La Cloud Security Alliance (CSA) et le Programme STAR

À l’ère du numérique, le cloud computing s’impose comme un pilier essentiel de la transformation digitale des entreprises. Toutefois, cette évolution s’accompagne de nouveaux défis, notamment en matière de sécurité, de conformité et de gestion des risques.

Face à ces enjeux, des organisations comme la Cloud Security Alliance (CSA) jouent un rôle clé en proposant des cadres de référence adaptés. Parmi eux, le programme STAR (Security, Trust & Assurance Registry) se distingue comme un standard de transparence et de confiance pour évaluer la sécurité des services cloud.

Dans cet article, nous allons explorer le rôle de la CSA, comprendre le fonctionnement du programme STAR, et analyser en quoi ces normes contribuent à renforcer la sécurité et la conformité dans les environnements cloud.

01 | Introduction & Contexte

La Cloud Security Alliance (CSA) est une organisation à but non lucratif, reconnue mondialement comme l’une des références en matière de sécurisation du cloud computing.

Son objectif principal est de promouvoir l’utilisation de bonnes pratiques pour fournir une assurance de sécurité dans le cloud, en sensibilisant et en éduquant la communauté à ces enjeux.

La CSA est notamment connue pour ses travaux de recherche, ses formations et ses programmes de certification qui font aujourd’hui autorité.

C’est dans ce cadre qu’a été créé le programme STAR (Security, Trust, Assurance & Risk).

STAR est un programme complet d’enregistrement et de certification qui permet aux fournisseurs de services cloud (CSP) de démontrer de manière transparente leur posture de sécurité à leurs clients et prospects.

Le problème de l’évaluation de la sécurité dans le cloud

Avant l’existence d’un cadre commun comme STAR, évaluer la sécurité d’un fournisseur cloud relevait souvent du parcours du combattant pour les entreprises clientes.

Les difficultés rencontrées étaient principalement les suivantes :

• Opacité des fournisseurs : les CSP ne divulgaient pas volontairement leurs pratiques de sécurité interne, ce qui rendait toute évaluation indépendante difficile.
• Multiplicité des questionnaires : chaque client souhaitant évaluer un même fournisseur élaborait son propre questionnaire de sécurité. Cela générait une lourdeur administrative redondante pour le fournisseur, qui devait répondre à des centaines de questionnaires différents.
• Absence de standard : il n’existait aucun référentiel commun, aucune grille de lecture unique permettant de comparer objectivement la sécurité de différents fournisseurs cloud entre eux.

C’est face à ces constats que la CSA a conçu le programme STAR. Son ambition est d’instaurer un cadre de confiance standardisé, basé sur la transparence et l’audit rigoureux, afin de répondre à la question fondamentale de tout client cloud : « Mes données sont-elles en sécurité chez ce fournisseur ? ».

Page officielle de la CSA sur le programme STAR – https://cloudsecurityalliance.org/

02 | Le socle : La Cloud Controls Matrix (CCM)

La Cloud Controls Matrix (CCM) est le socle technique du programme STAR. Il s’agit d’un référentiel de contrôles de cybersécurité spécialement conçu pour le cloud computing.

La CCM est reconnue comme le standard de facto pour l’assurance de sécurité dans le cloud, car elle couvre l’intégralité des aspects de la technologie cloud.

Elle permet une évaluation systématique d’une implémentation cloud et sert de guide pour savoir quels contrôles de sécurité doivent être mis en œuvre par quel acteur au sein de la chaîne d’approvisionnement cloud.

La CCM est d’ailleurs alignée sur le Security Guidance for Cloud Computing de la CSA, qui est une publication de référence dans le domaine.

Structure : 17 domaines et 197 contrôles

La CCM s’articule autour de 17 domaines de contrôle, qui couvrent l’ensemble des préoccupations de sécurité dans le cloud. Ces 17 domaines sont eux-mêmes déclinés en 197 objectifs de contrôle.

