Explication sur les contrôles de souveraineté du secteur public de l'Union européenne

Découvrez l'approche de Zoom en matière de contrôles de souveraineté, de sécurité et d'exigences de conformité pour les organisations du secteur public de l'UE.

Introduction

Ce document explique comment Zoom aide les institutions du secteur public de l’Union européenne (UE) à répondre à leurs exigences strictes en matière de confidentialité et de sécurité des données.

Zoom prend en charge les exigences uniques de conformité et de contrôle de souveraineté de l’UE pour le secteur public

La plateforme Zoom répond à l’importance croissante des besoins en matière de contrôle de souveraineté dans l’ensemble de l’Union européenne. Les organisations du secteur public de l’UE ont besoin de systèmes de communication sécurisés, conformes et fiables, capables de les aider à respecter les réglementations sectorielles et régionales. Zoom comprend que les organisations du secteur public ont besoin de solutions qui les aident à gérer des obligations croissantes en matière de pratiques responsables de traitement des données, tout en leur permettant de disposer de systèmes de communication fiables et faciles à gérer.

Zoom s’engage à aider ses clients du secteur public à répondre à leurs besoins grâce à une variété de services, de solutions et d’outils, notamment une infrastructure hébergée dans l’UE, des cadres de déploiement hybrides flexibles, des options de chiffrement gérées par le client et des politiques transparentes de traitement des données. Grâce à ces offres, les équipes informatiques du secteur public peuvent améliorer leur supervision et leur contrôle du stockage, du traitement et de l’accès à leurs données sur la plateforme Zoom.

Pour plus d’informations sur Zoom et la loi relative au Règlement général sur la protection des données (RGPD) de l’Union européenne, consultez notre documentation du Trust Center.

Un cadre à trois niveaux permet aux organisations de gérer leurs données via l’infrastructure, le chiffrement et l’hébergement hybride conformément à leurs politiques

Le cadre à trois niveaux de Zoom est conçu pour offrir aux organisations du secteur public un contrôle renforcé sur leurs données et leurs communications :

• Niveau de la plateforme: Zoom propose une infrastructure dédiée dans l’UE pour héberger ses services dans des centres de données de l’UE.

• Niveau du chiffrement: Les organisations peuvent gérer leurs propres clés de chiffrement à l’aide de configurations Customer Managed Key (CMK) ou Hold-Your-Own-Key (HYOK).

• Niveau du contenu: Les organisations peuvent installer Zoom Node pour héberger les réunions, le chat et les enregistrements dans leur propre environnement informatique.

Le cadre à trois niveaux offre quatre avantages clés pour le secteur public

Les organisations du secteur public, notamment les écoles, les hôpitaux et les agences gouvernementales, peuvent traiter quotidiennement des données réglementées dans le cadre de leurs flux de travail de communication et de collaboration. Ces institutions doivent respecter les règles locales et à l’échelle de l’UE afin de conserver les données sécurisées, privées et accessibles uniquement au personnel autorisé.

L’approche de Zoom pour les organisations du secteur public offre les avantages suivants :

• Résidence des données: Conserver certaines données physiquement et logiquement à l’intérieur de l’UE.

• Contrôle cryptographique: Permettre à l’organisation de gérer l’accès et de détenir ses clés de chiffrement.

• Résilience: Aider à garantir que les communications puissent se poursuivre même en cas de panne ou de problème réseau.

• Transparence: Fournir une visibilité sur les flux de données. Comment et quand les données sont-elles consultées : qui a consulté quoi, et pourquoi ?

Zoom aide les institutions publiques à atteindre ces objectifs grâce à une infrastructure configurable, des politiques détaillées et de solides protections de la vie privée.

Prise en charge de la conformité au RGPD sans développement personnalisé

Zoom prend en charge la conformité au RGPD en intégrant ses exigences dans ses services de base, en proposant des engagements contractuels via son Data Processing Addendum et en mettant en œuvre des mesures de protection techniques. Pour tous les clients cherchant à s’aligner sur le RGPD, Zoom maintient des mesures de sécurité appropriées, fournit un outil en libre-service de demande d’accès de la personne concernée (DSAR) et assure la transparence des pratiques de traitement des données tout en offrant des options de transferts internationaux de données via des mécanismes tels que le EU-US Data Privacy Framework et les Clauses contractuelles types.

