Architecture multi-centres de données de nouvelle génération pour un nuage gouvernemental souverain, résilient et à l'épreuve du quantique au Canada

Constat clé : La fragmentation chiffrée sur plusieurs sites ultra-sécurisés de niveau IV modifie entièrement le calcul des risques — un adversaire ne peut plus « s'emparer des joyaux de la couronne » en frappant une seule cible, et la perte d'un emplacement ne peut pas détruire les données car des fragments existent ailleurs. Combinée à la cryptographie post-quantique déployée dès le départ, même un attaquant doté de capacités quantiques est confronté à un défi presque insurmontable.

Vision et exigences pour une architecture de niveau défense

La conception d'une architecture multi-centres de données pour les données du gouvernement et de la défense du Canada exige un équilibre entre une résilience extrême, une sécurité avancée (chiffrement post-quantique) et la souveraineté des données. La solution envisagée fonctionne à grande échelle sans contraintes budgétaires ou techniques particulières, visant des capacités de premier ordre. Les exigences clés comprennent :

• Centres de données de niveau IV géographiquement distribués. Plusieurs installations de niveau IV à travers le Canada (en Colombie-Britannique, en Alberta, en Ontario, au Québec et en Nouvelle-Écosse) pour éliminer les points de défaillance uniques et assurer des opérations continues. Les centres de niveau IV disposent de systèmes d'alimentation et de refroidissement indépendants et physiquement isolés, offrant une tolérance aux pannes complète de sorte que même si l'équipement tombe en panne ou si un chemin de distribution est interrompu, les opérations informatiques restent inchangées. Ce niveau de conception garantit aucune interruption due à des événements imprévus, s'alignant sur les besoins de la défense en matière de disponibilité constante.

• Souveraineté et résidence des données. Toutes les infrastructures et données résident sur le sol canadien, sous juridiction canadienne, pour affirmer la souveraineté numérique. Même en tirant parti de la technologie des hyperscalers (par exemple, Google Cloud), la solution garantit que les données restent à l'intérieur des frontières du Canada et sous contrôle canadien en tout temps. Ceci est essentiel pour la conformité des données gouvernementales et de défense.

• Intégration des actifs d'hyperscalers et privés. Un modèle hybride combinant l'infrastructure infonuagique de pointe de Google avec des centres de données appartenant au gouvernement et à des entités privées. Le rôle de Google est de fournir la technologie (telle que la gestion avancée du cloud et la mise en réseau) dans un déploiement de cloud souverain, sans être propriétaire des données. Par exemple, Google Distributed Cloud Hosted — une offre de cloud privé isolée (air-gapped) — peut être déployée pour répondre aux exigences strictes de résidence et de sécurité du secteur public. Le gouvernement et des partenaires privés canadiens de confiance seraient propriétaires des sites physiques, assurant un contrôle clair sur les installations.

• Sécurité avancée pour les données gouvernementales/de défense. L'architecture doit gérer les informations gouvernementales sensibles jusqu'aux niveaux classifiés (Protégé B, Secret et au-delà). Cela implique une sécurité physique robuste (sécurité armée, accès biométrique, blindage EMP/TEMPEST pour la défense, etc.) et une sécurité logique (segmentation du réseau par niveau de classification, principes d'accès Zero-Trust, surveillance continue). La cryptographie post-quantique (CPQ) est obligatoire pour protéger les secrets contre les futures menaces quantiques, et la fragmentation des données entre les sites est utilisée pour empêcher qu'une seule violation ne produise des informations utiles.

• Aucun compromis sur la performance et l'échelle. Malgré une sécurité élevée, le système doit offrir un débit élevé et une faible latence pour les applications critiques (y compris les systèmes de défense, le renseignement en temps réel et les simulations à grande échelle). La conception devrait tirer parti du vaste territoire canadien pour la résilience, tout en interconnectant les sites avec des liens dédiés à haute vitesse pour fonctionner comme un cloud national cohérent.

Ces exigences préparent le terrain pour une architecture innovante qui peut tirer parti de l'ensemble du territoire national du Canada, offrant des services ultra-résilients et sécurisés aux utilisateurs gouvernementaux et de la défense.

Empreinte nationale et souveraineté des données canadiennes

La distribution des centres de données dans cinq provinces (C.-B., Alb., Ont., Qc, N.-É.) offre une géodiversité qui améliore la résilience et souligne la souveraineté. Chaque site sert de nœud dans un réseau d'infrastructure pancanadien, tirant parti de la vaste géographie du pays :

• Séparation géographique pour la résilience. Les provinces choisies s'étendent de la côte Ouest à la côte Est. Cela garantit qu'une catastrophe régionale ou une panne (catastrophe naturelle, panne de réseau électrique, etc.) dans une zone n'affectera pas tous les sites. Par exemple, un tremblement de terre majeur sur la côte Ouest (C.-B.) ne mettrait pas hors service les installations du Centre ou de l'Est du Canada. En ayant plusieurs régions largement séparées, l'architecture peut résister même à des perturbations régionales à grande échelle — un facteur critique pour la préparation à la défense nationale.

• Distribution provinciale. L'implantation de centres dans plusieurs provinces répartit également les avantages économiques et opérationnels à travers le Canada. Elle tire parti des forces régionales — par exemple, l'abondante énergie hydroélectrique et le climat froid du Québec (pour un refroidissement efficace), ou les grands espaces de l'Alberta et son potentiel de production d'énergie sur site. Chaque site peut être optimisé pour les conditions locales tout en adhérant à une norme élevée commune (niveau IV).

