Le 26 octobre, La Ecuación Digital rapporte qu’AWS a mené le 24 octobre l’exercice annoncé pour AWS European Sovereign Cloud (ESC), en Brandebourg, en Allemagne. AWS avait prévu un test de plusieurs heures et annoncé qu’il communiquerait ensuite une mise à jour aux clients et aux autorités de régulation. La réalisation est rapportée par La Ecuación Digital; AWS avait présenté l’exercice comme un projet avant la date prévue.

Ce qu’AWS prévoyait de déconnecter

AWS comptait retirer pendant plusieurs heures la connexion de l’ESC à AWS Global Network, son réseau privé. Le trafic concerné devait emprunter des connexions Internet dédiées fournies par des opérateurs européens. L’ESC devait donc rester connecté à Internet.

AWS prévoyait aussi de désactiver un système distinct utilisé pour certains transferts opérationnels : le miroir de code source validé, les mises à jour logicielles et une quantité limitée d’informations courantes approuvées. AWS indique que les contenus des clients et les métadonnées créées par les clients restent dans l’Union européenne. Ces données sont distinctes des transferts opérationnels visés par l’exercice.

L’équipe chargée de l’opération devait être composée de résidents de l’UE et utiliser les ressources matérielles et logicielles de l’ESC. AWS indiquait avant le test ne pas prévoir d’effet sur la disponibilité de l’ESC, des autres régions AWS ou d’AWS Direct Connect. L’entreprise signalait toutefois de possibles brèves perturbations pendant la convergence des routes, c’est-à-dire le temps nécessaire pour que le trafic emprunte les nouveaux chemins réseau.

La portée d’un test de quelques heures

L’exercice portait sur une question circonscrite : la continuité opérationnelle de l’ESC pendant plusieurs heures sans AWS Global Network et sans le système distinct de transferts opérationnels. Sa durée annoncée borne cette évaluation à ces conditions; l’autonomie sur des semaines ou des mois, les dépendances de la chaîne d’approvisionnement et les questions juridiques relèvent d’autres sujets.

AWS avait présenté l’exercice comme un moyen de produire des éléments techniques et opérationnels liés au cadre de souveraineté du cloud de la Commission européenne et aux critères C3A de l’Office fédéral allemand pour la sécurité des technologies de l’information (BSI). L’exercice était annoncé comme une opération de continuité, pas comme une certification.