Data storage ITAR : où stocker vos données techniques sans risquer une violation

Le mail est arrivé un mardi matin à 7h12. Un de mes clients, une PME française de composants aéronautiques installée depuis trois ans en Arizona, venait de découvrir que ses fichiers de conception ITAR étaient stockés sur un serveur cloud hébergé en Irlande. Le fournisseur de cloud les avait migrés silencieusement lors d’une mise à jour d’infrastructure, six semaines plus tôt. Six semaines de violation ITAR sans que personne ne s’en rende compte.

Ce mardi-là, j’ai passé quatorze heures au téléphone avec le directeur technique, leur avocat spécialisé et un consultant ITAR. La question n’était plus de savoir s’il y avait violation. La question était de savoir comment limiter les dégâts.

Comment un serveur irlandais a failli couler une entreprise française

Pour comprendre ce qui s’est passé, il faut revenir au début. Cette entreprise (appelons-la AéroTech pour préserver la confidentialité) avait fait les choses correctement au départ. Enregistrement ITAR, programme de conformité, formation des employés. Leur erreur a été de considérer le stockage des données comme un simple problème IT plutôt qu’un problème de conformité réglementaire.

Quand ils ont choisi leur fournisseur cloud, ils ont sélectionné un grand nom du marché, coché la case « data center aux États-Unis » et signé le contrat. Ce qu’ils n’avaient pas lu dans les conditions générales : le fournisseur se réservait le droit de déplacer les données entre ses centres pour des raisons de performance et de redondance. Et c’est exactement ce qui s’est passé.

Le jour où les données ITAR d’AéroTech se sont retrouvées sur un serveur à Dublin, elles ont été « exportées » vers l’Irlande au sens de la réglementation. Sans licence. Sans autorisation. Sans que personne ne le sache (source : 22 CFR §120.17, définition d’exportation ITAR).

Ce que dit la réglementation sur le stockage des données ITAR

La réglementation ITAR est très claire sur un point : les données techniques contrôlées ne doivent pas quitter le territoire américain sans autorisation du DDTC. Ce principe s’applique aux documents papier, aux fichiers numériques, aux emails, aux messages instantanés, aux sauvegardes automatiques et au stockage cloud.

Le DDTC a publié des directives spécifiques sur la question du cloud computing en 2020, confirmant que stocker des données ITAR sur un serveur situé hors des États-Unis constitue une exportation soumise à autorisation (source : DDTC Advisory Opinion, Cloud Computing and ITAR). La localisation physique du serveur détermine si les données sont « exportées » ou non.

Mais la localisation ne suffit pas. L’accès compte aussi. Si un administrateur système basé en Inde peut accéder à votre serveur américain pour effectuer de la maintenance, cette possibilité d’accès constitue un deemed export vers l’Inde. Même s’il ne regarde jamais vos fichiers ITAR.

Les trois scénarios de stockage et leurs risques

Je classe les situations de mes clients en trois catégories quand il s’agit d’ITAR data storage et de sécurité des données.

Le premier scénario : stockage on-premise aux États-Unis. L’option la plus sûre. Vos serveurs sont dans vos locaux américains, vous contrôlez qui y accède. L’inconvénient : le coût d’infrastructure et la vulnérabilité aux sinistres physiques. Environ 40 % des sous-traitants défense américains utilisent encore cette approche (source : NDIA Defense Industry Survey 2024).

Le deuxième scénario : cloud privé avec garanties contractuelles. AWS GovCloud, Microsoft Azure Government et Google Cloud pour le gouvernement proposent des environnements conçus pour les données contrôlées, avec garantie de localisation américaine et accès limité au personnel habilité. C’est le compromis que je recommande le plus souvent. Mais « GovCloud » ne signifie pas automatiquement « conforme ITAR ». Vous devez configurer correctement votre environnement et vérifier les garanties contractuelles.

Le troisième scénario : cloud public standard. C’est ce qu’utilisait AéroTech. Les fournisseurs grand public ne garantissent généralement ni la localisation de vos données ni la nationalité des administrateurs système. Stocker des données ITAR sur un cloud public standard est, dans la quasi-totalité des cas, une violation en puissance.

Les pièges que personne ne voit venir

Au-delà du choix de l’hébergement, j’ai vu des violations causées par des détails que peu d’entreprises anticipent.

Les sauvegardes automatiques, d’abord. J’ai accompagné un client qui avait parfaitement sécurisé son serveur principal mais dont les ingénieurs utilisaient un outil de sauvegarde personnelle synchronisant leurs fichiers sur Dropbox. Des fichiers ITAR sur un Dropbox personnel, accessible depuis n’importe où dans le monde.

Les emails ensuite. Quand un ingénieur envoie un fichier technique par email, ce fichier transite par les serveurs du fournisseur de messagerie. Où sont ces serveurs ? Le fournisseur a-t-il des administrateurs non américains ?

Les outils collaboratifs aussi. Slack, Teams, SharePoint… tous ces outils stockent des données sur leurs propres serveurs. Vérifiez que votre licence inclut des garanties de localisation conformes ITAR. Les normes CMMC de cybersécurité aident à structurer cette approche.

