Commande publique : ENS Paris-Saclay

Nous reprenons nos travaux cette semaine en l'absence de notre rapporteur qui m'a prié de bien vouloir excuser son absence en poursuivant l'examen des achats numériques dans l'enseignement supérieur auxquels sont attachés comme nous l'avons vu, des enjeux essentiels de souveraineté numérique. Je ne reviens pas sur les signaux pour le moins contradictoires envoyés par l'État à ce sujet et qui sont devenus évidents au fil de nos auditions avec une doctrine et des circulaires prenant le recours à des solutions souveraines mais des habitudes et des usages tellement ancrés auprès d'opérateurs économiques extraeuropéens que l'hypothèse même d'une migration semble parfois inconcevable. Nous avons échangé la semaine dernière avec la directrice générale de l'École polytechnique au sujet de la migration de ces outils collaboratifs vers la solution Microsoft 365 et nous lui avons fait part de nos préoccupations en matière de sécurité et d'accès aux données.

À la suite de cette audition, nous avons été informés que l'école normale supérieure Paris Saclet avait récemment adopté un nouveau schéma directeur numérique à la suite d'un audit réalisé par le cabinet Herstanung qui prévoit lieu aussi la migration vers Office 365. Pour nous présenter ce choix et en expliquer les motivations, nous accueillons madame Nathalie Carasco, présidente de l'ENESS Paris Saclet, accompagné de monsieur Christophe Huette, directeur des systèmes d'information. Je vous informe que cette audition sera diffusée en direct sur le site du Sénat et fera l'objet d'un compte-rendu publié.

Je vous rappelle également qu'un faux témoignage devant notre commission d'enquête sera passible des peines prévues aux articles 434-13, 434-14 et 434-15 du code pénal, soit 75000 € d'amende et jusqu'à 5 ans d'emprisonnement voire 7 ans en fonction des circonstances. Je vous invite donc à prêter serment de dire toute la vérité, rien que la vérité. Veuillez s'il vous plaît euh chacun lever la main droite, appuyer sur le bouton de votre micro et dire "Je le jure".

Je le jure, je le jure. Merci à vous. Je vous laisserai donc nous présenter brièvement le NS Paris Saclet ainsi que le contexte et les conclusions de l'audit réalisé par le cabinet de conseil qui vous a accompagné.

Vous pourrez ensuite nous expliquer si de votre côté un sourçage a été effectué pour identifier une solution souveraine ou si vous avez partagé l'avis des auditeur selon lequel aucun outil français ou européen n'aurait répondu à votre besoin. La situation des laboratoires de recherche mérite là aussi un traitement particulier en raison des informations sensibles qui sont traitées notamment dans les disciplines scientifiques et technologiques qui sont la spécialité de l'ENS Paris Saclet. Quelles sont les mesures que vous comptez prendre pour garantir la sécurité de ces mêmes données et éviter qu'elles ne soient soumises à des législations extraterritorial ?

Comment d'ailleurs prenez-vous en compte ce risque ? Vous pourrez également nous indiquer le support contractuel retenu au regard du droit de la commande publique pour tout d'abord sélectionner le cabinet d'audit si vous pouvez nous en dire davantage sur la procédure qui a été mise en place puis pour effectuer cette migration. Votre établissement a-t-il passé un marché dédié ?

S'agit-il plutôt d'un marché ministériel ou d'une commande auprès de l'UGAP ? À l'usage, quel sera le coût de l'outil Microsoft 365 par rapport au logiciel utilisés actuellement ? Quels sont les gains escomptés ?

Donc je vous laisse la parole pour un propinaire d'une quinzaine de minutes et puis ensuite nous pourrons revenir sur des points complémentaires. Je vous remercie. Merci beaucoup.

Bonjour. Je vous je vous remercie tout d'abord de m'avoir convoqué à cette audition donc il y a il y a une semaine. Donc euh je voulais euh réaffirmer le fait que la le sujet de la souveraineté et de la sécurité des outils numériques était vraiment très important et qu'on y tenait tout particulièrement à l'UNS Paris sa clé.

J'aurais donc à cœur de vous faire part de nos efforts et avancer en la matière en même temps que les difficultés que nous rencontrons et comment nous avançons sur le sujet. vous le verrez à la fois prudemment et en s'assurant de faire des choix qui seront progressifs et réversibles. Donc je ferai bien sûr de mon mieux pour répondre aux questions que vous m'avez posées.

Euh tout d'abord, je ne suis pas une experte informatique, donc si certaines questions sont d'ordre assez technique, je vous ferai des compliments des compléments de réponse par écrit après l'audition. et donc mon directeur de la direction des systèmes d'information, monsieur Christophe U. Également à mes côtés si certaines précisions peuvent être faites immédiatement.

Euh donc en l'état au vu des de donc des des questions que vous m'avez posé, je vais effectivement d'abord présenter l'UNS. Comment nous avons réfléchi un certain nombre de critères de choix pour nos outils collaboratifs dont fait partie la suite Microsoft Office 65 et comment à l'UNS et donc comment à l'UNS Paris Saclet nous avons construit une stratégie autour du numérique et en particulier autour de ces outils collaboratifs et où est-ce que nous en sommes exactement aujourd'hui ? Donc pour vous présenter donc en quelques mots le NS Paris Saclé, c'est une grande école publique qui sélectionne des jeunes avec un très haut niveau académique et les prépare pour les métiers de la recherche et de l'enseignement supérieur.

Une de nos spécificités, c'est de couvrir un large panel de discipline allant bien sûr des sciences fondamentales, aux sciences de l'ingénieur et aussi des sciences humaines et sociales. Donc de la recherche de la recherche formation, métier de la recherche et enseignant supérieur dans ce large spectre de discipline. En sortant de l'école, nos élèves poursuivent en grande partie en thèse pour à peu près 80 %.

Ils deviennent professeurs dans l'enseignement supérieur, chercheur ou encore conseiller stratégique dans la haute fonction publique. Ce sont des exemples. Ce sont donc qui représentent un vivier scientifique d'excellence pour la nation et nos étudiants et étudiantes représentent pour chiffrer les choses une communauté d'environ 1800 étudiants inscrits à l'ENS.

Cette formation par la recherche, elle exige dans nos murs également la présence de laboratoire de recherche, des laboratoires de pointe qui vont être relatifs à toutes ces disciplines enseignées. Nous hébergeons ainsi 13 unités de recherche parmi lesquelles trois laboratoires en ZRR, c'est-à-dire en zone à régime restrictif d'accès. Entre les enseignants, les enseignants chercheurs, les chercheurs, les ingénieurs et les techniciens, les personnels scientifiques et techniques de l'ENS, enfin employés par l'UNS représentent environ 350 personnes.

Et donc pour accompagner ces activités dites cœur, ce que j'appelle cœur, c'est vraiment la formation et la recherche, enfin l'enseignement et la recherche. L'école, elle a besoin de services et de personnel administratif efficac. On attend ça de nous. euh qui vont par exemple entretenir le bâtiment, qui vont assurer sa sécurité, qui vont s'occuper des installations numérique, qui ont également passer des commandes, régler des factures, organiser les missions des chercheurs, gérer les conventions de stage des étudiants, les aider à trouver un logement.