Pour les organisations du secteur public de l’UE dans les domaines de la santé, de l’éducation, des administrations publiques et des secteurs réglementés qui recherchent une approche plus encadrée de la conformité au RGPD, le cadre à trois niveaux disponible chez Zoom aux niveaux de la plateforme, du chiffrement et du contenu peut renforcer davantage les opérations alignées sur le RGPD dans l’ensemble de l’Union européenne, sans nécessiter de code personnalisé ni de développement complexe.

Infrastructure

Zoom fournit l’infrastructure et les contrôles qui aident les organisations du secteur public à gérer les exigences strictes de l’UE en matière de confidentialité des données, de sécurité et de résilience du service.

L’infrastructure basée dans l’UE conserve certaines données à l’intérieur des frontières européennes

Pour les clients de l’Union européenne (UE) qui préfèrent ne pas transférer de données personnelles — y compris le contenu, les données du compte, les données de diagnostic, d’assistance et les données du site Web à accès restreint — vers les États-Unis, Zoom fournit une infrastructure dédiée, appelée Zoom EU Infrastructure. Cette infrastructure héberge les comptes des clients Éducation et Enterprise de l’UE et prend actuellement en charge une large sélection de produits Zoom, notamment Meetings, Webinar, Chat, Zoom Phone, Zoom Contact Center, et bien d’autres.

Zoom permet aux clients hébergés dans la région Zoom EU Infrastructure de stocker et de traiter les données au sein de la région. Zoom ne transfère pas de données en dehors de cette infrastructure et n’y accède pas depuis l’extérieur, sauf en cas d’accord préalable avec un client, ou lorsque des exceptions spécifiques s’appliquent, notamment lorsque la loi applicable l’exige, à des fins de confiance et de sécurité, et pour fournir des notifications de service et activer les services. Pour plus d’informations, veuillez consulter notre Fiche d’information sur Zoom EU Infrastructure.

Fonctionnalités d’identité, d’accès et de confidentialité

Zoom inclut des fonctionnalités standard de gestion de l’identité et des accès qui s’intègrent aux systèmes organisationnels existants.

Authentification et autorisation standard

Zoom fournit une intégration d’identité d’entreprise classique via Single Sign-On (SSO) avec des fournisseurs compatibles SAML 2.0, le provisionnement SCIM 2.0 pour la gestion automatisée des utilisateurs, et le contrôle d’accès basé sur les rôles (RBAC) avec des rôles et des autorisations personnalisables. Ces fonctionnalités s’intègrent aux fournisseurs d’identité régionaux (IdP) fournis par les clients, qui sont gérés et hébergés par le client ou par le fournisseur d’IdP de son choix, et se connectent à l’infrastructure Zoom de l’UE via SAML 2.0.

Confidentialité et contrôles des données intégrés

La plateforme inclut des fonctionnalités standard de protection de la vie privée dès la conception, alignées sur les exigences du RGPD :

• Minimisation des données grâce à des identifiants pseudonymisés dans les journaux système

• Contrôles administratifs des données pour définir les durées de conservation et traiter les demandes de suppression

• Journalisation des accès pour la surveillance de la sécurité et les pistes d’audit

• Accès au moindre privilège et basé sur les rôles contrôles de l’accès de Zoom aux données et au contenu des clients

Propriété des données de l’organisation

Comme avec d’autres plateformes d’entreprise, les organisations conservent le contrôle des cycles de vie des utilisateurs et du contenu, Zoom fournissant l’infrastructure technique pour soutenir les politiques internes et les exigences réglementaires telles que la conformité à l’article 17 du RGPD.

Zoom Node

Pour un contrôle accru de vos données, envisagez Zoom Node. Cette plateforme hybride vous permet d’exécuter directement dans votre propre environnement les charges de travail de Zoom Workplace, y compris le routage des médias, le stockage du chat, l’enregistrement et l’accès Web. Zoom Node est idéal pour les clients qui ont besoin de localisation des médias, d’une meilleure gestion des données de contenu ou d’une continuité des opérations, tout en conservant l’expérience Zoom familière. Pour plus d’informations sur les concepts de Zoom Node, consultez la Explication sur Zoom Node.

À la base, Zoom Node fonctionne comme une machine virtuelle (VM) exécutant le Zoom Node OS. Zoom Node permet l’hébergement local de certains services Zoom via des composants de service modulaires et comprend :

• Zoom Node OS: La couche de fonctionnement principale qui régit les modules conteneurisés. Elle gère la communication, l’orchestration du cycle de vie et la gestion des ressources.

