Sécurité Cloud à Genève : AWS, Azure & GCP

La FINMA a publié la Circulaire 2023/1 sur les risques opérationnels et les risques liés aux TIC, qui remplace et renforce l'ancienne circulaire sur l'externalisation cloud. Pour une banque genevoise, les exigences FINMA cloud incluent : analyse de risques documentée avant toute externalisation cloud, clauses contractuelles spécifiques avec le prestataire cloud (droit d'audit, localisation des données, continuité), notification préalable à la FINMA pour les externalisations de fonctions critiques, et audits tiers réguliers (ISAE 3402 / SOC 2 Type II). AWS propose la région ch-north-1 (Zurich) garantissant la localisation des données exclusivement en Suisse, point crucial pour la conformité FINMA et LPD/nFADP. Azure Switzerland North (Zurich) offre les mêmes garanties avec l'avantage de l'intégration Microsoft 365. Pour les données ultra-confidentielles (gestion de fortune HNWI, données de dépositaire), un cloud hybride avec composante on-premise chiffrée reste souvent privilégié. Notre audit cloud FINMA pour une banque genevoise : 12 000 à 30 000 CHF HT.

Les tarifs d'audit cloud à Genève sont établis en francs suisses (CHF) et reflètent les standards du marché suisse. Pour une PME genevoise (50-200 salariés, infrastructure AWS ch-north-1 ou Azure Switzerland North standard) : entre 5 000 CHF et 12 000 CHF HT, incluant revue IAM, audit des configurations réseau (VPC/VNet), analyse du chiffrement, et rapport de conformité LPD/nFADP. Pour une banque privée ou une fintech soumise à FINMA (infrastructure complexe, multi-environnements, exigences réglementaires élevées) : entre 12 000 CHF et 30 000 CHF HT, incluant audit FINMA cloud, pentest des API bancaires, analyse de conformité SWIFT CSP si applicable. Pour les organisations internationales type CERN ou agences ONU (cloud hybride spécifique, exigences sui generis) : sur devis, généralement 15 000 à 40 000 CHF HT. Tous nos rapports sont rédigés en français avec des recommandations adaptées au cadre réglementaire suisse.

Le CERN exploite l'une des infrastructures cloud hybrides privées les plus importantes d'Europe, basée principalement sur OpenStack (CERN OpenStack Private Cloud), Kubernetes, et des connexions aux clouds publics (AWS, Azure, GCP) pour les pics de calcul. Un audit de sécurité CERN-style comprend : revue des configurations OpenStack (Keystone IAM, Nova instances, Cinder volumes, Neutron networking), analyse des politiques d'accès pour les 10 000+ utilisateurs chercheurs de 100+ pays, vérification de l'intégrité des données LHC (chiffrement des données de haute énergie, checksums), et analyse des connexions vers les clouds publics (bursting de calcul). Les données du LHC sont parmi les plus sensibles de la physique fondamentale — leur intégrité est aussi critique que leur confidentialité. Pour les partenaires et prestataires du CERN utilisant des clouds publics pour traiter des données CERN, un audit de conformité CERN Computer Security est recommandé. Nos consultants disposent d'une expérience sur OpenStack et les architectures cloud scientifiques.

La nouvelle Loi sur la Protection des Données (nLPD/nFADP), en vigueur depuis le 1er septembre 2023, impose de nouvelles obligations aux entreprises genevoises utilisant le cloud. Les points clés : obligation d'évaluer l'impact sur la protection des données (AIPD / PIA) pour les traitements à risque élevé, obligation de tenir un registre des activités de traitement (si plus de 250 collaborateurs ou si traitements à risque élevé), obligation de notifier l'OFPD (Office fédéral de la protection des données) dans les meilleurs délais en cas de violation de données à risque élevé, et interdiction de transférer des données personnelles vers des pays tiers sans garanties adéquates (la Suisse maintient sa propre liste des pays adéquats, distincte de la liste EU). Pour le cloud, la nFADP exige des contrats de traitement de données avec les prestataires (AWS, Azure, GCP) incluant des clauses spécifiques. Notre service Conformité nFADP cloud couvre l'audit des contrats DPA cloud et la mise en conformité pour les entreprises genevoises : 4 000 à 10 000 CHF HT.

En cas d'incident de sécurité cloud à Genève (violation de données bancaires, ransomware sur infrastructure AWS/Azure, compromission de comptes administrateurs), la procédure suisse implique plusieurs notifications parallèles. Pour les entreprises soumises à la nFADP : notification à l'OFPD (Préposé fédéral à la protection des données, ifpdt.admin.ch) dans les meilleurs délais si la violation présente un risque élevé pour les personnes concernées. Pour les banques sous surveillance FINMA : notification immédiate à la FINMA selon la Circulaire 2023/1 (incidents TIC significatifs à déclarer sans délai, rapports d'incident sous 24h puis 72h). Le NCSC (Centre national pour la cybersécurité suisse, ncsc.admin.ch) dispose d'une ligne d'annonce des cyberincidents ouverte aux entreprises suisses. Sur le plan technique : isoler les ressources AWS (modifier les Security Groups) ou Azure (NSG Rules), révoquer les credentials IAM compromis (AWS IAM ou Azure Entra ID), activer la préservation des logs forensiques (CloudTrail, Azure Monitor). CloudSecure intervient à distance sous 2 heures pour les entreprises genevoises en situation d'incident critique.