Les DSI veulent du cloud, mais sous contrôle étroit

Le cloud suscite la méfiance des DSI. En cause : la sécurité des accès et des données externalisées. Ces directions privilégient le cloud hybride, mêlant cloud privé pour les applications stratégiques et cloud public pour celles qui le sont moins.

“ Le cloud est-il une houle technologique ou un clapot marketing ? ”, s'interroge Eric Verani, DSI de la ville de Villeurbanne (69). Selon l'Observatoire du cloud d'IDC et CA Technologies, 33 % des organisations françaises de plus de 1 000 salariés utilisent le Saas ou sont en train de le mettre en œuvre. Alors que la composante Iaas (Infrastructure as a Service) est celle qui croît le plus vite, passant de 9 à 15 % d'entreprises utilisatrices entre mars et septembre 2010. “ L'enjeu du cloud vise à gagner en flexibilité financière et en souplesse dans la gestion des ressources et des équipements ”, rappelle Christophe Merckens, DSI de la SSII Devoteam, séduit par l'aspect “ à la demande ”. Depuis deux ans, tous ses projets intègrent cet axe de réflexion dès le départ. Or tous les DSI ne partagent pas son enthousiasme. “ Certaines “ économies ” coûtent cher. Nombre de pionniers ont fait marche arrière. Et réintégrer leur système d'information a été très douloureux ”, insiste Eric Verani.Certes, les DSI se veulent pragmatiques. A la place de l'achat comptant de licences ou d'équipements, ils recherchent la maîtrise des coûts qu'offre la location mensuelle à la demande. A condition de la contrebalancer par la réversibilité, la sécurité des accès et des données, et la qualité des niveaux de service… Sur le volet de la réduction des dépenses, les entreprises empruntent deux voies différentes : l'infogérance des infrastructures ou l'externalisation d'applications. Dans le premier cas, elles misent sur la virtualisation de leurs infrastructures pour réduire immédiatement les prix du matériel et de la maintenance dans un rapport de 1 à 10 ! Les sociétés “ peuvent ainsi se constituer leur propre centre de données ou leur cloud privé ”, commente Hervé Uzan, PDG de VMware France, le leader de la virtualisation.

Une démarche longue, assortie de précautions

Reste que le chemin de la virtualisation n'est pas sans embûche : “ On n'a plus de contraintes… quand ça fonctionne ! Car pour commencer, créer une infrastructure virtualisée, prélude au cloud privé, requiert des semaines de travail ”, avertit Yann Jouveneau, DSI de Sakata, une entreprise qui fait partie des PME “ avant-gardistes ” du cloud. “ Commencez par négocier la réversibilité de votre système d'information auprès de l'opérateur de cloud ”, conseille-t-il. Prudent, le DSI reste propriétaire de son matériel et de ses licences logicielles et ne souscrit que des contrats de Iaas négociables tous les trois ans. Une solution relativement rigide, mais très sûre. “ Si mon hébergeur fait faillite, je peux déplacer les serveurs dans notre centre de données en deux jours. Cela me laisse le temps de trouver un autre opérateur. Je pourrai alors venir chez lui avec mon rack de serveurs et je n'ai plus qu'à lui demander une adresse IP pour être opérationnel. ”On l'aura compris, les entreprises envisagent avant tout le cloud privé, surtout pour les applications critiques ou stratégiques : “ Elles veulent conserver leurs données stratégiques sous la main ”, estime Jean-Marie Vigroux, président de Sylob, éditeur d'un ERP pour l'industrie et le négoce. Pour Romée de Pierrefeu, directeur des services de Flexsi, spécialiste de l'infogérance et de la virtualisation, “ les grandes PME perçoivent le cloud comme un hébergement mutualisé qui s'accompagne des services de maintenance ad hoc. En revanche, elles refusent l'idée de ne pas posséder les serveurs ou d'héberger les données et les applications sur des infrastructures mutualisées. ”Côté applications, l'expérience commence bien souvent avec l'externalisation de la messagerie dans un cloud public. Jusqu'à 40 postes, ce serait la solution la plus rentable. Ensuite, les entreprises l'envisagent pour d'autres applications périphériques, comme la paie, les services RH, la gestion de la relation client ou le décisionnel. Du Saas à l'Iaas, l'avenir dessine les contours d'un cloud hybride, avec une partie privée conservant les données critiques et stratégiques, interfacée avec les applications du cloud public. “ Depuis un an, un même utilisateur peut accéder au système d'information à partir de plusieurs terminaux : un PC, une tablette ou un smartphone… Ce qui intensifie les problématiques de sécurisation des accès réseau ”, souligne Romée de Pierrefeu. Même opinion chez Patricia Rieger, directrice générale adjointe de Silca, la société de production informatique du groupe Crédit agricole : “ Cette année, nous mettons en place des clouds privés qui seront d'abord destinés aux environnements de développement. Nous espérons que les déploiements se feront en quelques heures au lieu de quelques semaines. Cependant, les aspects liés à la sécurité des données et à la maîtrise des risques sont encore à traiter. ”

Exiger un accord de qualité de service

Autre problème à résoudre : la responsabilité du fournisseur du cloud. Elle se cantonne à la seule location de service pour la mensualité qu'il encaisse, sans prendre en compte la nature d'un préjudice potentiellement subi. “ Le risque, c'est de devenir un “ naufragé du cloud ”, avec un disque dur dans une main et un chèque correspondant à la mensualité dans l'autre… ”, prévient Yann Jouveneau, qui pointe le manque de capacité financière de l'opérateur à faire face au risque. “ Le danger est réel, car tout le monde se met à faire du cloud. Sans en avoir forcément les compétences… ” Plus globalement, les engagements de niveau de qualité (SLA ou Service Level Agreement) se complexifient : “ Au lieu de se contenter d'un accord avec le prestataire Saas, il faut viser un contrat global, affirme Eric Verani. Ce qui suppose soit d'aligner l'ensemble des prestataires concernés soit, au contraire, de faire évoluer vers un degré maximum les engagements de niveau de qualité de tous les intervenants dans la chaîne de liaison. ” Ce qui n'est pas gagné d'avance lorsqu'on doit gérer des centaines d'applications.