Bref, tout ce qui concerne cette sphère, c'est ces ces outils, cet accompagnement pour ces pour nos activités cœur et donc ces personnel administratifs à l'UNS Paris Saclé, il représente environ 150 personnes. Donc concernant la question qui nous intéresse aujourd'hui à savoir Microsoft 365, vous verrez par la suite que la discussion en cours à l'UNS, les choix sont pas faits, vous le verrez, elle ne porte de toute façon que sur la partie administrative, c'est-à-dire les 150 personnes sur les 2300 sous la responsabilité UNS, c'est-à-dire à peu près 6 % de nos effectifs. Le second point que je voulais aborder avec vous, c'est comment nous avons appréhend cette question des outils collaboratifs numériques dont font partie les outils Microsoft 365.

Donc vous l'avez compris, de par nos missions de service public pour l'enseignement et la recherche pour l'enseignement supérieur et la recherche et le contexte géopolitique de plus en plus agressif dans lequel nous évolu à cœur d'être et on doit on le doit d'être exigeant sur tous les fronts avec les outils numériques en général qui sont devenus incontournables dans nos métiers et en particulier nous travaillons aujourd'hui avec des outils numériques collaboratifs qui sont devenus centraux dans notre organisation du travail notamment avec le développement du télétravail. Je parle des outils de visioconférence, des outils de messagerie, messagerie instantanée, email, également des documents de travail partagés. Nous avons ainsi besoin d'outils de travail collaboratifs les plus adaptés possibles à notre établissement.

Et là-dessus, les les critères que nous avons identifiés pour faire nos choix, pour construire notre stratégie, ils sont de quatre natures. Le premier bien sûr, c'est leur efficacité, leur simplicité. Nous avons besoin d'outils qui vont faciliter le travail des agents de l'école et leur permettre un travail de qualité avec des outils efficaces et complets pour qu'ils puissent se concentrer sur le fond de leur métier et la valeur ajoutée de leur travail. par exemple un exemple très concret qui ne perd pas de temps à débugger des agendas qui se mettent pas tous à jour en même temps.

Critère numéro 2, les risques, la sécurité contre les cyberattaques. Les outils collaboratifs sont souvent des points d'entrée pour les hackurs pour infiltrer et paralyser les établissements. Il nous faut des outils collaboratifs qui vont être sécurisés contre ces cyberattaques et au jour d'aujourd'hui, le risque est fort.

Nous, on a un exemple très concret. On est sur le plateau de sa clé. On est intégré avec l'université Paris Sa.

Vous savez que l'été dernier l'université Paris Sallé a fait l'objet d'une cyberattaque d'envergure qui a paralysé tous les services. Critère numéro 3, la lutte contre l'espionnage industriel, la souveraineté. Nous produisons dans nos laboratoires de recherche des résultats scientifiques qui ont un très fort potentiel économique.

C'est le propre même de nos activités de recherche. Ces résultats, ils doivent être protégés de cet espionnage industriel. Ils peuvent pas transiter par des outils collaboratifs qui seraient espionnés par des puissances hostiles.

Et parmi les puissances hostiles et bien il y en a un certain nombre, certaines auxquelles on pense depuis très longtemps. La Chine, la Russie, l'Iran, Israël également. Et c'est le cas depuis longtemps, mais on en a encore plus conscience aujourd'hui.

C'est juste un révélateur. Aujourd'hui, il a également au cœur les États-Unis. Le 4è critère, c'est une contrainte, une contrainte budgétaire.

La réduction du déficit public de la France passe par des tensions budgétaires très fortes sur les établissements publics d'enseignement supérieur et l'UNS Paris Saclet ne fait pas exception. Nous avons très peu de marges budgétaires pour investir dans de nouveaux outils et ce malgré l'augmentation des risques de cyberattaque et d'espionnage. On ne s'en plaint pas, c'est un état de fête, c'est une contrainte, on la prend comme telle et donc on est obligé de réfléchir sur la base de ces quatre critères.

Donc pour cette partie, en conclusion, concernant Microsoft 365, quand on y pense, quand on l'évalue, cette solution, elle est intéressante selon un certain nombre de critères. ceux de la performance de l'outil, celui de la sécurité contre les cyberattaques et celui du critère du coût car il est négocié dans des marchés d'état qui sont accessibles pour nous par des centrales d'achat public. Cependant, il n'est pas bon pour le critère numéro 3, celui de la souveraineté puisque le cloud de de la solution Microsoft Office 365 est accessible au gouvernement américain d'après le cloud act.

Donc pour résumer sur ces critères, évidemment l'idéal ce serait des outils de travail collaboratifs performants, parfaitement intégré à des clouds sécurisés et souverains et accessible financièrement pour nos établissements publics qui sont en forte tension budgétaire. C'est ces outils sont en préparation. Nous faisons de la veille dessus.

Nous nous en réjouissons, on l'appelle de nos veu de nos vœux et nous serons ravis de les déployer le plus vite possible quand ils seront disponibles. En attendant, parce qu'on ne peut pas attendre, je vais vous exposer où nous en sommes pratiquement de cette réflexion et du déploiement d'outils collaboratifs numérique à l'UNS Paris Saclé. La première des choses, c'est que donc moi, en démarrant mon mandat, j'ai d'abord travaillé à faire un diagnostic sur ces outils.

Donc c'était début 2023. À mon arrivée à la direction de l'UNS Paris Saclé, l'établissement venait de finaliser son installation sur le plateau de sac. On est arrivé en 2020 mais vous voyez l'installation ça prend un certain temps et donc cette intégration dans le cœur sac quand je suis arrivé dans ce contexte de transformation et d'intégration dans un contexte extrêmement compétitif de recherche et d'innovation qui est sac et bien cette intégration elle se doit de s'accompagner d'une mise à niveau technique importante concernant le système d'information.

C'est pour cela que nous l'avons mis en priorité dans notre stratégie scientifique de l'établissement au travers du contrat d'objectif de moyens et de performance. le compe 2023-2025 par exemple le COMP, il nous a permis de financer le recrutement d'un responsable de la sécurité des systèmes d'information RSSI, de réaliser un audit de sécurité et d'élaborer un schéma directeur du numérique, celui euh que vous avez donc introduit dans votre d'entre dans votre point initial à propos de l'audit de sécurité, cette analyse de l'environnement. Donc ça a été fait cet outil enfin cet audit entre 2023.