• Résidence des données et contrôle juridique. Toutes les données restent sur le territoire canadien. Même si la technologie des hyperscalers est utilisée, la pile cloud est exécutée dans le pays. Cela atténue les risques liés aux assignations à comparaître étrangères ou aux ordonnances extraterritoriales — démontrant aux parties prenantes (et aux citoyens) que les données sensibles (par exemple, les données personnelles des citoyens, les informations de défense classifiées) sont soumises aux lois et au contrôle canadiens. L'architecture peut également se conformer aux normes de sécurité du gouvernement canadien (par exemple, PBMM pour les informations non classifiées et mesures renforcées pour le Secret) ainsi qu'aux normes mondiales comme SOC 2 ou ISO 27001 pour les meilleures pratiques.

• Cloud souverain avec technologie d'hyperscaler. Une approche innovante consiste à déployer une solution de cloud souverain en partenariat avec Google. En pratique, cela signifie exécuter les services cloud de Google sur le sol canadien — par exemple, déployer Google Distributed Cloud Hosted (GDCH) dans ces centres de données. GDCH est la plateforme de cloud entièrement isolée (air-gapped) de Google conçue pour les gouvernements, qui fournit des capacités cloud (calcul, stockage, analyse, IA) sans nécessiter de connexion au cloud public de Google et en respectant les normes de sécurité les plus élevées. En utilisant un tel modèle, le Canada peut bénéficier de la technologie et de l'évolutivité des hyperscalers tout en garantissant que le cloud est contrôlé par les autorités canadiennes (avec des administrateurs canadiens détenant les clés de chiffrement et gérant l'accès). Cela répond à l'exigence de souveraineté et permet de combiner des sites exploités par le gouvernement et des installations du secteur privé sous une gestion cloud unifiée.

En résumé, le déploiement national à travers plusieurs provinces offre non seulement une forte résilience, mais envoie également un message de sovereignty numérique — données et opérations ancrées au Canada. Le territoire canadien devient un atout, chaque centre de données agissant comme un bastion sécurisé contribuant à un cloud fédéré à la fois contrôlé nationalement et très robuste.

Résilience de niveau IV et redondance multi-sites

Au cœur de cette architecture se trouve une concentration intransigeante sur la résilience et la disponibilité, obtenue grâce à une ingénierie de niveau IV sur chaque site et à une redondance multi-site intelligente :

• Conception d'installations de niveau IV. Chaque centre de données est construit selon les normes de niveau IV — le niveau de fiabilité le plus élevé défini par l'Uptime Institute. Les centres de niveau IV disposent de plusieurs systèmes indépendants pour l'alimentation et le refroidissement, tous dotés d'une capacité redondante et de chemins de distribution. Une panne ou une maintenance sur un système n'interrompra pas les opérations car un système alternatif peut prendre entièrement la charge. Cela signifie que la maintenance planifiée peut avoir lieu sans aucune interruption de service, et même les pannes inattendues n'auront pas d'impact sur les services. Tous les équipements informatiques critiques de ces centres utilisent des alimentations électriques doubles, un refroidissement continu et des liens réseau tolérants aux pannes, garantissant que l'environnement reste stable 24h/24 et 7j/7. Pour les applications de défense, ce niveau de tolérance aux pannes est indispensable — les systèmes critiques restent en ligne face aux défaillances de composants ou aux problèmes d'infrastructure.

• Appariement haute disponibilité. Pour renforcer davantage la disponibilité, l'architecture peut organiser les centres de données en paires logiques au sein des régions. Ce concept, inspiré de l'architecture de référence du gouvernement du Canada, signifie que deux installations proches (par exemple, en Ontario et au Québec, ou en C.-B. et en Alberta) fonctionnent comme une paire synchrone à haute disponibilité. Au sein de chaque paire, les données critiques sont répliquées en temps réel sur fibre optique à haute vitesse, permettant un basculement instantané si un site tombe en panne. La réplication synchrone garantit aucune perte de données lors du basculement, puisque les écritures sont validées simultanément sur les deux sites. Les contraintes de latence pratiques signifient que les sites appariés doivent se trouver à une certaine distance — probablement au sein de la même région — pour permettre la réplication en temps réel. Ainsi, par exemple, une paire Ontario–Québec pourrait gérer un basculement HA immédiat pour le Canada central, tandis qu'une paire C.-B.–Alberta ferait de même dans l'Ouest. Si un centre de données de la paire subit une panne, le trafic et les charges de travail basculent automatiquement vers son jumeau avec une perturbation négligeable.

• Reprise après sinistre géodiversifiée. Au-delà de l'appariement intra-régional, l'architecture offre une reprise après sinistre (DR) multi-régions. Les sites sont répartis de manière à ce qu'au moins un site (ou une paire) se trouve dans une région géographique différente, agissant comme une sauvegarde DR pour un autre. Par exemple, la paire Ontario/Québec et la paire C.-B./Alberta peuvent se sauvegarder mutuellement, et la Nouvelle-Écosse (Côte Est) pourrait fournir un emplacement de récupération supplémentaire pour l'une ou l'autre. En cas de catastrophe régionale généralisée (par exemple, une panne massive du réseau électrique ou une catastrophe environnementale affectant toute une région), les données et les services peuvent être récupérés sur un site hors région. Cette approche reflète une stratégie où deux paires de sites de production sont largement séparées pour résister aux pannes régionales. La réplication des données entre les régions serait effectuée de manière asynchrone (pour éviter l'impact de la latence), mais avec des objectifs de point de récupération rapides pour minimiser la perte de données. Les utilisateurs et les opérations gouvernementales pourraient être redirigés vers les centres de données de la région non affectée et continuer à fonctionner — une capacité essentielle pour la continuité du gouvernement et le commandement et contrôle militaire pendant les crises.

