Les sept risques du « cloud computing »
Le « cloud computing » est perçu comme vital à l'avenir par le cabinet Gartner. Ces analystes décèlent cependant sept points faibles dans cette architecture. Des points faibles qu'il convient de cerner au préalable avec son fournisseur. Selon le Gartner Group, l'impact du « cloud computing » sur les directions des systèmes d'information aura une magnitude similaire à celle déclenchée par le commerce électronique. Malgré cette prédiction, le cabinet d'analystes préfère alerter sur les risques inhérents à l'utilisation de ressources et de services informatiques mis à disposition par des tiers, via Internet. Il énumère sept points clés à clarifier avant de signer avec un fournisseur. 1 - La confiance dans son prestataire : sous-traiter ses données les plus sensibles ne peut s'envisager que si l'on a la certitude que les informaticiens du sous-traitant sont dignes de confiance et que leurs faits et gestes sont contrôlés. Le Gartner recommande un droit de regard et de contrôle sur les personnels du fournisseur. De là à dire qu'un contrat de « cloud computing » doit être signé selon les personnes qui pourraient avoir accès aux ressources et aux services fournis... 2 - Conformité réglementaire Au final, c'est le propriétaire des données qui est tenu responsable en cas d'infraction à la législation. Les fournisseurs de « cloud computing » doivent se plier à toutes les demandes d'audit externes et disposer de toutes les certifications de sécurité nécessaires pour que leurs clients aient la certitude d'être couverts. 3 - Localisation des données L'utilisation de sites de stockage multiples fait partie des points forts du « cloud computing », mais aussi de ses points faibles. En effet, la dématérialisation touche à ses limites lorsqu'on s'intéresse au lieu où se trouve implanté un site de stockage. Les données qu'il contient relèvent alors du régime juridique local. Autant savoir sous quel cadre réglementaire peuvent se trouver ses données. 4- Isolement des données Par définition, le « cloud computing » rime avec partage des ressources. Cela engendre une menace sur la confidentialité des données. Il faut s'assurer ... ... de leur chiffrement et de la possibilité de les isoler. Un chiffrement qui ne respecte pas les règles de l'art peut déboucher sur une perte irréversible. 5 - Récupération des données Ignorer où se trouvent ses données ne veut pas dire que l'on ne puisse pas avoir l'assurance des moyens mis en place pour leur sauvegarde en cas de problème majeur. La réplication sur plusieurs sites distants est un impératif. Idem pour une restauration complète dans des délais contractuels. 6 - Coopération avec la justice Une architecture en « cloud computing » ne doit pas empêcher de répondre aux injonctions de la justice, que ce soit pour des raisons fiscales ou d'ordre juridique. La traçabilité de l'accès aux données, en particulier, peut être une gageure pour le fournisseur. Un accord contractuel voire, dans l'idéal, la démonstration qu'il a été répondu facilement aux demandes lors d'une précédente enquête, s'imposent. 7 - Viabilité à long terme Le fournisseur idéal de 'cloud computing' ne défaille jamais et gagne suffisamment bien sa vie pour, d'une part, ne pas déposer le bilan et, d'autre part, ne pas devenir une cible et être absorbé. Quoi qu'il en soit, les données de ses clients doivent traverser ces éventuels aléas sans en être affectées et, surtout, pouvoir être restituées. La description précise de cette restitution (conditions, délais, formats) doit figurer dans le contrat originel. Après, il sera trop tard.