Cette analyse de l'environnement technique a existé pardon a révélé une situation extrêmement fragmentée de nos outils collaboratifs. Nous utilisons aujourd'hui une suite bureautique office classique sans fonctionnalité collaborative. des outils de visonférence Zoom qui sont déployés dans toutes nos salles ainsi que tous sur tous les postes de travail des outil de la suite rénataire visoconférence rendez-vous ou bien le la messagerie instantanée chap proposée donc par la dénum opéré par la dénum et ensuite pour la messagerie et les agendas ils sont hébergés en interne avec des solutions en logiciel libre puisque c'est également un sujet qui nous tient à cœur à l'école pour l'ensemble des personnels et des étudiants et tous les espaces de stockage à l'heure actuelle, ils sont sur des cerveaux sur des serveurs réseaux en interne à l'école, donc hébergé localement avec donc l'outilice qui a un un outil libre.

Donc en conclusion sur notre situation actuelle suite à cet audit de sécurité, voilà où est-ce qu'on en est si je reprends nos quatre critères. Le premier, la performance, c'est pas terrible. On a des outils dispersés qui sont peu performants et le fait que ce soit dispersé fait aussi que ça n'est pas clair pour nos usagers et qu'il y a une tentation de contournement d'aller utiliser des outils en dehors de la sphère proposée par l'UNANS, donc peu performant.

Sécurité cyber. Deuxième critère, vous avez compris, nous sommes tout en local aujourd'hui. La cyberattaque subie par l'université Paris Saclet dont les choix techniques étaient proches de ceux de l'UNS à savoir une infrastructure principalement interne, elle a montré ses ses limites en terme justement d'approche infrastructure locale interne, en terme de sécurité.

Et dans ma compréhension de des orientations ministères, cette orientation, la stockage interne, ça ne va pas dans le sens de la doctrine cloud au centre. Donc là aussi, nous nous interrogeons. Aujourd'hui, on peut dire que c'est souverain, c'est local mais par contre nous ne sommes pas nous ne respectons pas la doctrine cloud centre.

Critère numéro 3, la souveraineté. C'est plutôt bien. Du coup, on est bien sur nos serveurs locaux.

Mais par contre, soyons réalistes, le manque de performance fait que et bien il y a des contournements. Nos usagers vont utiliser d'autres outils non souverains en dehors des outils proposés par l'UNS parce que nos outils aujourd'hui sont trop disparates. Et le dernier critère, le critère de coût.

À première vue, avec des outils internes, on peut se dire que ça peut être relativement satisfaisant, mais en réalité, il y a des coûts cachés. Du fait de la complexité, du fait de ces outils disparates. Et bien, en réalité, ça demande beaucoup d'entretien et beaucoup de dépannage de la part de la DSI, donc du temps de nos équipes.

En conclusion, le bilan là sur cet état de fête, cet état actuel, c'est que pour nous, ça n'est pas satisfaisant. Il faut bien faire évoluer nos outils collaboratifs. Nous en venons donc à euh notre construction du schéma directeur numérique en 2024.

Pour réaliser ce schéma directeur numérique, vous avez parlé de d'une d'un cabinet de conseil, vous avez parlé de IWY. En réalité, ça n'a pas été un audit. Nous nous les avons sollicité pour nous aider à faire une mission d'accompagnement pour la construction de ce schéma directeur, non pas sur les solutions mais pour compléter l'aspect diagnostique.

Donc nous sommes passés pour répondre directement à votre question par la centrale d'achat RA euh qui donc sur laquelle nous avons pu solliciter cette cette contribution, ce conseil par IW. Les principals résultats de l'analyse, c'est donc du diagnostic pour nous donner les grands axes en fait sur lequels construire après rédiger notre schéma directeur du numérique. Donc les résultats principaux sont les suivants.

Les collègues qui ont été interrogés ont exprimé un besoin de disposer d'outils collaboratifs performants qui leur permet de sortir des silos et de travailler en transversalité. En l'absence, vous l'avez compris, de tels outils dans le système d'information, ils ont également constaté ce qu'on savait par ailleurs, mais ils ont voilà, ils l'ont ils l'ont constaté factuellement un recours massif à des outils de contournement hors système ENS, par exemple très concrètement la création de groupe WhatsApp pour discuter rapidement avec des collègues. Donc ça c'est la contribution de ce cabinet de conseil.

Donc par la suite, nous avons donc rédigé notre feuille de route. Nous avons rédigé ce schéma directeur du numérique et c'est beaucoup plus large que ça mais au sein de schéma directeur du numérique, il y a effectivement un axe qui concerne les outils collaboratifs. Et donc là-dedans et bien nous avons deux grandes cibles.

La première c'est notre cible idéale. C'est celle bien sûr d'une offre commune pour tous les agents de l'UNS. des outils collaboratifs qui proposeraient des outils, je le répète, performants, parfaitement intégrés à des clouds sécurisés et souverains et accessible financièrement pour nos établissements publics en tension budgétaire.

Cette solution encore une fois n'est pas disponible pour le même moment mais c'est dans notre schéma directeur numérique puisque on le met comme un axe stratégique de faire une veille poussé pour être sur immédiatement opérationnel dès que cette solution sera proposée. Donc là nous faisons voilà nous sommes en veille par différents moyens. En attendant ces outils idéaux, nous travaillons avec un schéma hybride intermédiaire qui segmente les sphères usagées.

Je vous ai décrit nos trois sphères : apprenants, les personnels sur les mission cœur, formation et recherche et la sphère administrative. Et bien nous travaillons sur une cible qui va segmenter ces sphères avec la sphère à part la sphère administrative. Donc vous souvenez 150 personnes sur les 2300 pour laquelle effectivement nous envisageons les équiper par une suite non souveraine, la suite Office 365.

Pour le prix, comme c'est 150 personnes, on est à moins de 10000 € pour le les le coût annuel des licences de fonctionnement. Pour tout ce qui va être autre sphère. Aujourd'hui, on est plutôt dans une position d'attente puisque pour les laboratoires, c'est très clair, c'est indispensable que ce soit souverain.

Donc, on est obligé d'attendre des solutions souveraines et donc pour l'instant, on reste sur notre solution locale, insatisfaisante mais souveraine. Et pour la sphère intermédiaire, les personnels académiques et les étudiants, pour nous, c'est une vraie zone grise puisque comme je vous ai présenté l'école, c'est une école qui forme à la recherche. Donc pour nous, formation et recherche, c'est extrêmement intriqué.

Donc on a du mal à faire la part pour vraiment les mettre dans une sphère qui ne serait pas souveraine. Donc dans le doute pour l'instant on les laisse dans la partie souveraine et la partie non souveraine ne concernerait que la partie pour laquelle on est sûr on n'est pas en train de travailler sur des sujets sur lequels il y a des questions de propriété intellectuelle. Donc pour les laboratoires euh nous sommes en recherche d'une suite souveraine à approfondir soit en attendant ben des solutions commerciales, la solution bleue, soit en explorant des solutions proposées par lainum ou d'autres opérateurs privés encore.

Et je vous dis, on est à l'heure actuelle état de veille. On ne touche à rien pour le moment pour cette sphère souveraine. Ce schéma directeur du numérique, il a été partagé, il a été euh donc construit et présenté en instance de gouvernance numérique en interne à l'école en novembre dernier.