• Modules de service: Composants fonctionnels indépendants (par exemple, Réunion, Enregistrement, Chat) déployés dans des conteneurs isolés au sein de la VM.

Cette structure modulaire permet aux clients d’exécuter uniquement les services dont ils ont besoin, simplifiant la gestion et optimisant l’utilisation des ressources.

Zoom Node offre contrôle et flexibilité tout en préservant une expérience utilisateur fluide. Les avantages de Zoom Node incluent :

• Modularité: Déployez uniquement les services dont vous avez besoin.

• Localisation: Traitement et conservation locaux des médias pour les réunions et les webinaires.

• Préparation pour l’avenir: Compatible avec les futurs services hybrides (Zoom Chat, Zoom Phone).

Zoom Node prend en charge le déploiement modulaire de services essentiels comme les réunions, les enregistrements, le chat, l’accès via navigateur et la connectivité aux salles

Voici les modules actuellement disponibles pour Zoom Node :

• Module hybride Meetings: Exécute localement les serveurs de réunion Zoom pour conserver le contrôle des flux audio, vidéo et de contenu.

  • Passerelle d’accès Web: Une passerelle Web permettant aux utilisateurs Zoom rejoignant via un navigateur de participer à une réunion privée hébergée sur Meetings Hybrid, sans avoir besoin d’accéder au Zoom Cloud

• Module hybride Recording: Stockez les enregistrements des réunions sur site plutôt que dans le cloud de Zoom.

  • Service de diffusion de contenu: Un service de courtage de diffusion vidéo pour les enregistrements Zoom Meeting et webinar, stockés au repos sur le stockage de fichiers réseau du client. Ce service fournira à l’hôte de la réunion l’accès à la lecture, au téléchargement et à la redistribution de l’enregistrement via le portail Web Zoom, ce qui reproduit le flux de travail des enregistrements stockés dans le cloud Zoom.

• Module hybride Chat: Stocke et gère le contenu du chat interne dans votre propre environnement.

• Résilience des réunions: Basculement sur site en cas d’interruption du cloud.

• Interopérabilité hybride des salles: Connectez des systèmes de salle conformes aux standards aux réunions Zoom grâce à la solution Hybrid Room Interoperability.

Les configurations hybrides prennent en charge les politiques organisationnelles des clients liées au contrôle des données et à la reprise après sinistre, tout en conservant les fonctionnalités principales de l’application Zoom Workplace. Consultez notre page de présentation de Zoom Node pour connaître les dernières informations sur les différents modules.

Pour des informations sur le déploiement, consultez le Guide de référence sur le déploiement de Zoom Node.

Zoom Node est géré via une interface cloud qui prend en charge l’activation des modules, la surveillance des performances, les mises à jour logicielles et la journalisation

Les administrateurs peuvent gérer Zoom Node via une console centralisée. Cette console leur permet de :

• Activer ou désactiver des modules spécifiques

• Surveiller l’état des services et les performances du réseau

• Appliquer les mises à jour selon un calendrier contrôlé

• Examiner les paramètres de sécurité et les journaux d’accès

Chiffrement

Zoom prend en charge des outils de chiffrement avancés, notamment Customer Managed Key (CMK), qui offrent aux organisations un contrôle renforcé sur la protection de leurs données. Zoom propose plusieurs options pour protéger les communications sensibles, y compris la pleine propriété des clés de chiffrement.

Customer Managed Key (CMK) permet aux institutions de gérer et d’auditer leurs propres clés de chiffrement avec des services de confiance ou des systèmes internes

Zoom CMK s’intègre aux fournisseurs de services de gestion des clés (KMS) les plus populaires, tels que :

• Amazon Web Services (AWS) KMS

• Microsoft Azure Key Vault

• Oracle OCI Vault

• Thales CipherTrust (via AWS External Key Store)

Vous pouvez également héberger votre propre module matériel de sécurité (HSM), tel que Thales Luna HSM, afin de garder le contrôle des clés de chiffrement et d’éviter de dépendre de systèmes externes basés aux États-Unis, en fournissant une solution HYOK (Hold-Your-Own-Key) complète.