• Automatisation sans personnel. Toutes les installations fonctionnent en mode "sans personnel", ce qui signifie qu'une présence humaine minimale est nécessaire sur place pour les opérations quotidiennes. La gestion à distance, l'automatisation et la robotique gèrent les tâches de routine. L'intervention humaine sur site est limitée aux fenêtres de maintenance pré-approuvées. Cela réduit le risque d'erreur humaine et de menaces internes, et dans un contexte de défense, cela permet aux centres de données d'être situés dans des emplacements sécurisés ou même éloignés sans personnel nombreux. Chaque site disposerait de systèmes de surveillance avancés pour la santé de l'environnement et des équipements, avec une maintenance prédictive basée sur l'IA pour résoudre les problèmes avant qu'ils ne conduisent à une panne. Cette automatisation opérationnelle contribue également à la résilience, car les réponses aux incidents (comme le basculement vers des systèmes de sauvegarde ou le réacheminement du réseau) peuvent se produire en quelques secondes sous le contrôle logiciel.

• Résilience du réseau. Le réseau interconnectant ces centres de données est tout aussi critique. L'architecture utilise un réseau de fibre optique dédié à haute bande passante à travers le Canada, utilisant potentiellement plusieurs fournisseurs et chemins pour la redondance (par exemple, des routes diverses traversant différents terrains pour éviter un point de défaillance unique comme une coupure dans une ligne de fibre). Tous les liens inter-sites sont chiffrés de bout en bout. Le chiffrement résistant aux attaques quantiques (discuté plus loin) protège les données en transit entre les sites, garantissant que même le réseau dorsal ne peut pas être un point d'écoute par des adversaires avancés. De plus, les conceptions de réseau comme le réseau défini par logiciel (SDN) et le routage dynamique permettent de rediriger instantanément le trafic autour de toute panne de segment, maintenant ainsi la communication inter-centres de données intacte.

En effet, chaque site est conçu pour ne jamais être hors ligne, et l'ensemble des sites ajoute des couches de redondance à l'échelle nationale. Cette résilience multi-niveaux — au niveau des composants, des sites et régional — garantit que le système peut répondre aux exigences extrêmes de disponibilité de la défense (où l'indisponibilité des systèmes critiques est inacceptable). En combinant la robustesse de niveau IV avec un basculement géographique intelligent, l'architecture offre une résilience contre les défaillances localisées et les catastrophes généralisées, maintenant ainsi un service ininterrompu pour les missions gouvernementales et militaires.

Stockage de données fragmentées sur plusieurs sites pour la sécurité et la continuité

La fragmentation des données est une pierre angulaire de la stratégie de cette architecture pour protéger les données sensibles et renforcer la résilience. Au lieu de stocker des ensembles de données complets dans un seul emplacement, l'information est divisée en fragments chiffrés et distribuée entre les multiples centres de données :

• Division des données en fragments chiffrés. À l'aide d'algorithmes avancés, chaque élément de données (ou base de données) est divisé en plusieurs fragments, qui sont ensuite chiffrés et stockés sur différents sites. Aucun centre de données ne détient jamais un enregistrement complet sous une forme lisible par l'homme. Par exemple, une base de données sécurisée pourrait être divisée en 5 fragments chiffrés, avec des morceaux répartis entre les installations de la C.-B., de l'Alberta, de l'Ontario, du Québec et de la Nouvelle-Écosse. Chaque fragment est inintelligible en soi sans les autres et les clés de chiffrement.

• Avantages en matière de sécurité — résilience aux brèches. Cette fragmentation élève considérablement la barre pour les attaquants. Même si un adversaire sophistiqué franchit les défenses d'une installation, il ne peut exfiltrer que des fragments de données insignifiants plutôt que des fichiers sensibles entiers. La compromission d'un site ne compromet pas les données, car un attaquant devrait violer plusieurs sites géographiquement séparés et obtenir les clés de déchiffrement pour reconstituer toute information utilisable. Cette approche « élimine les points de compromission uniques » et rend les cyberattaques beaucoup moins gratifiantes — inclinant essentiellement le terrain de jeu en faveur des défenseurs. Pour les données de défense (par exemple, renseignements, recherche classifiée), c'est essentiel : même une intrusion partielle ne produit rien de valeur, frustrant les tentatives d'espionnage.

• Avantages en matière de résilience et de continuité. La fragmentation contribue également à la résilience aux catastrophes. Dans le cas où un centre de données est détruit ou hors ligne (en raison d'une catastrophe naturelle ou d'une attaque), les données complètes peuvent être réassemblées à partir des fragments des sites restants, à condition qu'un quorum suffisant de fragments soit disponible. Des techniques telles que le codage d'effacement ou le partage de secret de Shamir peuvent être utilisées de sorte que le système n'ait besoin, par exemple, que de 3 fragments sur 5 pour reconstituer les données originales. Cela signifie que les opérations peuvent se poursuivre en extrayant des morceaux de données d'autres sites, assurant une continuité d'activité robuste. L'organisation peut rapidement récupérer les données des sites non affectés et maintenir les services en fonctionnement sans interruption. En pratique, si le site de la Nouvelle-Écosse tombait en panne, les fragments des quatre autres provinces suffiraient à restaurer entièrement les ensembles de données.

• Confidentialité et conformité. En ne concentrant pas des ensembles de données complets dans une seule juridiction, l'approche de stockage fragmenté améliore intrinsèquement la conformité aux réglementations sur la protection des données. Bien que tous les sites soient au Canada (une seule juridiction), la fragmentation minimise l'exposition des données d'un individu à un seul endroit. Elle s'aligne également sur des principes de confidentialité stricts — même les initiés d'un centre de données ne peuvent lire les données sans accès à tous les fragments et clés, protégeant ainsi les informations des citoyens et les secrets de la défense. Cette architecture pourrait aider à satisfaire ou dépasser les exigences de lois comme le RGPD ou les propres lois canadiennes sur la protection de la vie privée, par conception. Elle met essentiellement en œuvre le principe du moindre privilège au niveau du stockage des données.