Qu'est-ce que c'est que cette instance de gouvernance numérique ? C'est le comité ouvert à toutes les entités de l'école, c'est-à-dire les laboratoires, les directions, les les directions d'enseignement, les services, absolument tout le monde. Donc là en instance de gouvernance, ça a été présenté le sujet concret d'office 365 et les problèmes de sa souveraineté a été abordé, les gens sont éclairés.

Ensuite, ce schéma directeur, il a été présenté également en comité social d'administration, le CSA en question diverses avec des explications sur cette approche hybride et le passage dans le phasage dans le temps. Donc vous voyez ce ccassage dans le temps et le travail en cours sur les offres souveraines. Et il a été ensuite présenté en conseil d'administration le 13 décembre dernier avec transmission de ce schéma directeur numérique complet voté en présence de la tutelle du rectorat et en présence d'un représentant du CNRS dont dépend en grande partie la politique de sécurité des systèmes d'information de nos laboratoires.

Donc ce schéma directeur était voté en décembre dernier. Donc on arrive aujourd'hui à notre état d'avancement pour ce premier ce ce premier semestre 2025. Où est-ce qu'on en est maintenant qu'on a notre feuille de route.

Donc on a ce projet de déploiement, c'est vrai, déploiement pilote de Microsoft 365 sur une partie de l'administration. C'est bien une solution qui est envisagée. En parallèle, on explore le volet souverain pour nos laboratoires et la sphère étudiante.

On est vraiment au stade du benchmark, l'analyse de sécurité, la capacité d'intégration. Sachez que à ce stade le projet même le projet pilote de déploiement Microsoft 65, je vous avais dit que j'allais vous faire part en toute franchise de nos difficultés et bien ce projet il a pris du retard. Pourquoi ?

Parce que c'est compliqué de faire cohabiter différentes solutions et aucune n'est totalement satisfaisante. Encore une fois, la solution entièrement satisfaisante, ce serait une solution unique pour tous. Donc à ce jour, aucun contrat n'a été signé.

On en est à la phase de devis comparatif des demandes auprès de différents marchés publics accessibles, de groupes logiciels de l'UGAP, groupe logiciel du Miserie. Des tests d'intégration technique sont en cours mais encore une fois aujourd'hui on a rien signé et rien n'est fait. Encore une fois je vous dis on imagine cette solution pour la partie administrative sans en être complètement satisfait.

Soyons clair. Donc je finirai là-dessus. En conclusion, voilà où on en est exactement.

Ce n'est pas parfait. On en a pleinement conscience et en attendant encore une fois, on essaie de n'explorer que des solutions intermédiaires qui seront réversibles pour ne pas se lier puisque c'est un travail qui est en cours, qui est hautement porté, on le sait, par le ministère. On partage une préoccupation et une haute exigence pour la souveraineté de nos productions scientifiques et donc nous serons donc en première ligne si on peut aider à déployer des solutions qui seront parfaitement satisfaisantes.

Je vous remercie. Merci beaucoup madame la présidente. Souhait d'intervention chers collègues ?

Pas pour l'instant. Pas pour l'instant. Alors tout d'abord, je tiens sincèrement à vous remercier pour la posture qui est la vôtre de prise en compte des préoccupations que nous exprimons avec les collègues membres de cette commission d'enquête depuis maintenant plusieurs mois.

Euh et vous avez euh euh fait en sorte dans votre propos introductif d'essayer et je tiens à le souligner d'apporter le maximum de réponses et de garanties à ces préoccupations euh dont nous avons fait part. Euh pour autant et et on ne m'éconnaît pas au demeurant, c'est important de le redire ici, euh les contraintes qui peuvent être les vôtre que vous avez euh rappelé à juste titre. simplement quelques questions qui qui demeurent au-delà des objectifs que vous affichez notamment sur la la volonté, on va se dire à moyen long terme, c'est l'horizon en tout cas que vous semblez fixer de pouvoir disposer de solutions souveraines performantes et au demeurant on a bien en tête aussi la contrainte budgétaire, on en discute régulièrement ici même au Sénat. euh par rapport à l'infrastructure qui existe aujourd'hui.

Et donc vous avez rappelé qu'elle était majoritairement ou quasi exclusivement autohébergé. Oui, on peut euh on peut le dire de de cette façon-là. Donc euh il y a eu les les démarches que vous avez rappelé avec en particulier le diagnostic l'audit.

Je voudrais revenir sur cette première phase euh là où vous avez été euh accompagné par euh par IW. Donc euh sur le contrat euh là en tant que tel euh qui vous liez euh avec cette société, j'imagine que le contrat est terminé aujourd'hui sur cette mission d'accompagnement. Alors en fait, on a été accompagné à deux niveaux.

Euh l'audit, c'était l'audit de sécurité qu'on a réalisé dans le cadre du du comple, c'est avant la la rédaction, la préparation du schéma directeur du numérique. Et donc cette audit, c'était pas avec, c'était avec Wavestone. Et donc c'est cet audit euh donc on a donc Wavestone, on a euh choisi cette société dans le cadre de l'UGAP en l'occurrence.

Et donc c'est cet audit là qui a diagnostiqué ce côté état actuel diagnostic actuel de nos outils collaboratifs fragmenté insatisfaisant on était sur le bilan. C'est là qu'effectivement on a pu identifier cet aspect. Oui, on est souverain mais non à côté de ça on n'est pas si bien sécurisé ou en tout cas on sait qu'il y a ses limites.

Donc l'audit c'était vraiment là. Ey c'est pas un audit. Donc là il y avait pas de recommandation, il y avait simplement un constat. constat un constat et l'audit fait enfin non justement pas audit la la mission d'accompagnement deenyung vous voyez c'était non pas des recommandation c'était d'aller en fait interviewer nos collègues c'était vraiment de voir quels étaient les usages réels.

On s'en doutait mais c'est un c'est c'est différent de nous le dire de quelque part avoir ce diagnostic. Donc c'est à nouveau un diagnostic et c'est eux qui ont confirmé le fait que aujourd'hui nos collaborateurs avaient besoin d'outils plus performants puisque pour l'instant de fait pas tous mais en tout cas il y avait un certain nombre de stratégies de contournement. Donc c'est à nouveau que du diagnostic.

Alors ça, on a bien entendu que pour cette mission d'accompagnement là, cette fois-ci, vous aviez fait appel donc à une autre centrale d'achat Reva, ce que ce que vous nous avez précisé, c'est ça. Ra et c'est là que a été choisi du coup IW. OK.

Euh donc au passage, nous serons euh évidemment euh euh demandeur euh à ce moment-là du document issu euh alors sous réserve évidemment d'information confidentielle et là vous pourrez bien nous l'indiquer par écrit euh pour que nous fassions bien la part des choses. et le document issu de l'audit qui a été conduit entre 2023 et 2024 et le travail réalisé par le cabinet UAI parce que il est de notoriété publique qui a une forme de porosité à tout le moins dirons-nous entre EWI et Microsoft. Donc euh vous comprenez bien là aussi qu'assez rapidement euh certains puissent euh nourrir euh quelques quelques soupçons donc sur la démarche, même si vous insistez bien sur euh la le caractère non prescriptif de de cette étude.

