Un centre de données européen ne garantit pas la souveraineté de votre cloud

Une entreprise transfère des charges de travail sensibles d'un centre de données américain vers Francfort et indique à son conseil d'administration que les données se trouvent désormais en Europe. C'est le cas des serveurs. Il se peut toutefois que le fournisseur relève toujours d'une société mère américaine, assure le support technique depuis plusieurs pays, contrôle les clés de chiffrement et utilise des logiciels que les clients européens ne peuvent pas exploiter de manière indépendante.

Bruxelles commence à intégrer ces questions dans les règles relatives aux marchés publics. Le cadre proposé pour les services cloud souverains examine qui contrôle le service et la chaîne d’approvisionnement, où se trouve l’infrastructure, comment les prestataires traitent les données et qui assure la cybersécurité. Les données relatives à la défense et à la santé seraient soumises à des exigences plus strictes que celles applicables aux tâches administratives courantes.

AWS, Microsoft Azure et Google Cloud détiennent ensemble environ 70 % du marché européen des infrastructures cloud. Les fournisseurs européens représentent environ 15 % de ce marché, contre 29 % en 2017. Les organisations européennes abordent donc le débat sur la souveraineté alors qu’une grande partie de leurs technologies est déjà liée à des plateformes américaines.

Le fournisseur est tout aussi important que le serveur

Les entreprises ont rarement opté pour cette dépendance d'un seul coup. Une équipe a adopté Azure parce qu'elle utilisait déjà des produits Microsoft. Les développeurs ont déployé de nouveaux services sur AWS parce que les outils étaient disponibles. Les projets d'IA ont ensuite intégré des API de modèles, des bases de données et des services de sécurité provenant de cette même plateforme.

Changer de fournisseur ne se résume pas à remplacer la capacité de calcul. Un client Azure utilisant les services OpenAI via la plateforme peut également s'appuyer sur les solutions Microsoft de gestion des identités, de journalisation et de bases de données. Transférer l'application vers un autre environnement implique de rétablir ces connexions et de les faire fonctionner par la suite.

Les alternatives européennes ne sont pas toujours à la hauteur des plus grandes plateformes américaines en termes de fonctionnalités, d'intégration ou de prix. Une équipe chargée des achats doit donc déterminer dans quels cas l'indépendance mérite d'être privilégiée, plutôt que d'appliquer la même exigence à toutes les charges de travail.

Le modèle envisagé par l'UE en tient compte. Bruxelles envisage quatre niveaux de souveraineté dans le cloud et attend des États membres qu'ils les adaptent à des usages spécifiques du secteur public. Un système de défense et un site web d'information publique ne seraient pas soumis aux mêmes exigences.

Qui a réellement accès à ces données ?

La localisation des données est facile à préciser dans un contrat. L'accès administratif est plus complexe. Un prestataire peut stocker les données des clients à Francfort tandis que des ingénieurs situés ailleurs conservent un accès privilégié. Les systèmes d'assistance peuvent copier des journaux ou des données de télémétrie hors de la région. Le prestataire peut détenir les clés de chiffrement et contrôler le service d'identité utilisé par les administrateurs pour accéder à l'environnement.

Les responsables des achats informatiques doivent savoir où se situent ces privilèges. Ils ont besoin de connaître les noms des organisations qui gèrent le service, les pays depuis lesquels opèrent les équipes d’assistance et les circonstances dans lesquelles le prestataire accède aux données des clients.

Modifications apportées au chiffrement peu importe si c'est ce même fournisseur qui stocke les données et contrôle les clés. Plusieurs entreprises américaines spécialisées dans le cloud ont réagi en proposant des offres européennes qui restreignent l'accès et donnent aux clients davantage de contrôle sur le chiffrement et l'administration. Les acheteurs doivent toutefois examiner les changements techniques réels. Un nom de produit européen ou l'adresse d'un centre de données ne permettent pas de savoir qui a, en dernier ressort, la capacité de lire, de modifier ou de suspendre le service.

Que se passe-t-il si le fournisseur coupe l'accès ?

Les sanctions américaines à l'encontre de la Cour pénale internationale ont déjà transformé le débat sur la souveraineté en un enjeu opérationnel. Les juges européens visés par ces sanctions n'ont plus accès aux services en ligne fournis par des entreprises américaines.

La plupart des entreprises ne risquent guère de faire l'objet de sanctions. Elles dépendent encore de leurs fournisseurs pour bien plus que le matériel informatique, et il suffit qu'un fournisseur subisse une panne pour qu'un client se retrouve privé d'accès.