• Alignement avec les modèles Zero Trust et natifs du cloud. Le stockage fragmenté multi-sites complète naturellement un modèle de sécurité Zero Trust. Zero Trust suppose que des brèches peuvent survenir et limite donc la confiance même au sein du réseau — de même, la fragmentation suppose qu'aucun emplacement unique ne devrait être intrinsèquement digne de confiance avec toutes les données. Elle s'adapte également aux architectures natives du cloud et de microservices, où les données peuvent être fragmentées et distribuées par conception. À mesure que les organisations s'étendent vers l'informatique en périphérie (edge computing), avoir des données fragmentées signifie que les sites périphériques peuvent mettre en cache ou détenir des morceaux sans risque, et le cloud central peut les recombiner au besoin. L'effet net est une fondation de stockage pérenne, résiliente et sécurisée par défaut.

• Considérations de mise en œuvre. Le déploiement du stockage fragmenté nécessite une orchestration minutieuse. Le système comprendra une couche de gestion de données intelligente qui gérera le fractionnement des données, la distribution des fragments et le réassemblage à la volée lors des requêtes ou des transactions. Des protocoles de basculement automatisés garantissent que si un fragment ou un site est indisponible, le système récupère des fragments alternatifs ailleurs. Un chiffrement fort (idéalement résistant aux attaques quantiques, comme abordé ci-dessous) est appliqué à chaque fragment, et la gestion des clés doit être robuste (les clés étant probablement également divisées et stockées séparément). L'architecture s'appuierait sur des partenaires d'infrastructure capables de fournir des installations de niveau III/IV géographiquement distribuées avec chiffrement de bout en bout et algorithmes de fragmentation avancés intégrés — une approche que certains fournisseurs mondiaux de premier plan adoptent déjà comme stratégie de cybersécurité.

Dans l'ensemble, la fragmentation chiffrée à travers plusieurs sites ultra-sécurisés transforme la manière dont les données sont sécurisées. Elle modifie le calcul des risques : un adversaire ne peut plus « s'emparer des joyaux de la couronne » en frappant une seule cible, et les temps d'arrêt du système ne peuvent pas détruire les données car des morceaux existent ailleurs. Pour un cloud axé sur la défense, cette stratégie change la donne, garantissant que les données gouvernementales sensibles restent confidentielles et disponibles, même en cas d'attaques sophistiquées ou de défaillances catastrophiques.

Chiffrement post-quantique et mesures de sécurité

Pour pérenniser l'architecture face aux menaces émergentes, en particulier l'avènement de l'informatique quantique, la cryptographie post-quantique (CPQ) est intégrée à tous les niveaux. Les données de sécurité nationale et de défense nécessitent une protection non seulement contre les pirates d'aujourd'hui, mais aussi contre les adversaires quantiques de demain :

• La menace quantique. Les ordinateurs quantiques en développement pourraient éventuellement briser les algorithmes cryptographiques largement utilisés (comme RSA et ECC), mettant en péril tout, des transactions bancaires aux communications militaires. En prévision de cela, le NIST (Institut national des normes et de la technologie des États-Unis) a finalisé de nouveaux algorithmes de chiffrement spécifiquement conçus pour résister aux attaques quantiques. Une transition précoce est essentielle, car les adversaires pourraient collecter des données chiffrées maintenant pour les déchiffrer plus tard lorsque les capacités quantiques deviendront disponibles — une stratégie de « collecter maintenant, déchiffrer plus tard ». Les agences gouvernementales sont parfaitement conscientes que les données sensibles interceptées aujourd'hui pourraient être compromises à l'avenir, elles doivent donc agir maintenant pour déployer des protections résistantes aux attaques quantiques.

• Algorithmes cryptographiques post-quantiques. L'architecture adoptera les algorithmes CPQ standardisés par le NIST pour tous les besoins de chiffrement. Par exemple, les données au repos et les clés de fragmentation pourront utiliser l'algorithme CRYSTALS-Kyber (un mécanisme d'encapsulation de clé basé sur les réseaux, désormais standardisé par le NIST) pour chiffrer les clés symétriques, et les signatures numériques pourront utiliser des schémas comme CRYSTALS-Dilithium ou SPHINCS+ (pour la signature de code, l'authentification des utilisateurs, etc.). Ces algorithmes sont basés sur des problèmes mathématiques considérés comme résistants aux attaques quantiques (problèmes de réseaux, basés sur des fonctions de hachage, etc.), protégeant ainsi les données canadiennes chiffrées même contre les ordinateurs quantiques. En implémentant la CPQ dans le stockage, les bases de données et toutes les communications réseau, le système garantit qu'un attaquant disposant d'un ordinateur quantique à l'avenir ne pourra toujours pas déchiffrer les données historiques ou interceptées.

• Interconnexions de centres de données résistantes aux attaques quantiques. L'inter-réseau des centres de données (reliant les sites de la C.-B., de l'Alb., de l'Ont., du Qc et de la N.-É.) sera protégé par un chiffrement résistant aux attaques quantiques pour les données en transit. Cela comprend la mise à niveau des RPV ou des liens privés pour utiliser l'échange de clés basé sur la CQP (par exemple, des tunnels IPsec hybrides qui combinent des clés classiques et post-quantiques). Des solutions industrielles existent déjà — par exemple, Juniper Networks propose l'IPsec résistant aux attaques quantiques et le MACsec pour les interconnexions de centres de données, qui fusionnent le matériel de clé résistant aux attaques quantiques avec des clés traditionnelles pour verrouiller doublement le trafic. L'adoption de telles techniques signifie que même si quelqu'un intercepte les communications par fibre optique entre les sites, il ne pourra pas les déchiffrer, ni maintenant ni à l'avenir. De plus, les liens internes critiques pourraient utiliser du matériel prenant en charge la distribution de clés quantiques (DCQ) — une méthode avancée où les clés de chiffrement sont transmises via des photons quantiques, rendant l'espionnage détectable. En tirant parti de la DCQ parallèlement aux algorithmes post-quantiques, on peut obtenir une sécurité en couches où les clés sont livrées avec une sécurité quantique inconditionnelle et les données sont chiffrées avec des algorithmes résistants aux attaques quantiques. Ce type de solution cryptographique hybride garantit que même si un composant était compromis, les autres continuent de protéger l'information.

