Protection des données et cloud
Un des enjeux essentiels du cloud relève de la gestion, utilisation et protection des données. Les implications sont d'ordre éthique, financier et juridique. La question est au cœur du développement du cloud.
Le Cloud est l'aboutissement d'un mouvement de fond vers la simplification et la dématérialisation des services informatiques. Le PC avait rapproché les moyens informatiques des utilisateurs mais en avait aussi imposé la complexité à tout un chacun; le Cloud lui, permet enfin de ne conserver que l'usage. La boucle serait donc bouclée.
Ainsi de plus en plus, de sociétés et d'individus font appel à des services qui leur sont délivrés sous forme de cloud computing, en en ayant conscience… ou non: des services de mail, de gestion / stockage de documents, etc. L'information présente sur des supports physiques tels les ordinateurs ou les clés USB se déplace inexorablement vers le web avec des services comme Gmail, Google Docs, Dropbox, Flickr. La grande majorité des utilisateurs ne se pose pas/plus la question de la localisation de leurs données, et de la façon d'y accéder, le cloud, l'accès internet haut débit fixe ou mobile permet d'avoir leurs données à "portée de main".
La nature même du cloud computing (Une gestion plus souple de l'informatique avec ajustement du service à la hausse ou à la baisse et une facilité /rapidité de mise en œuvre, un accès à des ressources 'Hardware' dans un laps de temps relativement court, pour peu ou pas d'investissement pour les utilisateurs) a pour corollaire une mutualisation des ressources informatiques. Celle-ci a pour effet de modifier la façon d'aborder l'information qui y réside, que ce soit en termes de "propriété" de cette information et/ou d'accès aux données associées, et ce d'autant plus important que certains fournisseurs de services s'appuient sur des acteurs majeurs du stockage ou du cloud computing comme Amazon Web Services, Microsoft Windows Azure ou Google App Engine afin de proposer leur offre de service.
La question de la propriété des données est un exemple emblématique: un même jeu d'information qui appartient à un individu sur un support physique, peut lui échapper en partie lorsqu'importé dans le fameux nuage et ce pour autant du fait des conditions générales d'utilisation que de la loi applicable à la dite-utilisation. Ainsi Facebook précise dans ses conditions d'usage (Terms of Service) que tout contenu stocké dans la plateforme (Images, videos, documents…) donne au géant des réseaux sociaux un droit temporaire (auparavant perpétuel) et non exclusif d'utiliser le-dit contenu que ce soit pour le publier aux membres du réseau, ou pour l'utiliser à des fins publicitaires. De même un service de stockage comme Dropbox ou Skydrive propose non pas un service de stockage de données, mais un accès à des données stockées (Qui s'avèrent être celles de l'utilisateur). La nuance étant importante car dans ce cas la propriété des données échappe à la personne utilisatrice du service, toute perte de données étant hors du champ de responsabilité du fournisseur de services, qui se réserve le droit de retirer l'accès aux données.
Cette problématique est d'autant plus importante, qu'il n'existe peu ou pas d'entreprises sans cloud. En effet la démocratisation des services cloud a pour conséquence de faciliter un recours direct à ces services , sans passer par le service informatique. Les utilisateurs finaux souscrivent facilement à des services à titre personnel, avec en premier lieu des services de stockage ou de backup cloud, mais aussi des services liés à la relation client. Ainsi des populations averties comme les développeurs informatiques, utilisent l'Infrastructure as a Service ou les Platform as a Service pour tester leurs solutions et les héberger.
La protection des données est un sujet sensible qui prend tout son sens dans le monde numérique et celui du cloud. En effet la notion de territorialité et de lois applicables devient moins claire avec des fournisseurs de services basés hors des pays de leurs clients. Ainsi, le 4eme amendement américain qui protège les données personnelles est battu en brèche lorsque ces données sont confiées à un tiers. Ce sujet est particulièrement sensible pour les Européens, qui essayent d'obtenir davantage de contrôle des données collectées dans le cadre de la lutte contre le terrorisme sous le Patriot Act. Ils ont ainsi obtenu que des géants de l'internet comme Google, Yahoo ou Microsoft réduisent la durée de stockage de certaines informations.