Donc euh merci euh merci de de nous le communiquer. simplement, on a eu finalement un petit peu le même sujet, peut-être d'une moindre ampleur, mais avec l'école polytechnique, c'est quand vous nous dites il s'agit du personnel administratif, donc les 150 sur les 2300, donc ça reste finalement assez marginal au-delà au-delà du coût mais donc on mesure plutôt difficilement les réponses qui pourraient être apportées face aux problématiques qui ont été soulevées dans le diagnostic parce que euh sur les 2300, vous apporteriez sous réserve que vous alliez au bout de cette démarche, mais euh première brique de solution pour uniquement 150 personnels. Donc là, vous voyez bien, en tout cas, pour ne rien vous cacher, nous avons eu des des alertes s'agissant des des étudiants et d'autres personnels euh qui s'é mouvaient de de de ces choix-là et pouvaient penser que il serait aussi concerné.

Alors, pour l'instant, vous semblez nous nous apporter la garantie que telle ne sera pas le cas. Euh mais on comprend pas très bien justement la la logique euh en terme d'échelle. Donc, est-ce que vous pourriez nous apporter quelques précisions ?

Euh au contraire, on se dit c'est peut-être une source de complexification et vous l'avez laissé entendre là aussi. Et puis surtout sur les données administratives, on n'est quand même pas à l'abri qu'à un moment ou un autre, il puisse y avoir là, je parle pas de de volonté de de malveillance, mais une inattention, une facilité, peu importe la raison. Donc il puisse y avoir des données que vous considérez vous à caractère sensible.

Et puis de l'autre côté, nous nous avions pu le dire s'agissant de l'École polytechnique, c'est que des données strictement administratives peuvent revêtir un intérêt pour les puissances que vous avez évoqué pour différentes raisons. On n'y reviendra pas là, mais on les imagine fort bien. H et donc comment se se prémunir de ces risques-là, même ss apparaissent plus réduits que pour les laboratoires de recherche alors que vous avez rappelé à raison.

Je reprends vos termes he que s'agissant de la lutte contre l'espionnage industriel en matière de souveraineté, très clairement cette solution Microsoft 365 n'était pas satisfaisante. Donc voilà les premiers petits points d'éclairage complémentaires supplémentaires que vous pourriez éventuellement nous nous apporter si vous en étiez si vous étiez en mesure de le faire. techniquement parlant aux besoins, votre directeur des systèmes d'information peut évidemment aussi intervenir.

Alors, je je je vais je vais commencer avec mes mots et puis effectivement on complétera peut-être avec plus de précision aux besoins, mais je comprends votre question dans le sens quelle est l'étape d'après enfin là, est-ce que ce premier pas vers Microsoft 365, il y a une certaine forme, j'entends déjà une certaine forme de risque. C'est vrai, on en est conscient. Comment est-ce qu'on arrive à avoir une étanchéité parfaite entre la sphère administrative et les autres sphères ?

Là-dessus, je pense que on peut pas considérer que le risque [Musique] zéro est est effectivement le cas. Euh il faut forcément imaginer qu'il peut y avoir des des erreurs possibles des des des usagers. Enfin, parce que là encore une fois, la difficulté de cette solution hybride c'est qu'on va avoir deux sphères, c'est pas totalement étanche, il y a une certaine forme de porosité.

Donc comment est-ce qu'on fait pour sécuriser un ce système non souverain qui a priori passe sur des données stratégiques, mais malgré tout qui va interagir avec une sphère qui elle a des données qui sont plus stratégiques ? Donc là, on y réfléchit bien sûr et donc il y aura une forme notamment de sensibilisation des usages, c'est-à-dire il faut accompagner les personnes pour donc on va on envisage un plan de formation pour les prévenir que on met pas n'importe quoi dans des emails par exemple que si c'est des sujets compliqués on met pas des pièges jointes sur des sujets qui eux ne peuvent pas être mais vous voyez c'est un accompagnement la solution hybride implique d'autres difficultés. Après, si c'est sur des sujets vraiment super sécurisés, nous pour la sphère administrative par exemple, quand on est en pont de crise, on utilisera certainement pas Microsoft 365.

Nous, on utilise déjà Chap. Donc voilà, il faut mais ça demande un séquençage, ça demande une réflexion sur les différents usages pour éviter justement par cet aspect porosité au sein de notre école, c'est natif entre ces aspects effectivement faire en sorte d'être chéifier, c'est pas parfaitement satisfaisant et j'entends bien et c'est pour ça qu'à la fin je concluais sur le fait que faire coexister de sphères avec des outils différents nous aujourd'hui on a du mal à le faire. Enfin, on voit déjà tous les écueils et c'est pour ça que le projet a pris du retard.

Euh simplement en complément parce qu'on a pu poser la question à d'autres de de vos homologues mais et c'est vrai que on peut considérer à juste titre que le NS Paris Saclet comme l'École polytechnique comme d'autres établissements sont aussi parties prenantes de la solution parce que vous l'avez rappelé vous formez parmi les meilleurs cerveaux du pays qui peuvent pour certains se destiner aux technologies les plus innovantes en en matière de en matière de numérique. Donc en tout état de cause, est-ce que vous avez alerté votre autorité de tutelle sur ces difficultés qui sont désormais établi et bien connu pour que encore une fois ça ne vous revient pas directement mais le nécessaire soit fait, les décisions soient prises, qu'on puisse à un moment donné essayer de massifier l'effort et de recherche et développement en lien avec les opérateurs économiques qui nous ont redit leur disponibilité depuis maintenant plusieurs années euh et faire en sorte de développer ces solutions souveraines, efficaces, performante en matière de cybersécurité euh et répondant aussi aux impératifs budgétaires qui qui sont les vôtres. Est-ce que vous avez pu lancer cette cette alerte là, la formaliser sur la base aussi peut-être des documents dont nous avons parlé ?

Alors, c'est un très bon point et très honnêtement, je pense que la réponse est non. On a un peu l'habitude de faire avec, on fait au mieux, mais là je trouve que le rendez-vous qu'on a aujourd'hui nous permet mine de rien, de pouvoir manifester, de pouvoir expliquer pourquoi aujourd'hui effectivement on a affaire à un certain nombre d'injonction contradictoire et qu'on essaie de faire au mieux mais que honnêtement c'est pas simple. Donc c'est en ça aussi que j'avais introduit mon propos en disant que je vous remerciais.

Je pense que c'est une occasion qui sert également à à nous rendre aussi ce service de pouvoir expliquer nos nos difficultés aujourd'hui. Sinon non, en toute honnêteté, nous on a l'habitude de effectivement faire avec cet ensemble de contraintes qu'on nous donne et essayer de trouver le meilleur chemin. Est-ce que vous pouvez pardon est-ce que vous pouvez nous nous confirmer ou infirmer l'information selon laquelle parce que ça viendrait quelque peu en contradiction avec le propos liminaire que vous avez tenu, il y aurait une étude pour externaliser chez Microsoft les mails des étudiants.

