Sécurité et résilience
Chez Scaleway, il n'y a pas de compromis lorsqu'il s'agit de vos données
Nous sommes fiers de nos datacenters et de leur sécurité. Nous estimons avoir mis en œuvre ce qui se fait de mieux pour protéger ce qu’il y a de plus précieux pour vous : vos données. Nous sommes parfaitement conscients de notre immense responsabilité : aucun compromis n’est acceptable quand il s’agit de vos données.
Nos quatre datacenters français sont audités par notre assureur au minimum une fois par an. De plus, en tant que client, vous avez la possibilité d’auditer nos datacenters, accompagnés des experts de votre choix.
Enfin, nos certifications, analyses de risque et notices de sécurité sont consultables sur simple demande à l’assistance technique.
Nos certifications, normes et standards en détail
ISO/IEC 27001:2022
La norme ISO/CEI 27001 est la norme la plus connue au monde pour les systèmes de gestion de la sécurité de l'information (SMSI). Elle définit les exigences auxquelles un SMSI doit répondre.
La norme ISO/CEI 27001 fournit aux entreprises de toutes tailles et de tous secteurs d'activité des conseils pour établir, mettre en œuvre, maintenir et améliorer continuellement un système de gestion de la sécurité de l'information.
La conformité à la norme ISO/CEI 27001 signifie qu'une organisation ou une entreprise a mis en place un système pour gérer les risques liés à la sécurité des données détenues ou traitées par l'entreprise, et que ce système respecte toutes les meilleures pratiques et principes consacrés dans cette norme internationale.
RGPD
Le règlement général sur la protection des données (UE) 2016/679 (RGPD) a été adopté par le Parlement européen le 14 avril 2016 et est devenu applicable le 25 mai 2018. Le RGPD contient des dispositions et des exigences relatives au traitement des données personnelles des individus de l’Union européenne. Scaleway, en tant que sous-traitant, prend toutes les mesures techniques et organisationnelles conformément au RGPD, afin de garantir la sécurité et la confidentialité des données de ses clients.
HDS
Scaleway est certifié en “Hébergeur de Données de Santé” (HDS) depuis juillet 2024. Géré par l’Agence du Numérique en Santé, sous l’égide du Ministère de la Santé, le référentiel de certification HDS est l’un des plus exigeants auxquels les fournisseurs de services numériques doivent se conformer afin de pouvoir héberger et gérer les données de santé. La certification de Scaleway confirme la mise en place des mesures techniques et organisationnelles rigoureuses pour protéger les données de santé ; la conformité aux exigences légales et réglementaires ; et la soumission à des contrôles réguliers pour garantir un haut niveau de sécurité aux données de santé.
Tier 3 Uptime Institute : 2014
La certification de l’Uptime Institute mesure la capacité d’un datacenter à atteindre un niveau de performance spécifique pour les services fournis en fonction de la disponibilité, de la redondance et de la tolérance aux pannes.
SWIPO
Scaleway a pour mission de développer des codes de conduite volontaires en appui à l’article 6 du règlement sur la libre circulation des données non personnelles (UE) 2018/1807 sur le “Portage des données”. Scaleway a récemment déclaré plusieurs de ses services comme adhérant au code de conduite de SWIPO pour les infrastructures en tant que service (IaaS). La déclaration de transparence associée peut être mise à disposition sur demande.
Sécurité physique
La sécurité physique de nos datacenters et matériel est assurée par des dispositifs complets de surveillance à différents niveaux :
- murs d’enceinte autour des bâtiments (hors DC4 qui se situe dans un abri anti atomique à 25 mètres sous terre en plein Paris) ;
gardiennage (agents de sécurité SSIAP2) 24/7 ; - système de vidéosurveillance couvrant l’intégralité des sites ;
- alarmes qui alertent le personnel en cas de tentative d’accès non autorisé à une zone protégée ou dans le cas où une porte ne serait pas verrouillée ou fermée à temps ;
- système de contrôle d’accès par badge couplé à un système de reconnaissance biométrique ;
- accompagnement permanent des personnes externes par un employé du datacenter ;
- protection infra-rouge pour la périphérie du site (DC5) ;
- le transport de matériel de stockage est assuré dans des mallettes durcies équipées de traceurs GPS.