Le même service en Europe fait désormais l'objet d'une approche différente avec une directive européenne sur la protection des données qui s'est adaptée aux nouveaux usages de l'internet afin de mieux encadrer la collecte de données issue des réseaux sociaux, ainsi que le ciblage publicitaire pour les européens utilisateurs de services basés hors de leurs frontières.
Au-delà des éléments règlementaires il reste que le recours au cloud doit se faire dans le cadre d'une réflexion globale afin de segmenter son usage au regard du type de données et de leur utilisation. Car si on parle de Cloud Computing au sens large, plusieurs options existent, tels les clouds publics ou privés avec des natures et des niveaux de service différents..
Le cloud public recouvre les services de stockage et d’applications accessibles via le réseau internet. Ce modèle repose sur la disponibilité en ligne des applications et des données, ces dernières étant gérées par le fournisseur de Cloud, sans visibilité pour le client sur les modalités de conservation
A l'inverse certains fournisseurs de solutions métiers proposent des offres clés en main qui reposent, sur une infrastructure de type Cloud. Ces solutions intégrées sont hébergées sur l’infrastructure privée du fournisseur de service, mais l’usage de ces infrastructures reste partagé entre plusieurs entreprises clientes, dans un nombre limité: c'est ce qu'on appelle un cloud privé.
Dès lors plusieurs questions sont à adresser avant d'accéder à la facilité du cloud dont la nature des données et traitements susceptibles de migrer vers le Cloud (Stratégique, personnelle, ou métier) les risques à maîtriser ou encore les conséquences sur la politique de sécurité interne.
Ainsi transférer des données stratégiques et/ou personnelles vers un service Cloud public est un usage inadapté du cloud en entreprise, il est préférable de s’en tenir à une infrastructure privée.`
Quoi qu'il en soit, l’entreprise doit intégrer la protection des données dans le contrat conclu avec le fournisseur. Il est essentiel d'intégrer dans les clauses contractuelles des obligations fortes en matière de disponibilité, d'intégrité, de confidentialité, conformité exigées par l'entreprise, ses clients mais aussi les régulateurs.
Il reste toutefois que faire varier de la clause standard auprès de fournisseurs d'une certaine taille, étrangers de surcroit révèle de l'exploit, les conditions de service étant rigides et peu protectrices.
C'est dans ce cadre que plusieurs initiatives ont été lancées sous l'égide d'acteurs européens et nationaux qui ont pour but d'agir comme des tiers de confiance auprès des utilisateurs. Si ces initiatives sont plus tardives que celles existantes sur le marché, elles misent sur une approche plus qualitative basée sur une grande transparence quant aux conditions de service. Ainsi plusieurs projets de cloud computing européens ont été lancés sous l'égide des opérateurs telecoms, tels que Cloudwatt avec Orange et Numergy pour SFR, avec des data centers basés en Europe, mettant en avant le respect des données des clients (Entreprises) et de leurs clients finaux.
Les acteurs comme les opérateurs telecoms adoptent ainsi une approche de tiers de confiance, gardiens des données de leurs clients entreprise ou grand public, avec la gestion de l'identité numérique pour ces derniers.. Ainsi face à des acteurs web qui bâtissent leur business model sur la collecte des données personnelles, les opérateurs pourraient prendre la posture inverse en étant les gardiens de l'identité numérique de leurs clients, en proposant un service de gestion de leurs données personnelles afin de donner aux clients, la maitrise de leur identité et de la confidentialité de leurs données.
En tant qu'intermédiaire tiers de confiance, l'opérateur permettrait aux clients d'appréhender les risques liés à la fourniture de leurs données sur le web, et leur donnerait les leviers de maitrise de celle-ci.
Jean-Michel Huet, Directeur Associé BearingPoint et Tariq Ashraf, Manager BearingPoint