Est-ce que c'est une piste de réflexion aujourd'hui ? Est-ce que c'est une perspective ? Où en êtes-vous de de cette démarche si d'aventure elle existe ?

Là, on hésite et vous parlez euh vous avez euh évoqué le fait que si vous m'avez sollicité aujourd'hui, c'est parce que vous avez été alerté. Je vous le confirme, on discute beaucoup avec nos étudiants et nos syndicats. Donc, je suis pas surprise.

C'est effectivement un sujet qui leur tient à cœur pour les raisons je vous ai expliqué tout à l'heure. C'est un sujet très important pour une grande école pour la recherche. Donc ça ne me surprend pas que effectivement ça les interroge que et d'ailleurs on en discute beaucoup avec eux et nous aide.

Alors, je pensais pas qu'il vous dirait de nous auditionner aujourd'hui. Ça c'est c'était une surprise pour moi. Mais malgré tout, le fait que ce sujet les inquiète, je l'entends et ils ont raison et on le travaille avec eux.

C'est pour vous dire pour nous, il y a une zone grise qui n'est pas simple et cette discussion avec eux nous aide aussi à faire nos choix stratégiques. Alors, je vous le disais en introduction, enfin dans ma première réaction, je vous remercie pour la la posture qui est la vôtre. Euh je tiens simplement ici à préciser euh que notre commission est parfaitement souveraine et que personne à l'exception des sénateur qui composent cette commission euh et en particulier euh son président et et son rapporteur mais ne décide euh de qui est auditionné euh et de notre programme de travail tout simplement là pour être aussi tout à fait transparent à l'égard des citoyens qui pourraient nous regarder Nous avons sur ce dossier, comme sur un certain nombre d'autres alertes quand nous estimons qu'elles sont suffisamment significatif, qu'elle recoupe des sujets de préoccupation sur lesquels nous travaillons dans le cadre de cette commission d'enquête et que nous souhaitons approfondir en raison des prérogatives qui sont les nôtres, nous programmons et nous sollicitons un certain nombre d'organisations, qu'elles relèvent de l'État ou non.

Et donc c'est bien dans ce cadre-là que nous avons que nous avons travaillé de façon parfaitement souveraine. Enfin encore une fois euh nous ne sommes soumis à aucune forme d'intérêt quel qu'il soit public comme privé mais c'est très utile là d'une certaine manière de le rappeler à la faveur de votre propos. C'est quand même très important que chacun en ait conscience ici.

Nous sommes parfaitement maître de notre agenda. Et il est clair, on avait eu déjà cette discussion avec la directrice générale de de l'École polytechnique. Agissant des établissements phares de notre système d'enseignement supérieur, il y a peut-être une responsabilité encore plus importante et donc c'est la raison pour laquelle nous souhaitons en entendre un certain nombre et donc merci encore une fois pour vos précisions.

Mais donc s'agissant des mails des étudiants, c'est aujourd'hui une hypothèse de travail. Exactement. En fait c'est c'est une hypothèse de travail et les discussions avec eux euh puisque initialement on avait séquencé le travail, on s'était dit la sphère administrative on peut avancer dessus, c'est moins risqué que le reste.

Donc on avait d'abord travaillé ça et on étudiait cette zone intermédiaire entre guillemets. Moi que j'appellerais la zone grise entre le vraiment nos souverains enfin absolument souverain qui est qui sont le laboratoire, la zone de formation formation à la recherche, qu'est-ce qu'on fait ? On l'avait imaginé, c'était une hypothèse de travail mais honnêtement les discussions avec eux révèlent vraiment ils sont ils sont effectivement porteurs.

Enfin, je veux dire de cette question, elle est très importante pour eux. On en discute on en on a eu plusieurs séances de de discussion. C'est un sujet qui est important et les discussions avec eux nous ont montré que oui, effectivement euh là la question se pose et nous donne plutôt envie d'avoir pour l'instant à travailler sur un scénario de prudence et euh plutôt à mettre dans le tout euh tout souverain, c'est-à-dire position d'attente, hein, euh soyons clair, mais euh la sphère étudiante et recherche et du coup si on déploie quelque chose, enfin voilà encore une fois puisque c'est ainsi puisque rien n'est signé mais c'est cette sphère administrative avec toutes les limites que vous avez évoqué et sur sur lequel on est parfaitement d'accord.

Alors en complément là aussi et ben c'est ce que j'évoquais d'une certaine manière tout à l'heure avec les données administratives dont on voit bien aujourd'hui qu'elles emportent généralement des significations bien plus lourdes que le le terme qu'on leur raccolle. Là, en l'occurrence, on connaît pas dans le détail l'organisation de l'ENS Paris Saclet, mais euh peut-on considérer que le pôle santé euh le relais handicap, les services RH, les mails syndicaux relèvent bien de cette sphère administrative ? Alors, si c'est le cas, ils sont amenés d'une façon ou d'une autre à traiter de données sensibles.

Je crois que vous avez aussi un pôle contre les violences sexistes et sexuelles avec forcément l'utilisation de de mail dont dans le cas présent les serveurs seraient externalisés chez chez Microsoft. Donc, j'ai bien entendu le le les précautions que vous preniez tout à l'heure en insistant sur la sensibilisation des usagers, mais malgré tout là, on a une multitude d'informations sensibles. Donc, sauf à leur dire d'une certaine manière, vous n'utilisez pas en particulier les mails euh sauf à dire "Bonjour et on se donne rendez-vous éventuellement à tel ou tel endroit." Euh là encore, ça revient dire que pour le travail qu'ils sont amenés à réaliser, il faut qu'ils utilise d'autres solutions que celle-ci.

Hm hm. Oui, la question est légitime. Les données sensibles he les données, vous parlez des données handicap, des données RH, les données pay, elles sont sur des serveurs locaux, hein, et puis des outils métiers.

Là, on est vraiment sur a priori les données elles-mêmes, mais par contre, on est bien d'accord que les outils collaboratifs et ce qu'on met dans les emails, et ce qu'on met dans les pièges jointes, là-dessus, il y a vraiment un un un sujet à travailler. D'où aussi encore une fois, nos précautions. C'est pour ça qu'aujourd'hui, on n'est pas parfaitement serein.

Honnêtement, plus le travail entre guillemets d'avancer sur ces ces outils totalement satisfaisants avancera, mieux on on sera tous enfin plus vite à l'aise, hein. Donc l'idée c'est que on fait ce choix pilote en ayant vraiment soin, je vous ai dit le mot réversibilité, on a vraiment soin de se dire là on essaye mais on sait pas si ce si ce sera effectivement satisfaisant ou pas. On voit bien le bénéfice, on voit bien les risques aussi.

Donc en réalité on veut faire une expérimentation mais euh qui doit à tout moment être réversible selon justement à terme. C'est pour ça qu'on fait la veille en parallèle sur tous les outils souverains pour pouvoir basculer plus facilement sur un outil souverain complet. Donc typiquement outil souverain complet là nous on étudie tout hein.