La prévention des incendies
La prévention des risques incendie est assurée par du personnel formé et présent 24/7 dans nos datacenters pour pouvoir intervenir à tout moment. L’approche de Scaleway s’articule autour de trois objectifs :
- isoler un éventuel sinistre pour éviter qu’il prenne de l’ampleur à l’aide de moyens de compartimentage ;
- circonscrire le sinistre sans coupure de la production à l’aide de moyens automatiques ;
- faciliter l’intervention des secours et de notre personnel.
Protection passive (constructive) :
- nos datacenters sont organisés en compartiments, qui sont chacun résistants au feu. Les murs, sols, plafonds, portes et fenêtres sont conçus pour résister à un incendie sans qu’il se propage au reste du bâtiment ;
- chaque compartiment dispose d’un dispositif d’extraction des fumées, capable de fonctionner 2 heures par 400°C ;
- lorsqu’une distance d’au moins 10 mètres ne peut être respectée entre l’un de nos datacenters et le voisinage, nous protégeons les installations par des murs coupe-feu, une voirie lourde et des bouches incendie.
Protection active (systèmes de détection incendie certifiés APSAD DC7 ou N7) :
- système multiponctuel DFHS de DEF pour DC2 ;
- système multiponctuel VESDA pour DC3 et DC4 ;
- systèmes VESDA et OSID de Xtralis pour DC5.
Extinction :
- système par brouillard d’eau Semco certifié FM, VdS/OH1 et DIFT pour DC2 et Marioff HiFog certifié FM et VdS/OH1 pour DC3 et DC5 (n.b. : installation en cours à DC5 dans le cadre de l’extension du site en cours de construction) ;
- système d’extinction à gaz 3M NOVEC 1230 certifié APSAD R13 pour DC4.
Nos certifications FM, VdS/OH1, DIFT et APSAD R13 ainsi que les certifications périodiques de maintenance (APSAD Q13) sont disponibles sur simple demande.
La gestion des autres risques physiques
Comme pour tout site industriel, nous avons pris en compte tous les risques physiques lors de la conception, de la construction et du fonctionnement de nos datacenters. Comme chacun de nos sites est différent, nous pouvons avoir des politiques de gestion des risques spécifiques en fonction de chaque datacenter.
Risque de foudre
Le niveau de risque de foudre pesant sur nos datacenters est considéré comme très faible et a été pris en compte lors de la construction des sites de par la mise en place de paratonnerres et de parafoudres.
Risque industriel
Le niveau de risque industriel encouru est considéré comme faible étant donné qu’aucun établissement à risque (SEVESO) n’est situé à proximité de l’un de nos datacenters
Risque sismique et volcanique
L'ensemble de nos datacenters dispose d’un niveau de risque sismique nul, étant donné que la totalité de la région parisienne présente un niveau de risque sismique égal à zéro (inexistant / très faible). De même, le niveau d’activité volcanique étant nul en France, nos datacenters présentent un niveau de risque volcanique nul.
Risque de mouvements de terrain
Bien que la région parisienne soit riche en zones présentant des carrières souterraines (catacombes, anciennes carrières, etc.), aucun de nos datacenters n’est construit au-dessus de zones à risques. Ainsi, les risques associés à l’effondrement de carrières souterraines ou à des glissements de terrain sont considérés comme quasi nuls.
Risque agricole et forestier
Nos datacenters sont tous construits au sein de zones urbaines situées à plusieurs kilomètres de zones agricoles ou forestières. Le niveau de risque agricole ou forestier est donc considéré comme nul.
Mesures de protection supplémentaires
Des mesures de protection supplémentaires sont installées en périphérie de parcelle pour protéger le datacenter des avoisinants immédiats (murs coupe-feu).
Canalisations de gaz à haute pression
Nos datacenters ne sont pas situés à proximité d’une canalisation de gaz à haute pression, ni même dans un éventuel périmètre de protection de l’une d’elle.
Connaissez-vous le concept de responsabilité partagée dans le cloud ?
Téléchargez notre livre blancLa sécurité physique n’est que le premier maillon de la chaîne de sécurité. Découvrez nos conseils et bonnes pratiques autour du concept de responsabilité partagée dans le cloud. De la gestion de votre compte aux bonnes pratiques d’architecture, démarrez du bon pied.