Cybersécurité - Innovations digitales et numériques

Laissons la parole, par exemple, à Olivier ITEANU, Avocat à la Cour d’Appel de Paris et Secrétaire Général d’EuroCloud France, grand spécialiste des aspects juridiques du Cloud. Dans un article récent, à lire impérativement (1), il s’est « risqué » à tenter le décryptage de l’un des contrats d’Amazon, l’un des leaders mondiaux du Cloud. Le résultat est Ubuesque. Malgré l’appui avisé d’une équipe de spécialistes, il n’est pas parvenu à éclairer toutes les arcanes de ce contrat « protéiforme », construit avec de multiples arborescences, comportant pas moins de 13 documents, et un nombre de pages… indéterminé.

Cet exemple constitue une parfaite introduction à cet article, car on peut y retrouver les 3 grandes problématiques du Cloud en matière de législation et de contrats. Les voici :

• Illisibilité et complexification :
  comment décrypter un contrat s’il est volontairement rédigé dans le but d’être illisible ?
• Juridiction et localisation :
  quelle loi appliquer si le prestataire est hors de France, et quelle juridiction saisir ?
• Applicabilité des jugements et des décisions :
  qui sera susceptible de faire appliquer les éventuelles décisions légales, et comment ?

 En tant que fournisseur de service dans l’environnement du nuage, nous avons recherché une solution flexible et à l’épreuve de l’avenir qui assurait des connexions hautement sécurisées, » explique Sascha Carroccio, DPT de swiss cloud computing ag. Les critères additionnels comprenaient l’indépendance de carte SIM relative au périphérique et au serveur. Lors de l’événement World Hosting Days 2013 à l’Europapark de Rust, Carroccio a rencontré Erich Kronfuss, directeur de la filiale autrichienne de ProSoft Software Vertriebs GmbH, pour parler des possibilités offertes par la solution d’authentification forte de SecurAccess élaborée par SecurEnvoy. Le logiciel de gestion d’identité a fait une première impression excellente. Suite à des discussions intenses avec M. Kronfuss et une phase pilote réussie, la société suisse a donc opté pour SecurAccess. La solution propose un éventail de canaux de transmission pour l’identification numérique à six chiffres, telle que l’identification par SMS, l’application de jeton virtuel ou l’identification par e-mail. En outre, pour le DPT, le fait que ProSoft ait fourni un service et une assistance de qualité pendant toute la période d’évaluation, par exemple concernant l’intégration du portail SMS, a représenté un facteur important. « Sur la base de nos expériences, il est clairement apparu dès le début que la transmission par SMS serait le canal de choix pour nous, parce qu’il s’agit de la méthode de communication la plus pratique et la plus familière. Nos clients utilisent nos services parce que nous sommes en mesure de répondre à leur souhait de flexibilité et de mobilité. L’acquisition de matériel coûteux supplémentaire pour générer les numéros d’identification n’était donc pas une option possible. L’authentification forte utilisant les SMS est déployable, présente un modèle de tarification concurrentiel, assure la continuité de l’activité et convient parfaitement à notre mission de qualité, de transparence et de sécurité », explique Sascha Carroccio.

Cloudant est spécialisé dans le DBaaS (Database as a Service), bref, les bases de données en mode cloud. Un domaine clé du cloud computing, mais également du big data et de l’analytique, des secteurs qui demandent des solutions de bases de données flexibles, à la fois en termes de capacité de traitement et de prix.

Mais l'échec est tel que moins de deux ans après le lancement effectif des deux offres, Bercy demande à ses services de réaliser un audit sur Cloudwatt, dont le président Patrick Starck a annoncé son départ dans les prochains mois. "J'avais un accord tacite avec les représentants des actionnaires, consistant à assurer le décollage puis la sortie des services cloud. Je transmettrai dans les prochains mois la direction à mon successeur pour la phase 2 du développement de Cloudwatt", avait-il assuré.

Obliger les groupes étrangers à héberger leurs données en Europe, "ça reviendrait à bannir certains services" ajoute Daniel Castro. "Cela permettrait d'atteindre le but escompté, mais aurait des conséquences néfastes pour les entreprises du continent qui voudraient accéder aux meilleures technologies, qui bien souvent ne sont pas européennes". Le jeu en vaut-il la chandelle ? Pas sûr, d'autant plus que la menace vient autant des Européens eux-mêmes que des Américains...

McAfee ne manque pas non plus d'évoquer parmi les vulnérabilités les réseaux sociaux, les bitcoins, Android, la cybercriminalité en général et le grand sujet médiatique du moment, les objets connectés. Il prédit aussi l'arrivée des « ransomware » - les attaques et demandes de rançons - dans le monde de l'entreprise. Le paysage des menaces est décidément sans fin, « en 2003 quand je suis entré chez McAfee, c'était 1 000 à 2 000 nouveaux échantillons de virus par mois, aujourd'hui c'est 130 000 par jour, note David Grout, et 64 milliards de requêtes à travers nos 8 datacenters ».