• Gestion sécurisée des clés et cryptographie agile. Toutes les clés de chiffrement, en particulier les nouvelles clés CQP (qui pourraient être plus grandes ou avoir des cycles de vie différents), sont gérées dans des systèmes de gestion de clés renforcés. Des modules de sécurité matériels (HSM) « prêts pour la CQP » seront déployés pour générer et stocker les clés en toute sécurité. Le système est conçu pour la cryptographie agile — ce qui signifie qu'il peut s'adapter à de nouveaux algorithmes ou remplacer rapidement des algorithmes si des vulnérabilités sont découvertes. Ceci est important étant donné que la CQP est un domaine émergent; si un algorithme choisi est ultérieurement affaibli, l'architecture peut déployer des correctifs ou passer à d'autres algorithmes approuvés avec un minimum de perturbations. Tous les logiciels et micrologiciels des centres de données (des dispositifs réseau aux bases de données) prendront en charge les tailles de clés plus longues et les différentes primitives de la CQP.

• Chiffrement de bout en bout et en cours d'utilisation. Au-delà de la protection des données au repos et en transit, l'architecture prend en compte les données en cours d'utilisation. Les charges de travail sensibles peuvent s'exécuter avec le chiffrement de la mémoire et des enclaves sécurisées afin que même si un attaquant accède à un serveur en cours d'exécution, les données restent chiffrées en mémoire (déchiffrées uniquement dans les zones sécurisées du processeur). Cela complète l'approche de confiance zéro : même au sein du centre de données, aucun processus n'est implicitement digne de confiance avec des données sensibles en texte clair, sauf autorisation. Pour les charges de travail de défense, des technologies comme l'informatique confidentielle garantissent que même les administrateurs de cloud ou les intrus ne peuvent pas espionner l'exécution de code sensible. Les algorithmes post-quantiques sont intégrés à ces processus d'attestation et de chiffrement d'enclave à mesure qu'ils mûrissent.

• Mises à niveau et tests continus. Parce que le paysage des menaces évolue, l'architecture comprendrait un programme de modernisation cryptographique — suivant continuellement les avancées en informatique quantique et en cryptanalyse. Des tests d'intrusion réguliers et peut-être même l'invitation de chercheurs en quantique à tenter de pénétrer les protections PQ garantiront que toute faiblesse est détectée tôt. Le système suivrait également les directives des agences nationales de cybersécurité (comme le CST au Canada ou la CISA aux États-Unis) concernant la mise à jour des normes cryptographiques. À mesure que de nouvelles normes émergent (le NIST évalue toujours des algorithmes supplémentaires pour les signatures numériques et l'échange de clés au-delà de l'ensemble initial), la plateforme peut les intégrer. Cette approche proactive garantit que les données du gouvernement canadien restent sécurisées contre même les menaces computationnelles les plus puissantes de l'avenir.

En intégrant dès maintenant le chiffrement post-quantique, cette conception multi-centres de données est « sécurisée dès la conception » pour le long terme. Elle protège les informations vitales du gouvernement et de la défense non seulement contre les cybermenaces classiques, mais aussi contre la vague d'attaques à capacité quantique à venir. En combinaison avec la stratégie de fragmentation, même un attaquant doté de capacités quantiques fait face à une tâche ardue : il devrait intercepter plusieurs fragments chiffrés provenant de différents sites et briser un chiffrement avancé basé sur les réseaux ou les hachages — un défi presque insurmontable. Ce niveau de sécurité est aligné sur l'impératif stratégique de protéger les données de sécurité nationale au cours des prochaines décennies.

Intégration du cloud hybride avec la technologie Google

Une innovation notable dans cette architecture est le mélange de la technologie de cloud hyperscale (Google) avec l'infrastructure gouvernementale et privée pour créer un cloud souverain de niveau défense. L'objectif est de tirer parti du meilleur de la R&D de Google en matière de cloud (en évolutivité, automatisation, IA, etc.) tout en conservant une souveraineté et un contrôle complets :

• Google Distributed Cloud Hosted (GDCH). Au cœur de l'intégration se trouve la pile cloud isolée (air-gapped) de Google, déployée sur site au Canada. Google Distributed Cloud Hosted est spécifiquement conçu pour les charges de travail gouvernementales sensibles — il offre les mêmes capacités que Google Cloud (calcul, stockage, analyse, outils d'IA/ML, etc.) mais s'exécute dans des centres de données isolés sans nécessiter de connexion aux réseaux publics de Google. Cela signifie que le Canada peut exploiter une région cloud « propulsée par Google » sur son propre territoire, et même pour des données classifiées. En fait, le GDCH de Google a été autorisé à héberger des données top secrètes pour la communauté de la défense et du renseignement des États-Unis, soulignant son pedigree en matière de sécurité. Aux fins du Canada, des nœuds GDCH pourraient être installés sur chacun des principaux sites de centres de données. Ils fonctionneraient entièrement sous l'autorité canadienne (les administrateurs canadiens les gèrent, et aucun accès du personnel de Google n'est requis pour les opérations quotidiennes).

• Gestion unifiée avec Anthos. Pour gérer un environnement hybride multi-sites, la plateforme Anthos de Google peut être utilisée. Anthos est une plateforme de gestion de conteneurs et de services qui permet aux charges de travail de s'exécuter de manière cohérente entre les environnements sur site et cloud. Dans cette architecture, Anthos pourrait unifier l'orchestration sur les différents sites et même entre différents fournisseurs d'infrastructure. Par exemple, les applications gouvernementales pourraient être déployées en tant que services conteneurisés qu'Anthos planifie pour s'exécuter sur le site approprié en fonction de la latence, de la charge ou de la classification. Il fournit un plan de contrôle unique pour gérer tout à partir d'une seule console — simplifiant les opérations à travers un cloud distribué englobant la technologie Google et les composants non-Google.

