6.1. Aspects juridiques/légaux
Les aspects juridiques et légaux ne sont ni plus ni moins que ceux d’un contrat de services.
Deux points sont tout de même à surveiller:
-
De par l’organisation des services du prestataire, les données qu’on lui confie peuvent se trouver dans n’importe lequel de ses centres de données, et de ce fait tomber sous la législation particulière du pays où se trouve ce centre. Du fait des systèmes (infrastructures ou applications) délocalisés, le contrat entre les deux parties doit bien préciser le pays de l’exécution du contrat, sinon en cas de litige c’est la loi du pays où résident les serveurs qui s’applique. Ceci peut avoir des conséquences dans le cas où ce pays hébergeant les serveurs applique des règles moins strictes que celles de l’Union Européenne.
-
La relation, surtout dans le mode Cloud public, n’est pas similaire à la relation contractuelle habituelle entre deux partenaires. Ici, les conditions - définies par le vendeur - paraissent non négociables. Au nombre des points de vigilance, on portera attention sur l’auditabilité, les SLAs, les pénalités, la réversibilité, la propriété des données…
Par surcroît, il faudra vérifier que les obligations légales spécifiques de certains métiers comme le secteur bancaire ou le secteur de la santé peuvent être respectées dans le Cloud Computing.
6.2. Sécurité et confidentialité
« Sécurité et confidentialité » sont souvent citées comme freins majeurs à l’adoption des services Cloud. Qu’en est-il réellement ?
L’accès aux données hébergées dans le Cloud présente en général un haut niveau de sécurité en raison des mécanismes d’authentification mis en place par les fournisseurs de service. Ces mécanismes peuvent d’ailleurs être renforcés par les solutions Corporate clients, de gestion d’identités, qui sont alors placées en amont d’un lien unique avec le fournisseur de solutions Cloud ; notons cependant que certains fournisseurs seulement acceptent une telle architecture. Intrinsèquement, la virtualisation de l’infrastructure (caractéristique du Cloud) protège l’accès aux données.
Qu’en est-il des failles de sécurité ? De l’intégrité des données et des fichiers ? De leur sauvegarde et restauration? De leur stockage ? Le Cloud doit être, dans ce registre, totalement « auditable » afin de répondre à ses craintes légitimes.
Les entreprises clientes doivent considérer les points suivants :
-
Quels types d’informations sont accessibles dans le Cloud ? Qui peut y accéder et comment sont-elles isolées des éléments non sécurisés ?
-
Qui dispose de droits pour envoyer et recevoir des données sensibles en dehors du périmètre de l’entreprise ?
-
Quelles sont les données qui ne doivent pas sortir de l’entreprise ?
-
Comment les données sensibles doivent-elles être envoyées ? En clair ou en cryptant certaines d’entre elles ?
Apparaissent des offres de « colocation sécurisée » qui permettent à leurs clients communs de déployer une véritableisolation, de bout en bout, qui cloisonne les applications au travers de chacune des couches de l’infrastructure informatique (du serveur au stockage à travers le réseau).
(*) SAS 70 : Statement on Auditing Standards no.70, norme reconnue au niveau international, notamment comme élément de conformité à Sarbanes-Oxley, créée pour définir les méthodes des organismes chargés du contrôle de la qualité du service offert par des prestataires externes.
6.3. Disponibilité
Même si elles sont extrêmement rares, les « pannes » de service des fournisseurs Cloud ont un grand retentissement. Normalement la redondance des applications et des données est consubstantielle à l’architecture Cloud, ce qui élimine pratiquement les causes d’origine matérielle. Les interruptions de services sont en général dues à des problèmes logiciels ou réseaux, voire à des virus ou à des actes malveillants. En général les fournisseurs de services Cloud donnent des engagements de qualité de service mais ne prévoient pas toujours de pénalités en cas de non-respect de ces engagements.
