines réservées. La première est la norme et fonctionne bien ; la seconde coûte considérablement plus cher et ne résout pas les mêmes risques.

Ce que fait le cloisonnement logique

Vos données et celles d'autres clients coexistent dans la même infrastructure, avec un identifiant qui les distingue. Chaque requête est filtrée pour ne renvoyer que ce qui vous appartient.

C'est le modèle de la quasi-totalité des services professionnels, y compris ceux qu'utilisent les banques et les assureurs. Bien mis en œuvre, il est robuste : la séparation est appliquée à chaque accès, sans exception.

Son point faible est qu'elle repose sur du logiciel. Une erreur de configuration peut exposer des données d'un client à un autre, et ce type d'incident existe.

Ce qu'apporte une infrastructure dédiée

Des machines qui ne traitent que vos données. Il n'y a plus de voisin, donc plus de risque qu'une règle mal appliquée fasse communiquer deux clients.

Cela coûte cher, cela ralentit les mises à jour, et cela ne supprime aucun des autres risques : le fournisseur y a toujours accès, la question de la localisation reste entière, celle du modèle appelé aussi.

Le cloisonnement dont on parle le moins

Il existe une troisième séparation, à l'intérieur de votre propre organisation, et c'est souvent celle qui pose le vrai problème.

Un cabinet maintient des séparations entre ses équipes : pour des raisons déontologiques, pour prévenir les conflits d'intérêts, parce que certaines pratiques sont couvertes par un secret renforcé. Un système qui donne à tout le cabinet une vue sur toutes les pratiques efface ces séparations, sans qu'aucune donnée ne soit sortie de nulle part.

C'est la question à poser en premier, avant celle de l'hébergement : le système sait-il reproduire les cloisons qui existent chez nous ?

Cette troisième séparation a une conséquence pratique décisive : un système incapable de la reproduire oblige à limiter son usage aux pratiques les moins sensibles, c'est-à-dire à celles où il sert le moins. La question du cloisonnement interne décide donc du périmètre de déploiement, bien avant de décider du niveau de sécurité.

Ce que ça ne résout pas

Aucun des deux modèles ne protège contre un accès légitime mal attribué. Si un collaborateur reçoit des droits qu'il ne devrait pas avoir, le cloisonnement fonctionne parfaitement et lui donne accès à ce qu'on lui a ouvert.

Et le dédié n'améliore pas ce qui vous concerne le plus : le fournisseur conserve ses accès d'administration, et le modèle appelé reste le même.

Il faut ajouter que ces séparations sont mouvantes. Une équipe qui accepte un dossier crée parfois une cloison nouvelle, le temps d'un contentieux ; une pratique classée sensible peut cesser de l'être. Un dispositif qui ne permet de définir les cloisons qu'au moment de l'installation est donc inadapté à un cabinet, dont les frontières internes bougent plusieurs fois par an.

Pourquoi ça compte pour un juriste

Parce que l'infrastructure dédiée est souvent proposée comme la réponse haut de gamme à une inquiétude sur la confidentialité, alors qu'elle traite un risque secondaire à un coût élevé.

Le test qui renseigne vraiment tient en une manipulation : demandez ce qui se passe quand un collaborateur interroge le système sur une pratique à laquelle il n'a pas accès. Obtient-il un refus, un silence, ou une réponse partielle ? Et cette tentative laisse-t-elle une trace ?