• Débordement vers le nuage public (contrôlé). Bien que le mandat principal soit de conserver les données et les opérations au Canada, l'architecture pourrait permettre une interface contrôlée avec le nuage public de Google pour les charges de travail non sensibles ou la capacité de pointe. Par exemple, si un service gouvernemental destiné aux citoyens connaît une augmentation soudaine de son utilisation, il pourrait temporairement utiliser des ressources supplémentaires des régions canadiennes de Google Cloud (qui existent à Montréal et à Toronto). Cependant, toute interaction de ce type garantirait qu'aucune donnée sensible ne quitte le domaine souverain — peut-être en utilisant l'anonymisation ou le chiffrement côté client si des données sont exportées. La conception reste donc principalement souveraine, mais n'exclut pas de tirer parti de l'efficacité du nuage public pour des tâches appropriées. Elle offre également une voie pour la migration de systèmes moins critiques vers le nuage public tout en maintenant les systèmes critiques dans le nuage souverain privé.

• Intégration de haute sécurité. Le modèle hybride est construit avec des principes de zéro confiance et une forte isolation entre les composants fournis par l'hyperscaleur et le plan de gestion. GDCH de Google lui-même a été construit avec une "approche axée sur la sécurité, tirant parti de la zéro confiance et des dernières directives en matière de matériel, de logiciel et de cryptographie". Toutes les interfaces entre les plateformes fournies par Google et les systèmes gouvernementaux sont chiffrées (avec PQC comme indiqué) et authentifiées. Les charges de travail assurées (Assured Workloads) ou des cadres similaires garantissent que même si la technologie de Google est utilisée, toutes les interactions de support et de contrôle sont limitées au personnel habilité au Canada. Essentiellement, Google fournit la technologie mais pas le contrôle — le contrôle reste entre les mains du gouvernement canadien ou d'un opérateur canadien désigné. La souveraineté des données est en outre renforcée par la conservation des clés de chiffrement dans des HSM gérés au Canada (afin que Google ne puisse pas déchiffrer les données stockées) et par des mesures contractuelles et techniques rigoureuses qui empêchent l'accès aux données par des entités étrangères.

• Tirer parti de l'innovation de Google (IA/ML, mégadonnées). Un grand avantage d'inclure la pile technologique de Google est l'accès à des services avancés pour l'analyse de données, l'IA et l'apprentissage automatique, domaines dans lesquels Google excelle. La Défense et le gouvernement peuvent exploiter des outils comme les plateformes d'IA (au sein du nuage isolé) pour des tâches telles que l'analyse du renseignement, la détection des menaces de cybersécurité et l'optimisation opérationnelle. Étant donné que GDCH inclut des capacités d'apprentissage automatique et ne nécessite pas d'accès à Internet, les données sensibles (par exemple, images satellites, renseignement d'origine électromagnétique) peuvent être analysées avec les modèles d'IA de Google sur place. De plus, l'expertise de Google dans l'exploitation de centres de données efficaces (refroidissement, gestion de l'énergie) peut être intégrée aux opérations — potentiellement en utilisant des recommandations basées sur l'IA pour l'économie d'énergie ou l'optimisation matérielle que Google a développées pour ses propres centres.

• Collaboration avec des fournisseurs de centres de données privés. L'aspect "centres privés" signifie que l'architecture pourrait intégrer des installations de centres de données existantes ou nouvelles exploitées par des entreprises canadiennes (telles que des télécommunications ou des entreprises spécialisées dans les centres de données). Il pourrait s'agir d'installations de colocation de niveau IV qui répondent aux normes et peuvent héberger l'équipement de Google et le matériel gouvernemental. En s'associant au secteur privé, le déploiement peut être plus rapide et tirer parti du savoir-faire de l'industrie, tandis que les accords garantissent que le gouvernement conserve le contrôle sur qui peut accéder physiquement et logiquement aux systèmes. Le matériel de Google pourrait être installé dans ces sites privés sous un contrôle d'accès strict. Ce modèle de partenariat public-privé répartit l'investissement et exploite l'innovation commerciale, tout en maintenant une chaîne de responsabilité claire sur les données. C'est similaire à la façon dont certains nuages de défense dans d'autres pays utilisent des infrastructures commerciales sous des règles d'exploitation souveraines.

• Exemple — Services partagés Canada et Google. À titre d'exemple hypothétique, imaginez Services partagés Canada (SPC) travaillant avec Google et un fournisseur de télécommunications. SPC fournit le mandat et la surveillance de la sécurité, Google fournit la pile logicielle/matérielle du nuage (GDCH, Anthos, etc.), et le fournisseur de télécommunications fournit l'espace physique du centre de données de niveau IV à, disons, Halifax (Nouvelle-Écosse). Le résultat est un nœud alimenté par Google du Nuage du gouvernement du Canada, physiquement dans une installation sécurisée à Halifax, entièrement sous gestion canadienne. La répétition de telles collaborations dans chaque région produit un réseau de sites infonuagiques interopérables. Tous les sites forment collectivement le "Tissu de nuage souverain du Canada", mais en dessous, ils exploitent certaines des technologies infonuagiques les plus avancées disponibles mondialement.

Cette approche hybride est innovante car elle brise la dichotomie traditionnelle consistant soit à utiliser un nuage public, soit à construire un nuage privé à partir de zéro. Au lieu de cela, elle fusionne les deux : le gouvernement obtient la souveraineté, la sécurité et la personnalisation d'une infrastructure privée, ainsi que l'évolutivité et la sophistication de la plateforme d'un hyperscaleur. Le résultat est une architecture de nouvelle génération positionnée à la pointe — adaptée à la défense (comme en témoigne l'habilitation TS de Google aux États-Unis) et capable d'évoluer au rythme de l'innovation du nuage commercial.

