Sécurité Cloud à Lausanne : AWS, Azure & GCP

Les startups de l'EPFL Innovation Park font face à un choix entre AWS (région ch-north-1 Zurich, maturité et breadth de services), GCP (europe-west6 Zurich ou europe-west1 Belgique, excellence IA/ML avec Vertex AI et BigQuery), et Azure (Switzerland North, intégration Microsoft et conformité FINMA). Pour la sécurité cloud, AWS ch-north-1 offre la suite la plus complète (GuardDuty, Security Hub, Inspector, Macie) avec la garantie de localisation des données en Suisse, idéal pour les startups fintech ou healthtech soumises à la nFADP. GCP europe-west6 (Zurich) est recommandé pour les startups IA/ML avec des besoins de conformité LPD et de localisation suisse. Notre audit cloud startup EPFL comprend : revue de l'architecture cloud initiale, configuration IAM selon le principe du moindre privilège, mise en place du Secret Management et du monitoring de sécurité. Tarif : 3 000 à 7 000 CHF HT pour une startup de l'EPFL Innovation Park.

Le Swiss Cloud SCC (Swisscom Cloud Center) est un cloud souverain suisse opéré par Swisscom, hébergé exclusivement sur le territoire suisse (datacenters Berne, Zurich, Renens), conçu pour répondre aux exigences nFADP et aux recommandations de l'OFCS (Office fédéral de la cybersécurité). Pour les entreprises vaudoises et les administrations cantonales, SCC offre la garantie que les données ne quittent jamais la Suisse. Un audit de sécurité Swisscom SCC comprend : revue des configurations de compte SCC (IAM, réseau, stockage chiffré), analyse de la séparation des environnements (production, test, développement), vérification des sauvegardes et PRA (Plan de Reprise d'Activité), et conformité nFADP. Pour une PME vaudoise sur Swiss Cloud SCC : audit entre 4 000 et 9 000 CHF HT. Pour une administration cantonale vaudoise : audit entre 8 000 et 18 000 CHF HT avec rapport de conformité nFADP et recommandations OFCS.

Les tarifs d'audit cloud pour une entreprise lausannoise sont établis en francs suisses (CHF). Pour une startup ou PME (20-100 salariés, infrastructure AWS ch-north-1 ou GCP europe-west6 standard) : entre 4 000 CHF et 10 000 CHF HT. Pour une ETI ou organisation internationale (infrastructure multi-cloud, multi-régions, environnements complexes) : entre 10 000 CHF et 25 000 CHF HT. Pour un audit de conformité nFADP cloud (DPA avec prestataires, registre des traitements, AIPD) sans audit technique approfondi : entre 2 500 CHF et 6 000 CHF HT. Pour les startups EPFL bénéficiant du programme EPFL Startup Accelerator : tarif réduit disponible sur présentation d'une lettre de l'EPFL Innovation Park. Tous nos rapports d'audit sont rédigés en français, adaptés au cadre réglementaire suisse (nFADP, recommandations OFCS).

Les données de recherche de l'EPFL peuvent être de natures très diverses : données personnelles de sujets d'études cliniques (soumises à nFADP et Loi sur la recherche humaine LRH), données de recherche confidentielles issues de partenariats industriels (soumises à des NDA), ou données scientifiques ouvertes (Open Data). Pour chaque catégorie, les obligations cloud diffèrent. Pour les données personnelles de recherche (génomiques, médicales, comportementales) sur AWS ou GCP : obligation de DPA avec le prestataire cloud, analyse d'impact (AIPD) si traitement à risque élevé, et base légale documentée. Pour les données de partenariats industriels : chiffrement end-to-end, gestion stricte des accès (IAM granulaire), et audit trail complet des accès aux données sensibles. EPFL dispose de son propre Data Protection Officer (DPO). Notre service d'audit cloud recherche pour les laboratoires EPFL ou les spin-offs en phase de scaling est entre 3 000 CHF et 8 000 CHF HT.

En cas d'incident de sécurité cloud à Lausanne (fuite de données de recherche, ransomware sur infrastructure AWS/GCP, compromission d'un système Swisscom SCC), la procédure suisse nFADP impose : notification à l'OFPD (Préposé fédéral à la protection des données et à la transparence, ifpdt.admin.ch) dans les meilleurs délais si la violation présente un risque élevé pour les personnes concernées. Le NCSC (Centre national pour la cybersécurité, devenu OFCS depuis 2024, incibe.admin.ch ou ncsc.admin.ch) dispose d'un formulaire d'annonce de cyberincidents en ligne pour les entreprises et institutions suisses. Pour les organisations vaudoises soumises à la Loi sur l'organisation des systèmes d'information de l'État (LOSIE vaudoise), des obligations de notification cantonales supplémentaires peuvent s'appliquer. Sur le plan technique AWS ou GCP : isoler immédiatement les ressources compromises (security groups AWS, VPC firewall GCP), révoquer les credentials IAM suspects, activer la préservation des logs AWS CloudTrail ou GCP Cloud Audit Logs. CloudSecure intervient à distance sous 2 heures pour les entreprises lausannoises.