Sécurité Cloud à Rabat : AWS, Azure & GCP

La DGSSI a publié plusieurs référentiels encadrant l'usage du cloud par les administrations marocaines. Le Référentiel Général de Sécurité (RGS Maroc) impose des mesures de sécurité minimales pour les systèmes d'information des organismes publics, et les guides cloud DGSSI précisent les exigences pour l'externalisation cloud. Pour une administration marocaine souhaitant migrer vers le cloud : classification des données selon leur sensibilité (Diffusion Restreinte, Confidentiel, Secret), utilisation prioritaire des datacenters marocains souverains (MAROC DATACENTER, hébergement sur sol marocain) pour les données sensibles gouvernementales, cloud public AWS eu-west-3 Paris ou Azure France Central acceptable pour les données non-sensibles, et audit de sécurité préalable à toute migration cloud majeure. La circulaire DGSSI n°003/2019 sur la sécurité des systèmes d'information est le texte de référence. Notre audit cloud gouvernemental pour une administration centrale marocaine : 80 000 à 200 000 MAD HT (7 400 à 18 500 €).

Le Technopark de Rabat héberge plusieurs centaines de startups et PME tech qui déploient leurs applications sur AWS eu-west-3 (Paris) ou GCP europe-west1/europe-west9 pour leur proximité géographique avec le Maroc et leur latence acceptable (20-50ms). Notre accompagnement DevSecOps pour les startups du Technopark comprend : choix de la région cloud optimale (AWS Paris recommandée pour la conformité CNDP + faible latence), mise en place d'une architecture cloud sécurisée dès le départ (multi-comptes AWS Organizations, IAM selon le moindre privilège), configuration du Secret Management (AWS Secrets Manager ou GCP Secret Manager — jamais de credentials dans le code ou les variables d'environnement non-sécurisées), intégration de la sécurité dans les pipelines CI/CD (GitHub Actions avec scanning Snyk, Trivy), et formation à la Loi 09-08 CNDP pour les fondateurs (obligations de déclaration des traitements de données personnelles). Package DevSecOps starter startup Technopark : 15 000 à 35 000 MAD HT (1 400 à 3 300 €).

Bank Al-Maghrib (BAM), banque centrale du Maroc, utilise Microsoft Azure pour certains de ses systèmes d'information et de communication, avec des exigences de sécurité de premier rang. Un audit de sécurité cloud Azure pour une banque centrale comprend : revue des configurations Azure Active Directory / Entra ID pour les accès des agents (MFA obligatoire, Conditional Access avec geo-restriction), analyse des politiques Microsoft Purview pour la protection des données monétaires et de supervision bancaire (classification DR, Confidentiel), vérification du chiffrement (Azure Key Vault avec HSM-backed keys pour les données ultra-sensibles), audit des API cloud connectées aux systèmes de paiement interbancaire (SIMT - Système Interbancaire Marocain de Télécompensation), et conformité DGSSI + recommandations OCDE pour la sécurité des banques centrales. BAM est également soumise aux recommandations du Comité de Bâle sur la cybersécurité des institutions financières systémiques. Nos audits pour des institutions financières d'importance systémique sont réalisés avec une confidentialité totale.

La Loi 09-08 marocaine sur la protection des données personnelles, administrée par la CNDP (cndp.ma), impose aux entreprises marocaines utilisant le cloud plusieurs obligations. Les traitements de données personnelles doivent être déclarés à la CNDP (déclaration ou demande d'autorisation selon la sensibilité des données). Pour les transferts de données vers des prestataires cloud à l'étranger (AWS, Azure, GCP en Europe) : les transferts vers des pays disposant d'une protection adéquate (UE, Suisse) sont autorisés avec déclaration CNDP. Pour les pays tiers (USA), des garanties contractuelles spécifiques sont nécessaires (les SCC - Standard Contractual Clauses UE peuvent servir de modèle). En pratique, pour une PME de Rabat utilisant AWS eu-west-3 Paris : déclarer le traitement à la CNDP, conclure un DPA avec AWS incluant les engagements de sécurité, et documenter les mesures techniques (chiffrement, contrôle d'accès). Notre service de mise en conformité CNDP cloud pour une PME marocaine : 20 000 à 50 000 MAD HT (1 850 à 4 650 €).

En cas d'incident de sécurité cloud au Maroc (cyberattaque sur une administration, fuite de données personnelles d'une entreprise rabatie), les démarches sont les suivantes. Pour les organismes publics : notification immédiate à la DGSSI (mail.dgssi@dgssi.gov.ma, +212 537 71 96 70) selon les procédures de gestion d'incidents cybersécurité DGSSI. Pour les violations de données personnelles (Loi 09-08) : notification à la CNDP (cndp.ma) dans les meilleurs délais. Pour les cybercrimes : dépôt de plainte auprès de la Brigade Nationale de la Police Judiciaire (BNPJ), Division de la Criminalité Technologique (Rabat). Le maCERT (Computer Emergency Response Team marocain, rattaché à la DGSSI) est le point de contact national pour les incidents cybersécurité — accessible via macert@dgssi.gov.ma. CloudSecure intervient à distance sous 4 heures pour les entreprises et administrations de Rabat en situation d'incident cloud critique.