Parmi ces domaines, on retrouve par exemple :

• La gouvernance et la gestion des risques
• La sécurité du réseau et des endpoints
• Le chiffrement et la gestion des clés cryptographiques
• La gestion des identités et des accès (IAM)
• La réponse aux incidents
• La sécurité des applications et des interfaces (API)
• La gestion des vulnérabilités, etc.

Cette structure en domaines permet d’avoir une vision exhaustive et structurée des exigences de sécurité cloud.

Un des grands avantages de la CCM est sa capacité à être mappée (c’est-à-dire mise en correspondance) avec d’autres normes et réglementations reconnues internationalement.

Ainsi, la CCM n’est pas un référentiel isolé ; elle peut être alignée avec des standards comme ISO/IEC 27001, NIST CSF, SOC 2 ou encore le RGPD.

Pour les organisations, cela signifie qu’en se conformant à la CCM, elles satisfont simultanément à de nombreuses exigences issues de différents cadres, évitant ainsi de « réinventer la roue ».

Page officielle de la CCM – https://cloudsecurityalliance.org/research/cloud-controls-matrix/

03 | Les 3 niveaux de la pyramide STAR

Niveau 1 – Auto-évaluation

• Le fournisseur remplit le questionnaire CAIQ (283 questions).
• Gratuit, mais sans audit externe.
• Option payante Valid‑AI‑ted (score généré par une IA).

Niveau 2 – Audit tiers

• Certification ISO 27001 + CCM ou attestation SOC 2 + CCM.
• Preuve vérifiable de conformité.
• Adopté par AWS, Azure, Google Cloud.

Niveau 3 – Surveillance continue

• Monitoring automatisé en temps réel.
• Très rare.
• Idéal pour secteurs ultra‑réglementés (finance, santé).

Le registre public CSA STAR – Transparence et confiance pour le cloud

Le registre CSA STAR est une base de données publique, gratuite et en ligne, gérée par la Cloud Security Alliance (CSA). Lancé en 2011, il référence aujourd’hui plus de 2 000 fournisseurs cloud (AWS, Azure, Google Cloud, etc.). Sa version actuelle est la v4.1 (janvier 2026).

Ce qu’on trouve dans une fiche fournisseur:

• Le CAIQ (Consensus Assessments Initiative Questionnaire) : un questionnaire standardisé basé sur la Cloud Controls Matrix (CCM).
• La portée de l’évaluation (services et régions concernés).
• Les rapports d’audit (pour les fournisseurs ayant fait auditer leur sécurité par un tiers).
• Les conformités additionnelles (EU Cloud CoC, certifications ISO, PCI DSS, etc.).

Comment naviguer dans le registre

• Une barre de recherche pour trouver un fournisseur par son nom.
• Des filtres : type d’évaluation, EU Cloud CoC (conformité RGPD), Valid‑AI‑ted (badge IA), date d’inscription
• Possibilité de télécharger directement le CAIQ et les rapports d’audit.

Bénéfices pour les clients (entreprises)

• Comparabilité : tous les fournisseurs répondent au même questionnaire.
• Gain de temps : la due diligence passe de plusieurs semaines à quelques heures.
• Réduction des coûts : moins de ressources internes mobilisées.
• Preuve pour les auditeurs : documentation officielle pour justifier le choix d’un fournisseur.
• Confiance juridique : les engagements publics du fournisseur dans le registre sont opposables.

Bénéfices pour les fournisseurs cloud

• Réduction des questionnaires redondants : un seul CAIQ remplace des centaines de demandes personnalisées.
• Visibilité mondiale : le registre est consulté par des milliers d’acheteurs.
• Différenciation commerciale : argument de vente fort face à la concurrence.
• Amélioration continue : le CAIQ aide à identifier ses propres faiblesses.
• Vitrine de conformité : affichage clair des normes respectées.