Ce qui est arrivé à AéroTech : la suite de l’histoire

Revenons à mon client. Après la découverte de la migration non autorisée vers l’Irlande, AéroTech a suivi la procédure que je recommande systématiquement : divulgation volontaire au DDTC.

C’est contre-intuitif, mais le DDTC traite les divulgations volontaires comme un facteur atténuant majeur (source : DDTC Compliance Program Guidelines). AéroTech a déposé sa divulgation dans les 60 jours. Le processus a duré huit mois. Le DDTC a imposé un plan correctif sans amende financière. Ils ont eu de la chance. L’amende pouvait atteindre plusieurs centaines de milliers de dollars.

Aujourd’hui, AéroTech utilise AWS GovCloud, a embauché un responsable IT sécurité dédié aux données contrôlées, et audite ses systèmes de stockage tous les trimestres. Le coût total de l’incident (avocat, consultant, migration d’infrastructure, temps de direction) a dépassé 200 000 dollars. Le coût d’une mise en conformité préventive aurait été inférieur à 30 000 dollars.

Construire une infrastructure de stockage conforme ITAR

Après l’histoire d’AéroTech, la question pratique s’impose : comment faire les choses correctement dès le départ ?

Je recommande à mes clients une approche en quatre étapes.

Première étape : cartographier toutes vos données. Identifiez chaque fichier, base de données, email et sauvegarde qui contient ou pourrait contenir des données techniques ITAR. La liste des technologies contrôlées est votre référence pour déterminer ce qui relève de l’ITAR. Cette cartographie est souvent plus longue que prévu : comptez 2 à 4 semaines pour une PME.

Deuxième étape : choisir votre infrastructure. Pour les données ITAR, vous avez besoin d’un environnement qui garantit contractuellement la localisation sur le sol américain et l’accès limité aux personnes autorisées. AWS GovCloud et Azure Government sont les deux options les plus courantes. Exigez une clause de non-migration dans votre contrat.

Troisième étape : contrôler les accès. Chaque accès doit être journalisé, et les comptes d’administrateurs réservés aux citoyens américains ou résidents permanents. Les restrictions liées aux foreign nationals exigent un contrôle rigoureux.

Quatrième étape : auditer régulièrement. Un audit trimestriel de votre infrastructure de stockage vérifie que les données n’ont pas été déplacées, que les accès sont toujours appropriés, et que les nouveaux outils ou logiciels introduits par vos équipes respectent les contraintes ITAR. L’obtention de la certification AS9100 intègre ces pratiques d’audit dans un cadre formalisé.

Le chiffrement suffit-il à protéger vos données ?

C’est une question que j’entends souvent : « Si mes données sont chiffrées, est-ce que je peux les stocker n’importe où ? » La réponse est non. Le DDTC n’a jamais reconnu le chiffrement comme une alternative à la localisation géographique. Des données ITAR chiffrées sur un serveur en Allemagne restent des données exportées vers l’Allemagne sans autorisation.

Le chiffrement reste néanmoins requis en complément. Les normes NIST SP 800-171, obligatoires pour les sous-traitants du DoD, exigent le chiffrement des données CUI en transit et au repos (source : NIST SP 800-171 Rev. 2). Les données ITAR relèvent de cette catégorie.

Les contrats avec les fournisseurs cloud : ce qu’il faut exiger

Votre contrat avec votre fournisseur cloud est votre première ligne de défense juridique. Voici les clauses que je vérifie systématiquement pour mes clients.

• Localisation garantie des données sur le sol américain, sans possibilité de migration automatique
• Restriction d’accès : seul du personnel citoyen américain ou résident permanent peut administrer vos données
• Notification obligatoire en cas de changement d’infrastructure, de sous-traitant ou de localisation
• Droit d’audit : vous devez pouvoir vérifier où sont vos données et qui y a accès
• Clause de responsabilité en cas de violation causée par une action du fournisseur (comme la migration non autorisée d’AéroTech)

Si votre fournisseur refuse ces clauses, changez de fournisseur. Le risque n’en vaut pas la peine.

La leçon d’AéroTech pour toutes les entreprises françaises

L’histoire d’AéroTech n’est pas un cas isolé. Certaines entreprises s’en sortent avec un plan correctif. D’autres perdent leurs contrats de défense et leur accès au marché américain. La différence ? La préparation. Les entreprises qui traitent le stockage des données comme un enjeu stratégique traversent les audits sans stress. Celles qui le traitent comme un problème IT découvrent un jour que leur fournisseur cloud a pris une décision qui met en péril des années de travail.

Si vous êtes en train de construire votre présence sur le marché américain de la défense, ou si vous avez un doute sur la conformité de votre infrastructure actuelle, n’attendez pas un mardi matin à 7h12 pour découvrir le problème. Prenez un appel découverte avec moi pour évaluer votre situation. Ou commencez par explorer notre méthode CAAPS — elle intègre la conformité données dès la première phase de diagnostic.