Comme dans le précédent rapport il y a deux ans, Twitter est ainsi "la lanterne rouge de l'industrie concernant la transparence, ne fournissant aucune information sur son empreinte énergétique". Greenpeace lui décerne donc logiquement la pire note sur le critère de transparence, ni d'ailleurs sur sa manière de gérer son efficacité énergétique. 

Mais ce qui inquiète vraiment les membres de Digital Europe, c’est une possible extension de la redevance aux services en ligne, notamment au cloud. Ce que les ayants droit regardent avec gourmandise, comme une nouvelle part de gâteau de revenus. C’était jusqu’alors un sujet tabou, Françoise Castex a donc enfoncé les portes. Le texte commence par poser le doigt sur la question : « la redevance pour copie privée devrait s'appliquer à tous les documents et supports utilisés pour l'enregistrement et le stockage privé dès lors que la copie privée pourrait causer du tort aux créateurs ». Avant d’y mettre l’épaule : « les dispositions de copie privée devraient s'appliquer à certains services en ligne , y compris de cloud computing ».

Au-delà, la question interpelle également sur la manière dont le sujet sécurité est traité au travers du cloud. La nature même du modèle fait qu’il peut s’avérer difficile de le rendre conforme aux exigences, ou à la stratégie sécurité du client, sur la base d’un modèle « tout inclus ». Ce problème renvoie à la flexibilité des solutions de cloud :

- A supporter des contrôles de sécurité en production :

• Suis-je capable de positionner mon dispositif de sécurité système d’entreprise et le gérer ?
• Est-il possible de provisionner mon cloud avec mes propres solutions et services de sécurité réseaux ?

- A être intégrées de manière transparente dans les modèles de gestion du risque en continu, de conformité et de gouvernance :

• Comment collecter et intégrer les logs de mon cloud dans mon système de cyber-surveillance ? Et quels types de logs suis-je capable de collecter ?
• Comment puis-je m’assurer que les contrôles de sécurité sont conformes à ma politique de sécurité (règles de firewall, couverture anti-virus, gestion des vulnérabilités et des correctifs…) ?

C’est à ce niveau, à mon sens, que se situe le débat le plus intéressant, renvoyant à des principes de séparation des responsabilités et de spécialisation sur le sujet sécurité dans l’intégralité de ses dimensions.

Un retour sur investissement difficile à mesurer

Malgré l’engouement pour les technologies mobiles et la convergence, les entreprises peinent encore à tirer profit de la mobilité. Seuls 10% des répondants déclarent un retour sur investissement de 100% ou plus pour les projets de mobilité lancés au cours des deux dernières années. Et 26% affichent un ROI compris entre 50% et 100%.

Cependant, une forte majorité (85%) assure ne pas disposer d’outils pour en mesurer l’efficacité. Enfin, 7 cadres dirigeants sur 10 ont du mal à suivre le rythme d’évolution rapide des dispositifs, systèmes d’exploitation et applications. « Nombreux sont encore les défis à relever pour les entreprises », reconnait Jean-Laurent Poitou. « Si la nécessité d’adopter des stratégies technologiques clairement définies est cruciale pour elles, celles-ci doivent également maîtriser les technologies d’aujourd’hui sans perdre de vue celles de demain ».

Parmi les principales raisons énoncées par les entreprises qui ont fait le choix du cloud computing figurent : l’augmentation de la flexibilité (71%), la réduction des coûts (56%), et l’amélioration des délais de disponibilité d’un produit ou d’un service sur le marché, 41%. En revanche, le principal obstacle demeure, sans surprise, les craintes liées à la sécurité (44%) et notamment la localisation des données.

Aussi, un réel travail pédagogique en matière de cloud computing et sécurité doit être mené auprès des utilisateurs dans un premier temps. Dans un second temps, ils doivent être accompagnés pour prendre conscience qu’il est nécessaire d’établir une véritable stratégie cloud en fonction de leurs besoins, faute de quoi tout projet entrepris ne portera pas ses fruits.

Il n’existe pas de stratégie universelle d’adoption du Cloud. Quelques grandes étapes sont pourtant à suivre : identifier les applications et services IT éligibles au Cloud en évaluant la valeur apportée, le niveau de confidentialité des données et le niveau de spécificité des services. Pour chaque service éligible au Cloud, en vision cible, l’approche SaaS est à privilégier, avant d’envisager le PaaS, voire le IaaS pour les services très spécifiques. Ces mouvements sont à préparer en renforçant progressivement le niveau de standardisation des socles logiciels et techniques qui constituent le SI actuel.

La DSI se positionnera peu à peu comme un Cloud broker proposant à ses utilisateurs (clients finaux, collaborateurs, équipes projets IT) des services accessibles au travers de portails et offrant les moyens techniques (intégration, sécurité, pilotage) et humains (conseil, support) nécessaires pour garantir l’usage de ces services dans de bonnes conditions. Son rôle consistera à trouver les solutions offrant le meilleur équilibre entre adéquation aux besoins et attractivité économique en veillant à conserver l’agilité nécessaire pour changer de fournisseur en cas d’offres plus performantes apparaissant sur le marché.