Évolutions récentes (2025-2026)

• Version v4.1 : 207 contrôles CCM (contre 197), 283 questions CAIQ, obligatoire en janvier 2028.
• Valid‑AI‑ted : option payante (595 USD) où une IA analyse le CAIQ et attribue un score (0 à 100) – un badge apparaît dans le registre.
• STAR for AI : extension dédiée aux services d’intelligence artificielle (basée sur l’AI Controls Matrix).
• EU Cloud CoC : label RGPD intégré directement dans les fiches.

Cas d’usage concrets

• Banque / Finance : filtrer sur « EU Cloud CoC » pour répondre aux exigences des régulateurs (DORA, Bâle III).
• Santé (USA) : rechercher des fournisseurs avec attestation SOC 2 (souvent alignée HIPAA).
• Startup SaaS : s’inscrire gratuitement (CAIQ) pour rassurer les premiers clients.
• Achat de logiciels : vérifier la présence dans le registre comme critère de sélection.

Points de vigilance

• L’absence dans le registre n’est pas illégale (démarche volontaire).
• Le registre ne remplace pas un contrat juridique.
• Les réponses CAIQ (sans audit) reposent sur la bonne foi du fournisseur.
• Tous les fournisseurs ne sont pas encore référencés.

Lien direct: https://cloudsecurityalliance.org/star/registry/

Lien direct : https://cloudsecurityalliance.org/star/registry/

Les principales normes de sécurité cloud à connaître 

ISO 27001 : elle concerne le management de la sécurité de l’information (SMSI). Cette norme est certifiable (oui).

ISO 27017 : elle se concentre sur les contrôles spécifiques au cloud, notamment la clarification de la responsabilité partagée entre fournisseur et client. Elle n’est pas certifiable de manière indépendante, mais peut être mise en œuvre via une certification ISO 27001.

ISO 27018 : elle porte sur la protection des données personnelles (PII) dans le cloud public. Elle n’est pas non plus certifiable seule, mais s’appuie sur l’ISO 27001.

ISO 27701: c’est la norme pour le management de la vie privée (PIMS), alignée sur le RGPD. Depuis 2025, elle est devenue certifiable de façon autonome (oui, sans obligatoirement posséder l’ISO 27001).

SOC 2 Type 2: il s’agit d’une attestation (principalement aux États-Unis) basée sur cinq critères de confiance (sécurité, disponibilité, intégrité, confidentialité, vie privée). C’est une attestation, pas une certification ISO.

NIST CSF 2.0: c’est un cadre de gestion des risques cyber développé par le NIST (États-Unis). Il ne s’agit pas d’une certification, mais d’un framework.

FedRAMP: c’est un programme obligatoire pour tout fournisseur cloud souhaitant vendre ses services au gouvernement américain. Il est certifiable (oui).

EUCS (European Union Cybersecurity Certification Scheme for Cloud Services) : c’est un futur schéma de certification européen volontaire, avec trois niveaux d’assurance (Basic, Substantial, High). Sa certification est prévue comme « oui » mais le schéma est encore en cours de finalisation (à venir).

PCI DSS: c’est la norme de sécurité pour les données de paiement par carte bancaire. Elle est certifiable (oui).

HIPAA : c’est la réglementation américaine pour la protection des données de santé. Ce n’est pas une certification à proprement parler, mais une réglementation (avec des obligations de conformité).

Le registre CSA STAR est bien plus qu’un simple annuaire : c’est l’outil de transparence qui change la donne dans l’évaluation des fournisseurs cloud. Avant son existence, comparer la sécurité entre deux prestataires relevait du parcours du combattant.

Aujourd’hui, en quelques clics, vous pouvez consulter leurs déclarations, leurs audits et leurs labels de conformité.

Que vous soyez une petite startup ou une grande entreprise régulée, ce registre vous fait gagner du temps, réduit vos coûts et vous apporte une confiance documentée.

Alors n’attendez plus : avant de signer votre prochain contrat cloud, vérifiez d’abord la fiche de votre fournisseur sur le registre STAR.