Orientez-vous dans l'environnement changeant de la localisation des données avec la solution Data Localization Suite de Cloudflare

Chez Cloudflare, nous pensons que le déploiement de mesures de cybersécurité efficaces constitue le meilleur moyen de protéger la confidentialité des données personnelles, et que cette approche peut être plus efficace que s'assurer que ces informations restent dans une juridiction particulière. Pourtant, nos clients en Europe, en Inde, en Australie, au Japon et dans de nombreuses autres régions nous informent que, dans le cadre de leurs programmes de protection de la confidentialité, ils ont besoin de solutions permettant de localiser les données, afin de satisfaire à leurs obligations réglementaires.

C'est pourquoi, lorsque nous réfléchissons à la Journée de la protection des données, qui aura lieu le 28 janvier, nous nous trouvons dans une position intéressante : nous ne partageons pas l'avis de ceux qui pensent que la localisation des données est un substitut à une meilleure protection des données, toutefois, nous voulons soutenir nos clients qui doivent se conformer à certaines réglementations.

C'est pour cette raison que nous avons inauguré notre solution Data Localization Suite (DLS) en 2020, afin d'aider les clients à s'orienter dans un panorama de protection des données toujours davantage centré sur la localisation des données. Avec DLS, les clients peuvent utiliser le puissant réseau mondial et les mesures de sécurité de Cloudflare pour protéger leurs entreprises, tout en conservant localement les données traitées par l'entreprise en leur nom. Depuis son lancement, de nombreux clients ont adopté Data Localization Suite. Dans cet article de blog, nous voulons présenter de nouvelles informations sur les dispositions que nous prenons pour rendre la solution DLS plus complète et plus facile à utiliser.

Nous recevons souvent des questions de clients qui entendent parler de nouvelles législations locales ou d'interprétations de réglementations existantes qui semblent restreindre leurs choix en matière de traitement des données. Cette situation est particulièrement déroutante pour les clients exerçant une activité sur l'Internet mondial, qui doivent s'orienter parmi des réglementations suggérant que les clients présents dans un pays ne peuvent pas utiliser les produits d'entreprises situées dans un autre pays, sauf à mettre en place un nombre considérable de mesures.

Nous ne pensons pas que ce soit une façon adéquate de réglementer l'Internet. Comme nous en parlerons plus en détail demain dans notre article de blog consacré aux transferts de données transfrontaliers, nous nous sentons encouragés par les nouveaux développements visant à établir un ensemble commun de mesures de protection des données entre les juridictions, afin de rendre ces transferts de données plus transparents.  

En attendant, nous proposons la solution Data Localization Suite pour aider nos clients à relever ces défis.

Nous avons développé DLS pour répondre à trois problématiques principales des clients :

1. Comment puis-je m'assurer que mes clés de chiffrement restent dans ma juridiction ?

2. Comment puis-je m'assurer que les services d'application tels que la mise en cache et le pare-feu WAF fonctionnent uniquement dans ma juridiction ?

3. Comment puis-je m'assurer que les journaux et les métadonnées ne sont jamais transférés hors de ma juridiction ?

Pour répondre à ces préoccupations, DLS comporte un composant de gestion des clés de chiffrement, un composant qui prend en compte le point de terminaison et le lieu d'inspection des contenus en transit et un composant qui veille à conserver les métadonnées dans la juridiction du client :

1. Des clés de chiffrementCloudflare propose depuis longtemps les services SSL sans clé et Geo Key Manager, qui assurent que les données concernant les clés privées SSL/TLS ne quittent jamais l'UE. Les clients utilisant notre service Geo Key Manager peuvent demander que les clés de chiffrement soient stockées uniquement dans des datacenters situés dans la région spécifiée par le client, tandis que le service SSL sans clé garantit que Cloudflare n'est jamais en possession des données relatives aux clés privées ; Geo Key Manager garantit que les clés sont protégées par un contrôle d'accès cryptographique, de sorte qu'elles puissent uniquement être utilisées dans les régions spécifiées.

2. Services régionaux :Les Services régionaux de Cloudflare assurent que seule Cloudflare est en mesure de déchiffrer et d'inspecter le contenu du trafic HTTP dans la région choisie par un client. Lorsque les Services régionaux sont activés, quel que soit le datacenter dans lequel le trafic atteint initialement notre réseau mondial, nous transmettons le flux TCP sous forme chiffrée, au lieu de le déchiffrer dans le premier datacenter. Lorsqu'il atteint un datacenter situé dans la région choisie par le client, nous le déchiffrons et mettons en œuvre nos mesures de sécurité de la couche 7 pour empêcher le trafic malveillant d'atteindre les sites web de nos clients.  

3. Isolement géographique des métadonnées clientLorsque cette option est activée, aucun journal de trafic d'utilisateur final (qui contient des adresses IP) traité par Cloudflare pour le compte de ses clients ne quitte la région choisie par le client. (Actuellement disponible uniquement dans l'UE et aux États-Unis.)

Bien que nous ayons initialement lancé Data Localization Suite en pensant d'abord à l'Europe et à l'Amérique, nous avons rapidement pris conscience qu'un grand nombre de nos clients étaient également intéressés par des versions spécifiques à la région Asie-Pacifique. Au mois de septembre, l'année dernière, nous avons ajouté la prise en charge des Services régionaux au Japon, en Australie et en Inde.

Ensuite, en décembre 2022, nous avons annoncé que Geo Key Manager est désormais disponible dans 15 régions. Les clients peuvent configurer des listes d'autorisation et de refus avec les régions de prise en charge de leur choix, afin de bénéficier d'un contrôle plus précis de l'endroit où sont stockées les données de leurs clés.

Lisez également notre analyse technique approfondie consacrée au développement de Geo Key Manager v2.

Les Services régionaux et le service d'isolement géographique des métadonnées offrent des protections importantes pour nos clients, mais ils étaient trop difficiles à utiliser. Ces deux services nécessitaient des étapes de configuration manuelles par les équipes de Cloudflare et proposaient des API publiques déroutantes (voire inexistantes).

Aujourd'hui, nous remédions à cela ! Nous sommes ravis d'annoncer deux grandes améliorations en matière de convivialité :

1. Les clients des Services régionaux disposent désormais d'une interface utilisateur et d'une API dédiées, depuis lesquelles ils peuvent activer les Services régionaux, accessibles directement depuis l'onglet DNS. Différentes régions peuvent désormais être définies en fonction des noms d'hôtes.

2. Les clients qui souhaitent utiliser le service d'isolement géographique des métadonnées client peuvent utiliser notre API accessible en libre-service pour l'activer.

Nous sommes ravis de faciliter l'utilisation de Data Localization Suite et d'offrir aux clients un contrôle plus précis de la localisation des différentes parties de leur trafic.

Data Localization Suite est accessible dès aujourd'hui aux clients de l'offre Entreprise ; veuillez vous adresser à votre représentant de compte si vous souhaitez l'utiliser. Vous trouverez plus d'informations sur la configuration de la solution ici, dans notre documentation pour développeurs.

Nous avons prévu beaucoup d'autres annonces concernant Data Localization Suite cette année. Nous avons l'intention d'offrir la prise en charge de nombreuses autres régions pour les Services régionaux et le service d'isolement géographique des métadonnées client. Nous avons également l'intention de proposer une prise en charge complète de Data Localization Suite dans tous nos produits Zero Trust. Suivez ce blog pour plus d'informations !