CMK peut chiffrer de nombreux types de contenu Zoom sensible

CMK peut chiffrer de nombreux types de contenu Zoom sensible, notamment :

• Enregistrements des réunions et des webinaires (audio, vidéo, chat)

• Transcriptions (à l’exception de la recherche indexée)

• Messageries vocales et enregistrements d’appels

• Jetons d’accès au calendrier

• Jetons d’intégration Microsoft Teams

• Messages et fichiers de chat

• Tableaux blancs

• Contenu généré par les fonctionnalités d’AI Companion

Pour les organisations qui exigent que certaines données, telles que les messages de chat, ne soient pas déchiffrées par le Zoom Cloud, Zoom propose le module hybride Zoom CMK. L’utilisation de Zoom CMK Hybrid permet aux organisations de générer et de gérer leurs propres clés de données pour une utilisation avec le chiffrement côté client au sein de leur périmètre de sécurité, grâce à une clé distincte gérée par le client.

Veuillez consulter l’article d’assistance Zoom Contenu protégé par Customer Managed Key pour la liste actuelle.

Le chiffrement de bout en bout (E2EE) est conçu de manière à ce que seuls les participants puissent accéder aux médias pendant les réunions ou les appels

Des contrôles de sécurité supplémentaires existent pour permettre aux clients de sécuriser leurs réunions. Zoom propose un chiffrement de bout en bout (E2EE) facultatif qui peut être activé dans les applications Workplace de bureau ou mobiles pour :

• Appels Zoom Phone individuels au sein d’un même compte

• Réunions Zoom avec jusqu’à 1 000 participants

E2EE n’est pas pris en charge pour les appels effectués via le client Web ou le RTC, ni pour les services Zoom Contact Center et Zoom Virtual Agent.

Le chiffrement E2EE pour Zoom Meetings utilise la même méthode de chiffrement AES-GCM 256 bits que celle prise en charge par le chiffrement standard et renforcé. Lorsqu’il est activé, le système de Zoom est conçu de sorte que les clés cryptographiques ne soient connues que des appareils des participants à la réunion. Ainsi, les tiers, y compris Zoom, n’ont pas accès aux clés privées de la réunion.

En outre, Zoom a introduit le chiffrement de bout en bout post-quantique (PQ E2EE) pour Zoom Workplace, en particulier pour la prise en charge de Zoom Meetings, Zoom Phone et Zoom Rooms. Le lancement de cette nouvelle amélioration de sécurité fait de Zoom la première entreprise de Communications unifiées en tant que service (UCaaS) à proposer une solution E2EE post-quantique pour la visioconférence. Le chiffrement de bout en bout post-quantique (PQ E2EE) offre la même propriété de sécurité que le chiffrement de bout en bout (E2EE) : seuls les participants à la réunion, et pas même le serveur de Zoom, ont accès aux clés utilisées pour chiffrer la réunion. Contrairement au chiffrement de bout en bout, le PQ E2EE est conçu pour résister à la menace d’un adversaire capable de capturer le trafic réseau chiffré et qui espère obtenir un ordinateur quantique à l’avenir pour l’utiliser afin de déchiffrer les données capturées.

Les clients intéressés par ces fonctionnalités de chiffrement supplémentaires peuvent activer E2EE. Cependant, il existe des prérequis et des limitations à prendre en compte.

Exigences client: E2EE exige que tous les participants à la réunion se joignent depuis l’application de bureau Zoom Workplace, l’application mobile ou une Zoom Room.

Limitations des fonctionnalités: L’activation d’E2EE est incompatible avec certaines fonctionnalités, notamment :

• Enregistrement cloud pour Zoom Meetings

• Enregistrement automatique des appels pour Zoom Phone

• Fonctionnalités d’AI Companion

• Chat de réunion continu

• Fonctionnalités supplémentaires répertoriées dans notre documentation d’assistance

Consultez nos articles d’assistance pour Zoom Phone et Zoom Meetings pour connaître tous les détails concernant les limitations, les dépendances et la mise en œuvre.

Options de chiffrement au niveau du client pour renforcer la sécurité de Zoom Chat

Zoom Chat propose plusieurs options de chiffrement au-delà du chiffrement standard, chacune conçue pour répondre à différents besoins de sécurité et structures organisationnelles.

Chiffrement standard du chat (par défaut)

Par défaut, Zoom chiffre les messages de chat en transit avec TLS et au repos avec le chiffrement AES-256 à l’aide de clés gérées par Zoom. Cela fournit une sécurité de base pour la plupart des besoins organisationnels.