Innovations avancées dans la conception et l'exploitation des centres de données

Avec "aucune contrainte" pour l'exploration de solutions de nouvelle génération, cette architecture peut intégrer diverses innovations de conception de pointe pour améliorer davantage la résilience, l'efficacité et l'adéquation aux besoins de la défense :

• Alimentation électrique renouvelable et résiliente sur site. Au-delà des génératrices de secours traditionnelles, les centres de données peuvent tirer parti de solutions d'alimentation avancées pour assurer une électricité ininterrompue. Par exemple, les installations pourraient intégrer des petits réacteurs modulaires (PRM) ou des microréacteurs sur site pour une alimentation électrique stable et indépendante. Le Département de la Défense des États-Unis explore activement les microréacteurs sur site pour améliorer la résilience énergétique des installations critiques (les centres de données étant une préoccupation majeure). Une mise en œuvre canadienne pourrait impliquer un petit microréacteur nucléaire (3 à 10 MW) dans un grand centre de données, fournissant une alimentation continue avec un ravitaillement minimal et une protection renforcée contre les pannes de réseau. Cela garantirait les opérations même en cas de panne de réseau généralisée ou dans des endroits éloignés. De plus, des systèmes de batterie de secours étendus (pouvant potentiellement tirer parti de nouvelles technologies pour une durée prolongée) peuvent être installés pour couvrir les transitoires de commutation d'alimentation ou pour supporter de courtes pannes sans génératrices diesel. L'utilisation d'énergies renouvelables comme le solaire sur site ou l'éolien à proximité, combinée à des batteries à grande échelle, peut soutenir davantage une alimentation durable mais résiliente. La conception de l'alimentation de l'architecture garantit que chaque site peut être autonome et "isolé" si nécessaire — une qualité précieuse dans les scénarios de crise (par exemple, cyberattaques sur le réseau ou catastrophes naturelles).

• Refroidissement liquide et calcul haute densité. Pour soutenir les applications de défense avancées (comme l'IA, les simulations ou la cryptanalyse), les centres de données hébergeront des grappes de calcul haute densité, y compris des fermes de GPU, des accélérateurs ASIC et potentiellement des simulateurs de calcul quantique ou du matériel quantique précoce (s'il est disponible sous contrôle canadien). Les refroidir efficacement est crucial. Le refroidissement liquide (direct-sur-puce ou par immersion) peut être utilisé pour permettre des densités beaucoup plus élevées que le refroidissement par air traditionnel. Non seulement cela prend en charge les charges de travail HPC exigeantes, mais cela améliore également l'efficacité énergétique — un impératif pour le niveau IV avec un refroidissement continu. Ces technologies sont considérées comme de nouvelle génération pour les centres de données et s'alignent sur l'exigence d'être les meilleures de leur catégorie. De plus, le refroidissement liquide réduit la signature sonore et thermique, ce qui, dans les contextes de défense, peut être bénéfique (par exemple, moins détectable et plus facile à durcir).

• Sécurité physique et durcissement. Chaque centre de données peut être construit avec une sécurité physique de niveau militaire. Cela comprend des enveloppes de bâtiment durcies (résistantes aux intrusions physiques ou aux menaces environnementales), des matériaux antidéflagrants et ignifuges, et même un blindage électromagnétique pour empêcher l'écoute des émissions (protection TEMPEST). Les installations pourraient être construites sous terre ou dans des enceintes contrôlées pour une sécurité accrue. L'accès est strictement contrôlé par une authentification multifacteur (biométrie, vérifications d'habilitation de sécurité). Compte tenu de la fragmentation des données, même si un site était physiquement compromis, un intrus ne pourrait pas récupérer de données utiles — mais la prévention de telles intrusions reste primordiale. Les systèmes de surveillance (caméras, capteurs) avec analyse IA peuvent détecter les activités suspectes autour du périmètre. Dans un scénario de défense, on pourrait imaginer une sécurité armée ou une intégration avec la sécurité d'une base militaire voisine pour une réponse immédiate aux incidents.

• Opérations basées sur l'IA et cyberdéfense. L'architecture tire parti de l'intelligence artificielle pour la gestion opérationnelle et la cybersécurité. Les capacités d'AIops de Google (si intégrées via la pile cloud) et les modèles d'IA personnalisés surveillent la santé de l'infrastructure, prédisent les pannes et optimisent l'utilisation des ressources (par exemple, en ajustant le refroidissement ou la répartition de la charge). Pour la cybersécurité, un Centre d'opérations de sécurité (SOC) basé sur l'IA surveille le trafic réseau et le comportement des utilisateurs sur tous les sites, employant l'apprentissage automatique pour repérer les anomalies ou les menaces persistantes avancées. Avec l'échelle des centres de données, seule l'IA peut analyser les énormes journaux en temps réel pour signaler les menaces. De plus, les flux de renseignements sur les menaces (tels que les informations Mandiant de Google) peuvent être intégrés pour mettre à jour les défenses de manière proactive. Les principes du Zero Trust sont appliqués par des politiques automatisées : aucun appareil ou utilisateur n'est fiable par défaut, et l'IA peut ajuster dynamiquement l'accès ou la segmentation du réseau si quelque chose semble anormal.

• Extensions périphériques et tactiques. Pour tirer pleinement parti du territoire canadien et soutenir la défense, l'architecture pourrait s'étendre aux centres de données périphériques ou aux centres de données mobiles dans des emplacements éloignés ou tactiques. Par exemple, des unités de centres de données modulaires renforcées (dans des conteneurs d'expédition) pourraient être déployées dans des emplacements du Grand Nord ou aux côtés de déploiements militaires, se synchronisant de manière sécurisée avec le réseau central. Celles-ci hébergeraient des caches de fragments de données ou exécuteraient des services critiques localement (avec un chiffrement post-quantique garantissant que tout équipement capturé ne révèle rien). Elles rapprochent efficacement la puissance du cloud national des lieux de collecte des données (par exemple, capteurs arctiques, navires de guerre via la Nouvelle-Écosse, etc.), le tout intégré dans le tissu multi-centres. Ce concept s'aligne sur l'utilisation "pleine et entière du territoire national" — non seulement les grands centres urbains, mais aussi l'exploitation des localités éloignées pour un avantage stratégique (par exemple, un centre de données dans un climat froid peut fonctionner avec un refroidissement gratuit, ou un centre dans une zone éloignée ajoute une couche supplémentaire de sécurité physique par l'obscurité).

