Cloud Computing : comment ne pas se faire dévorer par le nuage ?

Pour une entreprise, délocaliser une partie de son infrastructure informatique sur le Cloud constitue une menace réelle pour la continuité du service. Pour autant, faut-il avoir peur du Cloud ?
Toutes les entreprises qui choisissent de délocaliser une partie de leur infrastructure informatique sur le Cloud sont confrontées à ce dilemme : doit-on faire confiance ou pas à son prestataire « SaaS » ? De fait, lorsque l’on ne maîtrise plus la totalité de son système d’information, il est vital de prendre un certain nombre de précautions afin de garantir la continuité du service, même en cas de défaillance. Petit guide de survie dans la jungle du nuage informatique.
Règle n°1 : identifier et mesurer les menaces
C’est le B.A.-BA. Il s’agit non seulement de lister les menaces, mais également de les catégoriser selon leur degré d’impact sur l’activité de l’entreprise, en fonction des applications délocalisées. Les salariés sont-ils exposés ? Dans quelle mesure cela peut-il perturber leur travail ? Quels sont les risques pour les moyens matériels ou les logiciels déployés ? Il est important de bien mettre à jour les risques majeurs, c’est-à-dire ceux qui pèsent directement sur la vie de l’entreprise. Ils devront être couverts par un dispositif de secours spécifique. Globalement, cette analyse doit permettre de constituer un cahier des charges de la continuité définissant les objectifs ainsi que les délais maxima de rétablissement des moyens.
Règle n° 2 : détailler les moyens de secours
Le plan de secours doit être décrit à l’aide de scénarios précis détaillant les moyens mis en œuvre : faisabilité, coût, etc. Ne pas oublier de spécifier explicitement les processus de communication à respecter en mode dégradé, si le service ne fonctionne plus ou moins bien. Faute de quoi des situations de crise ubuesques peuvent apparaître : par exemple, un plan de reprise qui prévoit une communication électronique par mail… alors que tous les moyens de communication sont justement hors service ! Ou celui qui mettrait en place des moyens de reprise beaucoup plus dispendieux que le coût du préjudice lui-même. Et ne parlons pas de celui qui exigerait un redémarrage manuel de l’informatique… alors que la porte d’accès à la salle serveur, elle-même pilotée par le système d’information mis à mal, est bloquée !

Règle n° 3 : évaluer la fiabilité du système d’information
Pour être efficace, un plan de secours doit également avoir identifié toutes les activités critiques dans le cadre des processus métiers, ainsi que les outils et les flux de données dont va dépendre la pérennité du service informatique. Cette étape demande d’établir une cartographie parfaite du système d’information et des moyens matériels et humains assurant sa continuité. L’informatique « en nuage » repose sur l’exécution d’une transaction entre l’entreprise et son prestataire, incluant des moyens matériels : couche applicative, serveur d’applications, machine virtuelle, serveur physique, disque dur… Ce sont généralement les composants informatiques supports qui sont délocalisés. Ils constituent donc des facteurs clés de la reprise. La cartographie du système d’information permettra de déterminer ceux qui doivent impérativement être « doublés » pour garantir la continuité.
Règle n°4  : contractualiser ses exigences de continuité
L’émergence du « Cloud Computing » sous toutes ses formes transfère la prise en charge de certaines problématiques de continuité vers les prestataires. La traçabilité entre les applications restées en interne et celles qui ont été délocalisées dépend donc désormais des engagements de service et de continuité qui sont contractualisés avec les prestataires du cloud. La qualité de ce contrat déterminera la résilience du service informatique. Les exigences de continuité doivent donc faire partie intégrante de la transaction et être cohérentes avec les capacités de continuité et de reprise d’activité des prestataires
Règle n°5  : obtenir une garantie opérationnelle de la part d’un tiers
Bien sûr, la pérennité de l’activité du prestataire est un facteur clé de la continuité. Si le plan de reprise ne suffit pas, si le prestataire disparaît suite à une défaillance financière ou bien s’il est racheté, qu’advient-il du service délocalisé ? Pour être véritablement efficace dans l’univers du cloud, le plan de reprise d’activité doit inclure une sécurisation complète du fournisseur « as a service ». En d’autres termes : une garantie opérationnelle totale, que seul un tiers de confiance peut délivrer. Dans ce cas, la réversibilité complète et réassurée du service est prévue : de quoi dormir sur ses deux oreilles.
 

Share

Juliette Courty-Garnier