Chiffrement avancé du chat (ACE)

ACE utilise des clés générées et stockées sur l’appareil pour chiffrer les messages entre les participants au chat, avec une protection TLS supplémentaire en transit. Les clés sont générées et utilisées sur les appareils des participants au chat, offrant une confidentialité renforcée mais limitant les fonctionnalités lorsque les participants ne sont pas connectés simultanément.

Chiffrement avancé du chat avec CMK (ACCE)

ACCE utilise des clés gérées par le client via le service CMK de Zoom, mais les clés sont générées et sécurisées dans le cloud Zoom. Cette option offre au client le contrôle des clés tout en conservant une meilleure compatibilité inter-comptes que les solutions basées sur l’appareil.

Chiffrement du chat CMK Hybrid côté client (CSE)

CSE utilise des clés gérées par le client, générées et stockées sur site via l’infrastructure CMK Hybrid. Cela offre le plus haut niveau de contrôle client sur les clés de chiffrement, puisqu’elles ne résident jamais dans l’environnement cloud de Zoom.

Principales différences

• ACE: Clés générées sur l’appareil, messagerie au sein d’un même compte uniquement

• ACCE: Clés du client dans le cloud Zoom, fonctionne entre les comptes

• CSE: Clés du client sur site, messagerie au sein d’un même compte avec repli sur ACCE pour les communications externes

Exigences

• ACE: Comptes payants, activation par l’administrateur

• ACCE: Licence Zoom Enterprise Plus (ou supérieure) ou module d’extension CMK

• CSE: Licences Zoom Enterprise Plus ou CMK Hybrid (avec un minimum de deux licences CMK Hybrid et deux serveurs pour la tolérance aux pannes)

Limitations importantes

Toutes les options de chiffrement avancé limitent les fonctionnalités du chat, notamment :

• Fonctionnalités d’AI Companion

• Modification et traduction des messages

• GIF animés et aperçus de liens

• Archivage des messages avec des fournisseurs tiers

• Intégration continue du chat en réunion

Notes sur la disponibilité

• CSE n’est disponible que pour les clients CMK Hybrid disposant d’une infrastructure de gestion des clés sur site

• ACCE sert de protocole de repli pour les comptes activés avec CSE lors des communications avec des contacts externes

• Les organisations doivent évaluer si la sécurité renforcée justifie les limitations fonctionnelles, car le chiffrement standard peut déjà suffire à prendre en charge les cadres de conformité réglementaire

Un processus de connexion sécurisé prend en charge l’attribution régionale des serveurs et la conformité des données

Que vous utilisiez l’application Zoom Workplace, rejoigniez des réunions ou accédiez au portail Web Zoom via votre navigateur, les réunions Zoom sont conçues pour chiffrer les données client en transit à l’aide de méthodes fiables lors des communications avec le portail Web Zoom ou les services de la plateforme Zoom Cloud. Cela inclut le processus de connexion ainsi que les médias en temps réel en transit (vidéo, audio et contenu partagé en réunion).

Lorsqu’un utilisateur lance une réunion Zoom ou un appel Zoom Phone :

1. L’application Zoom Workplace contacte d’abord le service de recherche global de Zoom à l’aide du chiffrement TLS 1.2 ou TLS 1.3.

2. Les métadonnées de recherche, y compris la géolocalisation IP et les informations sur l’appareil, sont envoyées via HTTPS (port 443) avec un chiffrement TLS 1.2 ou supérieur.

3. En fonction de l’emplacement et de la disponibilité, l’application est dirigée vers le Zoom Zone Controller optimal et le nœud multimédia régional.

4. L’application Zoom Workplace teste la connectivité à chaque nœud et établit des sessions multimédias chiffrées (vidéo, audio, contenu) via :

   1. UDP (préféré, port 8801) avec chiffrement AES-256-GCM

   2. TCP (repli, port 8801) avec chiffrement AES-256-GCM

   3. TCP (repli secondaire, port 443) avec chiffrement TLS 1.2 ou TLS 1.3

Vous trouverez davantage de détails sur la conception du chiffrement de Zoom, qui utilise des méthodes de chiffrement standard du secteur pour les données en transit et au repos, dans notre Livre blanc sur le chiffrement Zoom. Pour la validation des pratiques de sécurité de Zoom, veuillez consulter nos attestations et certifications disponibles en visitant notre Zoom Trust Center.