Au quotidien, les fournisseurs de services Cloud proposent (ou se doivent de proposer) une offre de services pour faire face aux problèmes de support clients, utilisateurs comme DSI. Le fonctionnement opérationnel du Cloud reste, sur une longue période, largement supérieure à celle d’une informatique « standard ». Toutefois l’impossibilité de renforcer le Cloud à des moments critiques de la vie de l’entreprise peut avoir un côté frustrant. Ceci peut être résolu par des solutions applicatives additionnelles comme la mise en place d’un plan de secours externe.
La plupart des offreurs de Cloud disposent de SLAs garantissant un certain niveau de disponibilité. Le niveau réel est souvent bien supérieur, et garanti par l’aspect «multi-tenant» (pour certains offreurs). En effet, si une interruption de service implique des centaines de clients et non pas seulement un, la réactivité du prestataire n’en sera en général que meilleure.
6.4. Cohérence et communication temps réel entre SI interne et partie Cloud
Sujet très important, car les Clouds publics et privés sont amenés à interagir a minima sur les sujets identity management (annuaire, fédération d’identité) et sécurité (SSO* par exemple). La publication des APIs permet cette intégration. A ce jour, le Cloud n’est pas intrinsèquement adapté à une architecture temps réel : il doit fonctionner en mode asynchrone par rapport au système d’information.
(*) SSO : Single Sign-On, méthode d’identification unique d’un utilisateur lui permettant d’accéder à différentes applications
6.5. Limites de capacité et de charge des réseaux
Selon les prestataires, les applications « Cloud » sont plus ou moins optimisées et gourmandes en bande passante. On constate :
-
moins de téléchargements (grâce aux navigateurs html et aussi au fait que les documents ne sont pas échangés en pièces jointes mais centralisés de façon unique sur le Cloud)
-
des optimisations de bande passante liées aux optimisations d’interface
-
des réductions de bande passante des utilisateurs mobiles qui accèdent aux applications directement par le Net et non plus via un site central
-
des réductions de bande passante liées au blocage de spams/ virus à l’entrée sur l’email.
Cependant, la croissance actuelle des réseaux sociaux et des échanges multimédia (grand public, principalement) ne pourra être soutenue durablement par les réseaux, quels que soient les progrès technologiques à venir. La question se pose, et elle n’est pas nouvelle, de trouver un modèle garantissant, ou priorisant, le bon fonctionnement des applications professionnelles « Business-to-business » et institutionnelles.
6.6. Réversibilité
C’est l’un des problèmes majeurs du Cloud Computing car les clients ne doivent pas être, ou se sentir, captifs d’un Cloud. Ils devront regarder de près les outils, normes et standards utilisés par le fournisseur. Et rester attentifs aux processus proposés par le fournisseur tout au long du contrat, pour garantir à tout moment la réversibilité.
La virtualisation de l’infrastructure réduit le problème de la réversibilité matérielle à la réversibilité applicative. Se pose la question de la compatibilité de la technologie utilisée. Si l’hébergeur s’appuie sur une technologie de virtualisation exotique ou peu répandue, il faudra s’assurer que celui-ci garantit la conversion de l’existant sous une technologie standard. De nombreuses solutions de réversibilité sont efficientes, notamment par le biais de plates-formes d’agrégation de services venant de fournisseurs différents.
Certains acteurs du Cloud abordent d’emblée et sans tabou ce sujet : ils présentent sur des sites web ouverts à tous des informations utiles et solutions concrètes de réversibilité.
Par ailleurs, 300 acteurs du marché sont signataires de l’ « Open Cloud Manifesto » (Manifeste pour des nuagesouverts…). Quelques grands principes ont été édictés engageant ces prestataires à : apporter des solutions ouverts ; ne pas rendre captifs leurs clients ; utiliser et adopter des normes existantes et à en limiter la multiplication ; engager des efforts d’amélioration pour répondre prioritairement aux besoins des clients (et non pour de pures raisons techniques) ; à collaborer avec les organismes de normalisation, les groupes défense et les communautés de l’informatique dans le nuage afin de ne pas entrer en conflit, ou en redondance, avec elles.