Contexte de la décision
Jusqu'à récemment, Amazon imposait à tout visiteur, prestataire ou employé temporaire d'signer un accord de non-divulgation (NDA) avant d'accéder à l'un de ses plus de 100 sites de data centers répartis dans 30 régions géographiques. Ces NDA visaient à protéger les détails d'architecture, les schémas de câblage et les procédures opérationnelles d'AWS.
En mars 2024, l'entreprise a annoncé qu'elle cessait d'exiger ces NDA. La communication officielle indique que la mesure s'inscrit dans une révision globale des politiques de conformité et de gestion des risques, visant à simplifier les processus d'accès tout en maintenant les standards de sécurité.
Fonctionnement technique des contrôles d'accès
Les NDA sont des instruments juridiques ; ils ne remplacent pas les contrôles physiques et logiques. Amazon continue d'utiliser des badges d'identification, la biométrie, la surveillance vidéo 24/7 et des systèmes de détection d'intrusion pour chaque entrée. Les réseaux internes restent segmentés par zones de disponibilité, chaque zone étant isolée au niveau du routage et du pare-feu. La suppression du NDA ne modifie donc pas les politiques de segmentation réseau ni les chiffrement au repos et en transit déjà en place.
Implications sécuritaires
Le retrait du NDA transfère la charge de protection des informations sensibles vers les mécanismes techniques. Sans contrat de confidentialité, la responsabilité légale en cas de fuite repose davantage sur la capacité à tracer les accès et à prouver une violation de procédure. Amazon renforce ainsi son système de journalisation (logging) : chaque mouvement dans le centre est enregistré avec un horodatage précis, et les logs sont conservés pendant 90 jours pour permettre des audits post‑incident.
Cette évolution peut toutefois augmenter le risque de divulgation involontaire, notamment pour les partenaires qui ne disposent pas de clauses contractuelles similaires. Amazon compense ce risque en imposant des accords de confidentialité intégrés aux contrats de service (SLA) et en exigeant des formations de sensibilisation à la sécurité pour tous les intervenants externes.
Limites et perspectives
La décision ne supprime pas les exigences de vérification d'antécédents ni les contrôles d'accès physiques. Cependant, l'absence de NDA peut compliquer les poursuites en cas de fuite d'informations, car la preuve d'une obligation contractuelle explicite manque. Amazon devra donc s'appuyer davantage sur les preuves techniques (logs, enregistrements vidéo) pour établir la responsabilité.
À moyen terme, la stratégie pourrait inspirer d'autres fournisseurs de cloud à reconsidérer l'utilité des NDA dans des environnements hautement automatisés, où la sécurité repose principalement sur la technologie plutôt que sur des engagements juridiques.
