Solution cloud en entreprise

Cadrer le besoin avant de comparer des fournisseurs

Les comparatifs de fournisseurs arrivent presque toujours trop tôt. Tant qu’on ne sait pas précisément ce qu’on veut déplacer, aucune grille de comparaison n’a de sens : les mêmes caractéristiques techniques donnent des conclusions opposées selon ce qu’on héberge.

Une messagerie interrompue une demi-journée gêne, un système de prise de commandes interrompu une demi-journée coûte. C’est ce genre d’écart, et non la fiche produit du prestataire, qui détermine le niveau de disponibilité qu’on acceptera de payer.

Le coût réel d’une solution cloud

La promesse d’économie tient rarement telle quelle. Le cloud transforme un investissement en dépense courante, ce qui change la structure du budget mais pas nécessairement son montant. Les dérapages viennent presque toujours des mêmes postes, et ils ne sont pas visibles au moment du devis.

Le pilotage se met en place dès la mise en service, pas après la première mauvaise surprise. Trois mesures suffisent à reprendre la main : poser des alertes de dépense par seuil, étiqueter chaque ressource par projet ou par équipe pour savoir qui consomme quoi, et planifier l’extinction automatique des environnements hors production. Aucune n’est technique au point de nécessiter un spécialiste.

Sécurité

qui répond de quoi

Confier son infrastructure à un grand hébergeur ne transfère pas la responsabilité de la sécurité, il la partage. Le fournisseur répond de ce qu’il exploite : les centres de données, le matériel, la couche de virtualisation, la disponibilité annoncée. Le client répond de tout ce qui se trouve au-dessus.

Concrètement, cela veut dire les comptes et leurs droits, l’authentification, les règles de filtrage réseau, les paramètres de partage, le chiffrement des données applicatives, les correctifs des systèmes qu’on administre soi-même. Les incidents les mieux documentés de ces dernières années ne viennent pas d’une faille du fournisseur mais d’une configuration côté client : un espace de stockage ouvert à tous, un compte administrateur sans double facteur, une clé d’accès laissée dans un dépôt de code.

Où vivent les données

localisation et souveraineté

Deux questions se ressemblent et n’ont rien à voir. La première est physique : dans quel pays se trouvent les serveurs. La seconde est juridique : à quel droit le fournisseur est-il soumis. Un centre de données situé en France mais exploité par une société relevant d’une législation extraterritoriale n’est pas dans la même situation qu’un hébergeur strictement européen.

Avant même cette discussion, un cadre s’applique à toutes les entreprises sans exception : le règlement général sur la protection des données. Le fournisseur cloud y agit comme sous-traitant, ce qui suppose un contrat de sous-traitance en bonne et due forme, une liste tenue à jour des sous-traitants ultérieurs, et un régime particulier dès qu’un transfert a lieu hors de l’Union européenne. Ce n’est pas une option de gamme, c’est le socle.

Au-dessus se place la qualification SecNumCloud, délivrée par l’ANSSI. Son référentiel couvre plusieurs centaines d’exigences techniques, organisationnelles et juridiques, et intègre des critères d’immunité aux législations extraterritoriales — le référentiel publié par l’ANSSI en fixe le détail à jour. La qualification est délivrée pour une durée limitée et suppose un audit de suivi intermédiaire, ce qui en fait un engagement dans le temps et pas une simple attestation.

Sa portée obligatoire concerne l’État et les données sensibles des administrations. Pour une entreprise privée, elle reste une recommandation et non une obligation légale, mais elle est devenue un repère de fait dans les secteurs régulés et un critère de plus en plus fréquent dans les appels d’offres. La liste des services qualifiés est publiée par l’ANSSI : c’est la seule source à jour, les recensements publiés ailleurs vieillissent en quelques mois.

À cela s’ajoute la directive européenne NIS2, qui élargit considérablement le nombre d’organisations soumises à des exigences de cybersécurité et intègre la sécurité de la chaîne de sous-traitance. Sa transposition en droit français n’était pas achevée à la date de rédaction, et le choix d’un fournisseur cloud entre directement dans son périmètre.

La sortie se prépare avant l’entrée

Un fournisseur se choisit aussi sur la facilité qu’on aura à le quitter. Cette question, presque toujours repoussée à la fin, devrait figurer dans les critères de départ, parce que c’est elle qui détermine le rapport de force pendant toute la durée du contrat.

Trois éléments la conditionnent. Les formats d’export d’abord : une donnée restituée dans un format documenté et ouvert se réimporte, un format propriétaire se renégocie. La documentation des interfaces ensuite, sans laquelle la reconstruction d’une intégration devient un projet à part entière. Enfin le degré de dépendance aux services propriétaires du fournisseur : plus une application s’appuie sur des briques spécifiques, plus elle est coûteuse à déplacer.

Cela ne dispense pas de vérifier les clauses. Un texte européen fixe une obligation, il n’écrit pas le contrat à la place du client, et la qualité technique de la restitution reste très variable d’un prestataire à l’autre.

Ce qui doit figurer au contrat, et les compétences à prévoir

Certains engagements ne valent que s’ils sont écrits. Le tableau ci-dessous reprend ceux qu’on retrouve le plus souvent absents ou trop vagues au moment où ils devraient servir.

Reste la question des compétences. Le cloud ne supprime pas le besoin d’expertise interne, il le déplace. On administre moins de matériel, mais il faut piloter une dépense variable, gérer des identités et des droits qui se multiplient, superviser des services répartis, et savoir lire une facture technique. Une organisation qui migre sans prévoir ce transfert de compétences se retrouve avec une infrastructure moderne que personne ne sait vraiment tenir.