(2026) Working Document 002/IHSI/2026: Decision Matrix for Choosing Sovereign Cloud Providers

IHSI — Institut Haïtien de Statistique et d'Informatique DT. N° 002/IHSI/2026 RÉPUBLIQUE D'HAÏTI LIBERTÉ – ÉGALITÉ – FRATERNITÉ Institut Haïtien de Statistique et d'Informatique (IHSI) DT. N° 002/IHSI/2026 | DOCUMENT DE TRAVAIL MATRICE DE DÉCISION POUR LE CHOIX DES FOURNISSEURS CLOUD SOUVERAINS Conformément à l'Article 24.13(b) du Décret du 1er Juillet 2020 et en application des Directives N° 001 à 006/IHSI/2026 révisées, l'IHSI produit le présent Document de travail révisé. La matrice intègre la neutralité géographique, l'éligibilité des Profils B (cloud public avec HSM dédié) et la pondération du Confidential Computing. Ce document est un outil méthodologique d'aide à la décision — il ne constitue pas une présélection de prestataire. Le choix définitif résultera exclusivement d'un appel d'offres public ouvert. 1. Note liminaire importante La présente matrice est un outil méthodologique d'aide à la décision révisé pour intégrer le cadre de souveraineté mis à jour. Les fournisseurs cités le sont à titre illustratif. Le choix définitif résultera exclusivement d'un appel d'offres public ouvert et transparent. Révision fondamentale — Neutralité géographique adoptée La version révisée supprime le critère de localisation géographique obligatoire (Union européenne, Allemagne). Le critère 2 évalue désormais la présence d'une zone géographique distincte pour la redondance — et non la localisation en UE. Les fournisseurs de Profil B (AWS, Azure, Google avec HSM dédié) sont éligibles et peuvent obtenir un score élevé. 2. Critères d'évaluation et pondération révisés N° Critère d'évaluation 1 Souveraineté — BYOK/HSM dédié physiquement inaccessible au fournisseur 25 % Critère fondamental — Art. 24.13 — éliminatoire si non respecté 2 Redondance — Second fournisseur disponible dans zone géographique distincte 15 % Exigence multi-fournisseurs — Dir. N° 004/IHSI/2026 révisée 3 Certifications sécurité — ISO 27001 (oblig.) + SecNumCloud v3.2+ (différenciant) 15 % Standard de référence IHSI — Dir. N° 002/IHSI/2026 Page 1 / 3 Pondération | Justification Confidentiel — IHSI/2026 IHSI — Institut Haïtien de Statistique et d'Informatique DT. N° 002/IHSI/2026 4 Confidential Computing — TEE/Enclave disponible pour données Niveau 1 15 % Couche 3 du modèle tricouche — Dir. N° 004/IHSI/2026 révisée 5 Disponibilité d'un service de messagerie souverain natif ou compatible 10 % Dir. N° 005/IHSI/2026 révisée 6 Disponibilité d'IaaS bare metal (serveurs applicatifs dédiés) 10 % Art. 24.11 du Décret — données Niveau 1 7 Engagement contractuel — Clauses 1 à 12 de l'IT. N° 002/IHSI/2026 5% Souveraineté juridique 8 Prix — Coût total de possession sur 5 ans 5% Optimisation budgétaire 3. Profils de prestataires et scoring illustratif C1 (25%) C2 (15%) C3 (15%) C4 (15%) C5-C6 (20%) C7-C8 (10%) Bare metal, ISO 27001, HSM physique, BYOK, TEE disponible, non CLOUD Act 25 15 12 13 18 8 91/100 Profil B Cloud Public + HSM Dédié Cloud public (AWS/Azure/Google), HSM physique dédié, BYOK, TEE disponible, CLOUD Act mais HSM inaccessible 25 13 10 13 15 8 84/100 Profil C Cloud Caribéen Fournisseur caribéen, ISO 27001, BYOK, non CLOUD Act 25 15 8 8 14 7 77/100 Profil D INTERDIT Sans HSM dédié indépendant — fournisseur avec accès aux clés 0 N/A N/A N/A N/A N/A ÉLIMINÉ Profil Caractéristiques Profil A Bare Metal Souverain Score 4. Clause d'exclusion automatique — À insérer dans tout appel d'offres Clause d'exclusion révisée "Sont déclarés non éligibles les soumissionnaires incapables de proposer un Module de Sécurité Matériel (HSM) physique dédié, certifié FIPS 140-2 Niveau 3, physiquement inaccessible au fournisseur et à tout tiers, dans lequel les clés de chiffrement de l'État haïtien sont stockées exclusivement sous le contrôle de l'IHSI. Cette exclusion s'applique indépendamment de la localisation géographique, de la juridiction et de toute structure juridique intermédiaire." (voir aussi IT. N° 002/IHSI/2026, Clause 2) Page 2 / 3 | Confidentiel — IHSI/2026 IHSI — Institut Haïtien de Statistique et d'Informatique DT. N° 002/IHSI/2026 5. Cas particulier — Microsoft Azure et Office 365 Question Réponse IHSI Microsoft Azure est-il éligible ? OUI — si Microsoft Azure Dedicated HSM est déployé. Le HSM physique est exclusivement dédié à l'État haïtien et physiquement inaccessible à Microsoft. Avec Customer Key (BYOK) et Confidential Computing (Azure Confidential Computing), la solution atteint le Profil B. Office 365 / Exchange Online est-il éligible pour la messagerie ? OUI — avec Azure Dedicated HSM + Customer Key pour Microsoft 365. Cette configuration est classifiée Profil B et acceptable pour les serveurs de messagerie (Niveau 2 — Sensible) selon la Dir. N° 005/IHSI/2026 révisée. AWS est-il éligible ? OUI — avec AWS CloudHSM (HSM physique dédié, inaccessible à AWS) + BYOK + AWS Nitro Enclaves pour Confidential Computing. Score Profil B. Google Cloud est-il éligible ? OUI — avec Google Cloud EKM (External Key Manager — clés hors de portée de Google) + Google Confidential VMs (AMD SEV). Score Profil B. 6. Révision périodique La présente matrice est révisée annuellement par l'IHSI ou en cas d'évolution significative du cadre légal ou des certifications. Toute révision est soumise à l'approbation du CNSI (Article 12 du Décret du 1er Juillet 2020). Résolution CNSI N° XX/2026 Circulaire MEF N° XX/2026 Port-au-Prince, le [JJ/MM/AAAA] ________________________________ [Prénom NOM] [Prénom NOM] Directeur Général de l'IHSI Page 3 / 3 ________________________________ Me Brunache — Conseiller juridique | Confidentiel — IHSI/2026