Évidemment vous avez sans doute en tête que si on fait Microsoft 365 à terme ça pourrait être bleu peut-être mais peut-être pas. Du coup, on veut pouvoir aussi avoir la liberté de pouvoir basculer sur autre chose. C'est pour ça que c'est entre guillemets pour l'instant seulement un projet à moins de 10000 € et que si on peut basculer plus vite sur autre chose, on est ouvert à toutes les solutions.

Donc je minisse pas du tout le risque, on en a conscience et on est vraiment sur une voilà une corde un petit peu raide entre le bénéfice de l'usage, ces solutions contournées. Encore une fois, la solution actuelle est pas non plus satisfaisante. Donc on a une phase d'expérimentation avec les limites que vous dites qu'il faut accompagner de plein de précautions, des formations mais qui sera pas idéal malgré tout.

Est-ce que dans les travaux qui ont pu être réalisés, alors c'est un petit peu délicat parce que forcément c'était sur le schéma existant, l'urbanisation existante de de vos réseaux, mais demain encore une fois, il s'agit d'imaginer les pierres des scénaris avec cet outil Microsoft 365 qui serait déployé dans un premier temps dans la sphère administrative mais utilisé par des salariés qui ont accès à des données sensibles. Encore une fois, nous ne parlons pas des travaux de recherche, mais des données liées en particulier aux ressources humaines, à des données sociales, personnelles, syndicales, enfin qui vous en doutez bien pourraient être utilisé dans le cadre de chantage. Enfin, on a vu hein ces schémas là dans d'autres activités économiques.

Est-ce que vous avez conduit une étude sur la vulnérabilité parce que d'une certaine manière avec les les usages même pour des salariés les plus vigilants possibles, on n'est jamais à l'abri d'une erreur, est-ce que ça n'est pas une forme de cheval de 3 et la possibilité directement ou indirectement de pouvoir accéder pour des personnes mal intentionnées accéder à ces informations euh à la différence du système autohébergé qui n'est pas du tout parfait. Je l'ai bien entendu, mais est-ce que ce risque là, cette vulnérabilité potentielle a été expertisé ? Euh c'est la la première question complémentaire que je souhaitais vous poser.

La deuxième question, qu'en est-il de vos interactions avec la dum ? J'ai bien compris que et encore une fois, je pense que nous pouvons l'entendre sur l'alerte de la tutelle en amont et cetera, ce n'a pas forcément été une habitude prise pas simplement par le NS Paris Saclet mais par l'ensemble des pouvoirs publics et en particulier des établissements d'enseignement supérieur. Mais au-delà de cette phase de lancement d'alerte, est-ce que il y a des échanges aujourd'hui avec la dinume pour accélérer et en lien aussi, on les a interrogé hein là-dessus mais avec les opérateurs économiques sur le développement de solutions souveraines ?

Alors sur la première question, ma compréhension des choses, c'est que en réalité on est sur les les deux risques, le risque souveraineté potentiel économique versus le risque cyber. Il me semble que les les les les personnes mal intentionnées, on est plutôt dans le domaine du risque cyber et donc le risque contre les attaques, les cyberattaques. Et dans ces cas-là, pour cet aspect-là, Microsoft 365 est fort.

Ils sont très sécurisés, c'est pas dire que d'autres le sont pas mais là-dessus ils sont très bons. Donc en fait pour ces aspects attaque malintentionnées, chantage et cetera, c'est pas l'aspect souveraineté. Ça, je pense que enfin le potentiel économique de cet aspect-là, il est moindre que le potentiel économique des laboratoires.

Donc pour l'aspect sécurité, euh oui, c'est bien un aspect qui compte dans le critère de choix de pourquoi pas Microsoft 365. Encore une fois, sur cet aspect sécurité, ils sont plutôt satisfaisants. Donc ça c'est le premier aspect sur le côté sécurité.

Est-ce que c'est bien un sujet qui euh est pris en compte pour nos nos nos choix, enfin pour parmi nos critères ? Oui, vous vous souvenez, pour moi c'est un critère essentiel, la sécurité contre les cyberattaques. Encore une fois, hein euh cyberattaque juste à côté de nous euh sur l'université Paris Scler, on est très sensible à ce sujet et pour ça, il se trouve que Microsoft 365 est est bon.

Euh c'est vraiment sur l'aspect souveraineté, espionnage industriel. Donc voilà, l'un dans l'autre, je dis pas que c'est encore une fois faut pas accompagner tout ça de plein de précautions, mais en tout cas pour l'aspect risque esprit malintentionné, euh c'est malgré tout là-dessus, c'est plutôt compétitif. sur le point d'inume.

Sur le point d'inume, juste sur le ce point-là. Encore une fois, il s'agit pas de de noircir à l'excès le tableau, mais euh nous avons bien eu confirmation euh par notamment Alain Juillet que l'appareil d'État américain euh à l'échelle fédérale mais se mobilisait totalement en matière de commande publique, à la fois dans une dimension qu'on va qualifier de défensive, c'est-à-dire limiter l'entrée de nouveaux acteurs sur le marché américain et également de manière offense. pour aller chercher des marchés à l'étranger et s'en servir aussi comme des aspirateurs à donné directement ou indirectement.

Donc il y a à la fois les actes malveillants de de cybersécurité, mais il pourrait y avoir aussi euh encore une fois évidemment Microsoft vous garantira sans doute que non, mais euh la porosité entre ces géants américains et l'appareil d'État américain est quand même plutôt bien établi. Et vous avez rappelé le Cloud Act, il y a aussi le PA Act et cetera. enfin donc des lois aujourd'hui à caractère enfin d'application extraterritorial.

Euh donc c'est ça cette augmentation très singulière des des risques euh pour des données et des acteurs qui sont pour nous à l'échelle nationale européenne évidemment décisif en particulier sur le développement euh de nouvelles technologies euh que ce soit dans le numérique ou ailleurs. Donc c'est c'est là où le le fait de lier une solution Microsoft 365 à des solutions qui pour l'instant sont autohébergées pourrait introduire vu un peu de l'extérieur mais solution de enfin une situation de fragilité pour encore une fois ces puissances qui sont à la recherche de données qui aujourd'hui sont lors du du 21e siècle et on en est tous convaincus. Donc c'est c'est ce point-là le coût bénéfice risque Ouais. a-t-il été précisément évalué ou fait-il l'objet du d'une évaluation ?

Puis je vous laisse répondre sur la dumme. D'accord. Donc là moi précisément je suis je pas les éléments de réponse pour préciser ce point exactement.

Donc je pense qu'on reviendra. On a deux personnes qualifiées à l'école pour pouvoir étayer cette question là. C'est notre personne en charge la protection des données.

On a un DPD DC pour c'est quoi le D ? protection des données. Oui, ça c'est la suite.

