Résumé exécutif
Ce document présente une évaluation de l'architecture et du modèle opérationnel de StateWarden au regard du cadre européen de souveraineté du cloud (EU Cloud Sovereignty Framework, version 1.2.1 - oct. 2025). L'évaluation examine les 8 objectifs de souveraineté (SOV) et détermine le niveau d'assurance d'efficacité de la souveraineté (SEAL).
Base de l'évaluation : auto-évaluation - il ne s'agit pas d'une certification auditée. Cette évaluation a été réalisée en interne par l'équipe StateWarden et n'a pas été auditée, vérifiée ni certifiée par un organisme indépendant. Le résultat est un profil d'assurance par objectif plutôt qu'un niveau global unique : la plupart des objectifs sont auto-évalués au niveau SEAL-4, SOV-5 (souveraineté de la chaîne d'approvisionnement) entre SEAL-3 et SEAL-4, et SOV-7 (souveraineté de la sécurité et de la conformité) au niveau SEAL-3, principalement parce que les certifications ISO/IEC 27001 et ENISA n'ont pas encore été obtenues. StateWarden fonctionne sous contrôle européen, est soumis au droit de l'UE et ne présente aucune dépendance stratégique hors UE.
Évaluation détaillée par objectif de souveraineté
SOV-1 : souveraineté stratégique (15 %)
La souveraineté stratégique mesure le degré d'ancrage des services dans l'écosystème juridique, financier et industriel de l'UE.
- Évaluation : SEAL-4
- Justification :
- Contrôle et gouvernance : l'entreprise et son autorité de gouvernance sont entièrement situées dans l'UE.
- Investissement et valeur : le logiciel est développé en Rust, sans recours à des investissements stratégiques hors UE.
- Autonomie : l'architecture de StateWarden (agent autonome, composants Artemis et Driad) permet un fonctionnement indépendant, sans support d'un fournisseur externe.
SOV-2 : souveraineté juridique et juridictionnelle (10 %)
Évalue l'environnement juridique, l'exposition aux autorités étrangères et l'applicabilité des droits.
- Évaluation : SEAL-4
- Justification :
- Juridiction : fonctionne sous juridiction européenne. Non soumis au CLOUD Act américain ni à des législations étrangères équivalentes en matière de cybersécurité.
- Isolation des données : la plateforme est hébergée sur une infrastructure bare metal OVHcloud dans des centres de données de l'UE. Aucune API de cloud public n'est utilisée.
- Propriété intellectuelle : la propriété intellectuelle est enregistrée et gérée au sein de l'UE.
SOV-3 : souveraineté des données et de l'IA (10 %)
Porte sur la protection, le contrôle et l'indépendance des actifs de données.
- Évaluation : SEAL-4
- Justification :
- Contrôle cryptographique : StateWarden utilise un modèle de cryptographie en cascade (mTLS, BLAKE3, AES-256-GCM, ChaCha20-Poly1305, ML-KEM/Kyber). L'approvisionnement Zero Knowledge garantit que le client conserve le contrôle exclusif de ses clés cryptographiques.
- Confinement des données : les opérations de stockage (
driad) sont confinées aux juridictions européennes. - Auditabilité : les journaux du Realm enregistrent les événements d'accès aux données à des fins d'audit.
SOV-4 : souveraineté opérationnelle (15 %)
Mesure la capacité concrète d'acteurs européens à exploiter, maintenir et faire évoluer une technologie indépendamment de tout contrôle étranger.
- Évaluation : SEAL-4
- Justification :
- Dépendances externes : la plateforme minimise les dépendances externes en utilisant des implémentations natives (par exemple un serveur cible iSCSI natif intégré à l'agent Rust).
- Maintenabilité : les composants centraux sont écrits en Rust, ce qui permet un contrôle technique approfondi et une bonne maintenabilité.
- Dépendance fournisseur : StateWarden n'exige aucun écosystème propriétaire et fermé de fournisseurs hors UE.
SOV-5 : souveraineté de la chaîne d'approvisionnement (20 % - poids le plus élevé)
Évalue l'origine géographique, la transparence et la résilience de la chaîne d'approvisionnement technologique.
- Évaluation : SEAL-3 à SEAL-4
- Justification :
- Matériel : hébergement sur des serveurs bare metal OVHcloud (un fournisseur européen). Si le silicium physique provient du monde entier, le contrôle logique des serveurs bare metal reste exercé au sein de l'UE.
- Origine logicielle : la pile logicielle est développée au sein de l'UE.
- Résilience open source : les dépendances logicielles sont gérées activement et leurs versions épinglées pour garantir la stabilité.
SOV-6 : souveraineté technologique (15 %)
Évalue le degré d'ouverture, de transparence et d'indépendance de la pile technologique sous-jacente.
- Évaluation : SEAL-4
- Justification :
- Indépendance : des services internes (par exemple Hermes pour SMTP, Vigil pour les flux de menaces) remplacent les dépendances externes.
- Transparence : l'intégration s'appuie sur des standards ouverts (QMP/NBD pour Proxmox, OSV/NVD pour les vulnérabilités) plutôt que sur des formats propriétaires.
SOV-7 : souveraineté de la sécurité et de la conformité (10 %)
Mesure dans quelle mesure les opérations de sécurité, les obligations de conformité et les mesures de résilience sont contrôlées au sein de l'UE.
- Évaluation : SEAL-3 (objectif SEAL-4 une fois les certifications obtenues)
- Justification :
- Contrôle des opérations : les opérations de sécurité et la journalisation sont sous contrôle européen.
- Conformité : conforme au RGPD (art. 32) et compatible avec les mécanismes de conformité NIS2 et DORA.
- Écart : StateWarden ne détient pas encore les certifications ISO/IEC 27001 ou ENISA, qui contribueraient à un niveau supérieur dans cette catégorie. StateWarden poursuit actuellement ces démarches de certification.
SOV-8 : durabilité environnementale (5 %)
Évalue l'autonomie et la résilience des services cloud sur le long terme au regard de la consommation énergétique.
- Évaluation : SEAL-4
- Justification :
- Source d'énergie : les centres de données utilisent des sources d'énergie renouvelables.
- Efficacité : l'implémentation des composants centraux en Rust offre une faible empreinte de calcul, ce qui contribue à l'efficacité énergétique (PUE) au niveau logiciel.