• Conception verte et durable. Bien que la défense et la résilience soient les objectifs principaux, la conception n'ignore pas la durabilité. En fait, l'efficacité contribue à la résilience (moins de consommation d'énergie = moins de contrainte sur les générateurs et le refroidissement). Ces centres de nouvelle génération adoptent des conceptions écoénergétiques, telles que le refroidissement optimisé par l'IA (déjà utilisé par Google pour réduire l'énergie de refroidissement), la réutilisation de la chaleur résiduelle (peut-être pour chauffer des installations ou des communautés voisines), et l'approvisionnement en énergie durable (hydroélectricité au QC, éolien en N.-É., etc.). En utilisant des petits réacteurs modulaires (PRM) ou des énergies renouvelables, l'empreinte carbone est minimisée. Cela peut rendre le projet plus acceptable publiquement et plus rentable à long terme. De plus, une conception efficace signifie moins d'infrastructure nécessaire pour maintenir la redondance de niveau IV (par exemple, si les serveurs sont plus efficaces, vous pouvez avoir plus de capacité de sauvegarde dans la même enveloppe de puissance).

• Conformité et leadership en matière de normes. L'architecture vise non seulement à respecter, mais à établir de nouvelles normes. Elle peut être alignée sur les normes émergentes telles que le cadre de cybersécurité du NIST, les normes de sécurité du cloud et les exigences évolutives de l'OTAN pour un cloud sécurisé (si le Canada s'aligne sur les pratiques de cloud de défense de ses alliés). En intégrant la cryptographie post-quantique, la fragmentation, etc., elle positionne le Canada comme un leader en matière d'infrastructure cloud sécurisée. Tous les sites seraient certifiés selon les normes les plus élevées en matière de sécurité et de disponibilité (certification Tier IV, ISO 27001, potentiellement même certifiés pour le traitement classifié par les agences de sécurité canadiennes). Cela garantit que les approches innovantes sont assorties de rigueur dans les processus et la gouvernance.

En résumé, ces innovations supplémentaires — de l'énergie nucléaire sur site aux opérations basées sur l'IA — garantissent que l'architecture multi-centres de données est véritablement de nouvelle génération. Elle est non seulement résiliente et sécurisée, mais aussi intelligente, efficace et adaptable. De telles caractéristiques en feraient sans doute "la meilleure au monde" pour son objectif, dépassant les capacités typiques des centres de données commerciaux et adaptée aux exigences uniques des services cloud gouvernementaux et de défense.

Conclusion

Cette architecture multi-centres de données proposée pour le Canada représente une fusion holistique de résilience, de sécurité et de souveraineté. En distribuant des installations de niveau IV dans des régions clés et en employant la fragmentation des données chiffrées, elle élimine les points de défaillance uniques, qu'ils soient technologiques, géographiques ou sécuritaires. Même une attaque réussie sur un site ne rapporte rien, et la perte d'un emplacement ne paralyse pas les opérations — les données et les services persistent, soutenus par les sites restants. L'intégration du chiffrement post-quantique dès la conception signifie que les données sont protégées contre les menaces de demain, et pas seulement celles d'aujourd'hui.

De manière cruciale, l'architecture adopte l'innovation : en intégrant les solutions infonuagiques de pointe de Google dans un déploiement souverain, en tirant parti de l'IA et potentiellement de nouvelles technologies énergétiques, et en s'alignant sur les paradigmes de confiance zéro et infonuagiques natifs. Elle est conçue pour évoluer et s'adapter — une infrastructure "vivante" qui peut s'adapter aux changements technologiques et à l'environnement des menaces. Pour les secteurs gouvernementaux et de la défense du Canada, cela signifie un nuage qui est aussi fiable que puissant : capable d'exploiter le vaste territoire national pour la redondance, de démontrer un contrôle clair sur les données à l'intérieur des frontières nationales, et de soutenir les missions critiques avec une fiabilité et une sécurité inébranlables.

En mettant en œuvre cette vision, le Canada se positionnerait à l'avant-garde de l'architecture infonuagique sécurisée. C'est un plan directeur non seulement pour un système informatique, mais pour la résilience de l'infrastructure numérique nationale. En investissant dès maintenant dans le stockage fragmenté multi-centres de données et les mesures de protection post-quantiques, le pays "fortifie l'avenir" de ses actifs numériques — garantissant que les services gouvernementaux, les communications militaires et les données des citoyens restent à l'abri des menaces les plus avancées. Cette architecture de nouvelle génération habiliterait les institutions canadiennes à opérer en toute confiance dans un monde axé sur le numérique, sachant que leur infrastructure sous-jacente est conçue pour résister aux crises et déjouer les adversaires à chaque tournant.

*Sources : Commercis Plc, "Le stockage fragmenté multi-centres de données comme pierre angulaire de la stratégie de cybersécurité"; Services partagés Canada, "Architecture de référence des services de centres de données (archivée)"; Uptime Institute, "Système de classification par niveaux"; Blogue Juniper Networks, "Le NIST finalise les normes de chiffrement post-quantique"; Nouvelles du NIST, "Le NIST publie les 3 premières normes de chiffrement post-quantique finalisées"; Page produit Google Cloud pour le gouvernement (Google Distributed Cloud Hosted; Anthos); Nextgov, "Google autorisé à héberger des données classifiées (Top Secret) dans le nuage"; Data Center Frontier, "Le DoD fait appel à des microréacteurs nucléaires pour l'alimentation sur site."