Cloud, avantage ou inconvénient ? Débat

Publié le 10/05/2022

Article réservé aux abonnés

Les clouds, sujet sensible ? Pas seulement pour des raisons de souveraineté comme le montre l'exemple d'Azure, le serveur de Microsoft, qui héberge les données de santé des Français. En fait, tout se mélange. L'observateur (averti) s'étonne de cette situation où les hôpitaux français afin de pallier leur manque de ressources semblent n'avoir plus d'autre choix que d'exporter leurs données et leurs solutions vers les clouds américains, les seuls susceptibles de leur apporter un service de qualité optimal. Frédéric Descamps (Advens) prévient : « Il faut mettre en place des plans d'assurance qualité ou au minimum des clauses très strictes avec le fournisseur du cloud afin d'être certain que la donnée est bien protégée au bon niveau. » Alors que certains hébergeurs de DPI dans les clouds ont connu des ruptures de services assez longues (72 heures) pendant lesquelles les établissements n'avaient plus accès à aucune donnée dans leur DPI, les établissements doivent se poser sérieusement la question des données qu'ils font migrer dans les clouds en réalisant une cartographie de sécurité sur les données à exporter ou à garder en local. Guillaume Deraedt qui se dit favorable à une hybridation pense que les messageries peuvent être exportables, mais que les données des systèmes d'information essentiels « nécessitent des clouds bien sécurisés de proximité et plus souverains » Réglementairement, pour y parvenir, il faudrait une modification du code des marchés publics, indique-t-il. Selon Olivier Eyries, il n'existe pas ou peu de failles dans les configurations de base des clouds (américains). Mais dès qu'un établissement change les accès et ajoute des applications, ce qu'il est presque toujours obligé de faire pour intégrer toutes ses applications, la sécurité lui incombe. Résultat, les établissements conservent leurs données aussi en local, multiplient les surfaces d'exposition et augmentent donc les risques potentiels. La gestion du risque cloud est un autre métier, bien plus complexe que celui de RSSI. Comment arrêter cette spirale ?