Sécurité et souveraineté des données consulaires
Un registre consulaire est un fichier de population nationale tenu hors du territoire. C'est la donnée la plus sensible qu'un ministère des Affaires étrangères confie à un éditeur, et la première question qu'il pose — avant les fonctionnalités, avant le prix.
Ce que recouvre la souveraineté
Le mot recouvre trois exigences distinctes qu'il vaut mieux traiter séparément : savoir où les données résident physiquement, savoir qui peut techniquement y accéder, et pouvoir les reprendre sans dépendre de l'éditeur.
Les trois n'appellent pas les mêmes garanties. Un hébergement national mal administré protège moins qu'une infrastructure étrangère chiffrée et journalisée ; et un hébergement irréprochable sans réversibilité contractuelle laisse l'État captif.
Trois modèles de déploiement
Le choix n'est pas idéologique, il se fait sur des contraintes réelles : capacité d'exploitation de l'État, criticité perçue, budget de fonctionnement.
| Modèle | Ce que l'État maîtrise | Ce qu'il assume |
|---|---|---|
| SaaS mutualisé | Ses données, isolées des autres missions | Rien de l'exploitation ; coût le plus bas |
| SaaS dédié | Ses données et l'emplacement de son instance | Le coût d'une instance non partagée |
| Sur site | Tout : matériel, réseau, sauvegardes | L'exploitation, les mises à jour et la disponibilité |
Cloisonnement réel entre missions
L'isolement des données n'est pas une règle applicative que l'on peut contourner par une erreur de filtre : chaque mission dispose de son propre schéma de base de données.
Au-dessus, la consolidation ministérielle existe mais en lecture seule. Un ministère lit son réseau ; il n'écrit pas dans les dossiers d'un poste à sa place.
Authenticité vérifiable de bout en bout
Tout support émis par la plateforme — carte, document, formulaire de demande, reçu — porte une signature cryptographique et un QR code. La vérification indique si le support est authentique, annulé ou inconnu.
Chaque vérification est elle-même journalisée et auditable. Un support recopié dans un traitement de texte ne passe pas, et une campagne de vérifications anormale se voit.
Traçabilité et habilitations
- Comptes agents gérés par mission, avec des rôles distincts pour instruire, valider, encaisser ou consulter
- Actions journalisées et attribuées à un agent nommé
- Actes dérogatoires — exonération de frais, repêchage d'un dossier rejeté — soumis à un rôle dédié et à un motif obligatoire
- Tableau de bord de sécurité recensant les événements applicatifs, exportable
Réversibilité
Un État qui doute de pouvoir récupérer ses données ne signera pas, et il a raison de douter tant que la garantie n'est pas écrite.
Les données d'une mission sont exportables dans des formats bureautiques ouverts, sans intervention de l'éditeur : registre des membres, grand livre financier, répartition des recettes. La réversibilité doit être une clause du contrat autant qu'une fonction du logiciel — nous l'écrivons dans les deux.
Questions fréquentes
Où résident les données ?
Cela dépend du modèle retenu. En SaaS dédié comme en installation sur site, l'emplacement est un paramètre du contrat, pas une contrainte du produit.
Une mission peut-elle voir les données d'une autre ?
Non. Le cloisonnement s'appuie sur un schéma de base de données distinct par mission, pas sur un filtre applicatif. Seule la consolidation ministérielle lit au-dessus des postes, en lecture seule.
Que se passe-t-il si l'État veut changer de solution ?
Il exporte ses données dans des formats ouverts, sans intervention de notre part. Nous recommandons d'inscrire la réversibilité au contrat plutôt que de s'en remettre à la seule fonction logicielle.
Comment sont tracés les actes sensibles ?
Les actions sont journalisées et attribuées à un agent nommé. Les actes dérogatoires exigent en plus un rôle dédié et un motif, ce qui les rend visibles à un contrôle a posteriori.