Délégué à la protection des données et puis notre RSSI également à la sécurité informatique. Donc on les sollicitera et puis on pourra vous vous expliciter plus factuellement comment ce risque a été pris en compte pour la rédaction du schéma numérique et sur la et sur la dinum. Alors là-dessus euh pour le coup le le travail il se fait notamment en réseau.

Je à ma connaissance on n'est pas en interaction directe nous établissement seul avec la dumif à l'échelle du plateau de sa clé entre l'ensemble des des directeurs des systèmes d'information. Donc c'est plus à l'échelle de ce de ce réseau que se fait l'interaction avec la dum mais nous on n pas une interaction en bilatérale directe avec la dum. Est-ce que vous pourriez nous en dire davantage ?

Je sais pas c'est monsieur qui avait l'air de d'être bien informé de de ce travail avec la laadinum. Les modalités d'organisation si vous les avez ou si vous ne les avez pas nous les communiquer à l'issue de l'audition. Je pense que D'accord.

Donc on vous fera peut-être un complément plus par écrit plus complet. Entendu. Ben écoutez, merci.

Peut-être un ou deux points. Merci. Merci président.

Merci beaucoup hein pour ces explications très intéressantes. Moi je m'interroge sur les problématiques que vous rencontrez. Ce sont celles que rencontre, j'imagine l'X hein, grosso modo sur le plan informatique, sur le plan du développement des outils.

Euh est-ce que vous travaillez avec eux sur une réflexion pour concevoir quelque chose et trouver des solutions communes ? Alors, c'est une très bonne suggestion. On est on est on n'est pas loin géographiquement, on est de part de l'année 118 mais malgré tout on n'est pas dans les mêmes structures académiques.

Nous on est intégré dans l'université Paris-Sacet Polytechnique et intégré dans l'Institut Polytechnique de Paris mais je trouve très intéressant qu'on travaille ensemble du fait que on a des mêmes missions pour le service public. Donc je prends tout à fait note de la suggestion. On travaille un peu, on interagit avec avec madame Chubard mais pas pas si fréquemment.

On est chacune dans notre dans notre structure. Voilà. Mais intéressant.

Vous êtes vous êtes dans votre dans votre enfin dans votre monde hein. Après ce que je me demandais c'était aujourd'hui dans l'état où se trouve dans l'état que vous nous avez décrit à quel moment vous vous envisagez de parvenir à une solution répondant à l'observation des quatre critères que vous aviez évoqués ? C'est quelle horizon ?

C'est une question qui n'est pas à notre main. On l'espère à l'échelle de 1 an puisque je sais que c'est un travail qui est extrêmement actif, qui est très enfin qui me semble être prioritaire pour la nation. Donc je pense qu'il y a c'est un sujet qui avance vite.

On souhaiterait qu'elles arrivent à l'échelle d'un an euh mais on a aucune garantie de notre point de vue. Donc c'est pour ça qu'on est obligé d'étudier ces solutions hybrides intermédiaires pour pas rester dans l'état actuel. D'accord.

D'accord. Mais cette situation hybride c'est une situation d'une durée maximum de 1 an ou un an et demi, pas plus. C'est ce qu'on souhaite.

Oui, c'est d'accord. C'est notre souhait. Mais ça c'est ce qu'il faudrait qu'on note.

Après, j'avais une petite question, enfin deux trois petites questions rapide hein. Les actions mises en œuvre pour sensibiliser et former les étudiants chercheurs et personnel de l'ENS aux enjeux de souveraineté numérique et de cybersécurité parce qu'on a vu hein que bon c'est par leur canal, c'est par leur intermédiaire qu'on peut avoir des qu'on peut rencontrer des difficultés, des fuites d'information et cetera. Donc est-ce que vous avez une politique de formation bien adaptée ?

Oui, la réponse est oui. Euh la personne qu'on a recruté en RSSI, ça fait partie d'une de ces missions très importantes. Il y a euh la sécurité en tant que telle, mais il y a la formation à la sécurité, ça fait partie de de sa de sa feuille de route.

D'accord. Et donc, elle est elle est très active. D'accord.

Enfin, pour revenir à la commande publique, quand vous passez des marchés publics avec des prestataires, comment prenez-vous en compte la souveraineté numérique lors de la la sélection de ces de vos prestataires, notamment ce qui concerne l'hébergement des données, les services cloud et les logiciels utilisés. Est-ce que ça c'est quelque chose sur lequel vous penchez ? Bon, j'imagine que est-ce que le nombre de marchés passés par le NS est significatif ?

C'est pas certain ça. Si au sens, est-ce qu'on pèse pour négocier nous directement ? Non non non, faut qu'on passe par des marchés public, faut qu'on passe par des choses qui sont négociées à une échelle du enfin de de du ministère en réalité.

D'accord. Mais mais quand vous êtes en lien avec un fournisseur potentiel, est-ce que ça c'est des points qui sont checkés ? Les points que j'ai évoqué.

Alors nous c'est une nécessité. On passe forcément on fait pas nos appels d'offre tout seul, on est trop petit. On passe par des marchés publics, par des centrales d'achat qui sont négociées à l'échelle du ministère.

Donc je parlais de Ra, je parlais de Lugap, voilà comment fonctionne. Ouais. D'accord.

Bon pour moi, c'est bon hein. Président simplement dernière petite question. Euh est-ce que vous pouvez nous confirmer parce que dans les alertes qui nous ont été adressées eu donc le le schéma directeur du numérique nous en parlé mais vous nous avez bien dit que la discussion était en cours mais est-il vrai ?

C'est c'est de la forme évidemment mais ça a quand même une une forme d'importance. Le le plan de de bureautique serait dénommé 365. Est-ce que c'est le cas ?

Parce que vous voyez bien qu'en terme d'orientation, enfin si on me présentait le document et qu'on m'expliquait que dans le même moment la décision n'était pas formellement prise, je j'aurais probablement raison de nourrir quelques doutes. A priorie, vous avez raison, c'est un choix malheureux. Euh je préfère le dire sincèrement.

En fait, on voulait l'appeler, on aurait dû l'appeler ENS 360. L'idée c'est d'imaginer un environnement bureautique qui répond à tous les besoins. Du coup 360° et on a fait un mauvais jeu de mot avec Microsoft 365 mais 365 mais c'était pas du tout une bonne idée puisque ça sous-entend ce que vous dites là ce qui n'est pas du tout le cas.

C'est très clair. Ben écoutez merci. Donc nous vous demanderons communication euh si vous pouvez nous les adresser là dans les meilleurs délais à la fois le document qui a pu être réalisé donc dans le cadre de l'audit et puis euh les livrables de la mission d'accompagnement par HWA et puis les petits compléments techniques à la fois en matière de de lutte contre les les risques cyber au sens très large.

Je vais y intégrer évidemment la question de la vulnérabilité et de l'espionnage et puis le sujet du travail en réseau avec la DINUM. Puis si dans les 15 jours 3 semaines vous vous souhaitiez nous faire part de de compléments d'éléments que vous n'auriez pas eu le temps d'évoquer, nous restons à votre disposition. Merci à vous en tout cas.

Merci. р Qu'est-ce