Une entreprise peut disposer de sauvegardes tout en continuant à dépendre du service d'identité, de la technologie de base de données, des outils de sécurité ou des API propriétaires du fournisseur d'origine. L'exportation des données ne permet pas de recréer l'application ailleurs.

Les plans de reprise après sinistre doivent donc prévoir le cas où le fournisseur lui-même viendrait à faire défaut. Les équipes doivent savoir quels systèmes cessent de fonctionner en premier, où se trouve la copie indépendante des données critiques, ainsi que les identifiants, certificats et clés de chiffrement dont elles ont besoin pour redémarrer les systèmes ailleurs.

Ils ont également besoin d'un délai de migration réaliste. Un contrat garantissant la portabilité des données n'est guère utile si les ingénieurs ont besoin de six mois pour remplacer les services liés à ces données.

Les opérateurs européens ont eux aussi des dépendances

Le fait de s'approvisionner auprès d'une entreprise européenne ne permet pas d'éliminer toute dépendance vis-à-vis de l'étranger. Un fournisseur local peut en effet utiliser des processeurs, des logiciels de sécurité ou des équipements réseau provenant des États-Unis. Exiger que chaque composant provienne d'Europe ne laisserait que très peu d'environnements cloud viables.

Les équipes chargées des achats doivent faire la distinction entre les dépendances susceptibles d'empêcher la fourniture d'un service et les composants qui sont simplement fabriqués à l'étranger.

Un processeur américain situé dans un centre de données européen présente un risque différent de celui d'une plateforme gérée à distance dont l'opérateur peut suspendre le compte d'un client. Un outil de sécurité américain intégré à la pile ne comporte pas le même risque que le fait de confier au fournisseur le contrôle de toutes les clés de chiffrement.

Le cadre européen envisagé met l'accent sur le contrôle des services et de la chaîne d'approvisionnement plutôt que de considérer la situation géographique comme le seul critère. Les entreprises peuvent d'ores et déjà procéder à cette même analyse.

L'IA pousse les entreprises à se tourner de plus en plus vers les hyperscalers

L'IA générative offre une raison supplémentaire de rester fidèle aux principaux fournisseurs de services cloud. Ceux-ci intègrent des modèles, de la puissance de calcul, des bases de données, des outils de gestion des identités et des solutions de sécurité dans les environnements que les entreprises utilisent déjà.

Une équipe de développement sur Azure peut intégrer les services OpenAI sans avoir à faire appel à un autre fournisseur. AWS et Google proposent des approches similaires pour accéder à leurs propres piles d'IA. Le transfert ultérieur d'une charge de travail d'IA implique également le transfert des données et des services applicatifs associés.

Les fournisseurs européens sont donc confrontés à un problème commercial. Ils ont besoin d'un nombre suffisant de clients pour financer des infrastructures comparables, alors que les acheteurs choisissent les hyperscalers en partie parce que ceux-ci disposent déjà d'infrastructures plus importantes.

Les marchés publics pourraient générer davantage de demande pour les fournisseurs européens. Les entreprises privées disposent d’une plus grande marge de manœuvre pour répartir leurs charges de travail. Un fabricant pourrait par exemple conserver ses logiciels de collaboration auprès d’un fournisseur mondial, tout en hébergeant ses données d’ingénierie sensibles ailleurs. Une banque pourrait séparer ses expérimentations en matière d’intelligence artificielle des systèmes contenant des informations réglementées sur ses clients. La gestion de plusieurs environnements ayant un coût plus élevé, les entreprises doivent déterminer quelles données et quelles applications justifient cette dépense.

La souveraineté a un coût de fonctionnement

Une architecture multicloud nécessite des ingénieurs maîtrisant plusieurs plateformes. Les environnements de reprise indépendants mobilisent des ressources de stockage et de calcul. Les petits fournisseurs européens ne proposent pas toujours les services gérés que les grandes plateformes incluent de série.

Il n'est guère logique de supporter ces coûts pour chaque demande. Un système marketing contenant des données remplaçables ne nécessite pas les mêmes contrôles que les dossiers médicaux, les informations relatives à la défense ou la propriété intellectuelle liée au produit phare d'une entreprise.

Le processus d'approvisionnement commence par l'identification des systèmes dont l'entreprise ne peut se permettre de se passer ou qu'elle ne peut pas exposer à des risques. Pour chacun d'entre eux, les équipes doivent savoir quel fournisseur contrôle l'accès, quelle juridiction s'applique, où se trouvent les clés de chiffrement, dans quelle mesure l'application utilise des services propriétaires et combien de temps prendrait une migration.

Un serveur situé à Francfort ne répond qu'à la question de savoir où se trouve la machine. La souveraineté dépend de savoir qui contrôle encore ce qu'il en advient.