Vos données sont facilement accessibles depuis le cloud, mais qui en contrôle l'accès ?

Une entreprise peut perdre l'accès à ses données après un incident ou une décision géopolitique. Un dirigeant doit donc savoir qui contrôle réellement cet accès.

Le 15 septembre 2026, Amazon Web Services (AWS) a publié une déclaration qu’aucun client du cloud n’aurait imaginé lire un jour. Le groupe n’était plus en mesure de restaurer l’accès à certaines données de clients qui étaient hébergées dans sa région de Bahreïn.

Six mois plus tôt, des frappes de drones survenues pendant le conflit avec l’Iran avaient en effet endommagé plusieurs infrastructures AWS aux Émirats arabes unis et à Bahreïn. Les importants dégâts occasionnés avaient fini par dépasser ce que les dispositifs régionaux de redondance avaient été conçus pour supporter.

Pourtant, dès mars, AWS avait commencé à recommander à ses clients de déplacer leurs charges informatiques vers d’autres régions. La plupart avaient eu le temps de le faire avant que la région de Bahreïn ne devienne totalement indisponible en avril. Pour les données qui n’avaient pas été déplacées à temps, Amazon a finalement indiqué avoir épuisé ses possibilités de restauration. Elles étaient donc perdues.

Le cloud fonctionne d’ordinaire tellement bien qu’il se fait oublier, au point d’en devenir parfois transparent pour celui qui l’utilise. Mais cette histoire rappelle que posséder une donnée et pouvoir continuer à y accéder sont deux choses bien différentes.

Les données ont une adresse

Le cloud nous a habitués à retrouver instantanément nos documents, nos messages ou nos applications depuis presque n’importe où. Pour l’utilisateur final, les données semblent immatérielles et omniprésentes. Mais en réalité, elles restent situées physiquement quelque part, sur des serveurs, eux-mêmes reliés à nous par des câbles, des réseaux et d’autres infrastructures.

Le cas de Bahreïn rappelle brutalement que derrière le nuage, il existe toujours une géographie physique, celle des infrastructures qui stockent nos données et nous permettent d’y accéder.

Certaines entreprises sont par ailleurs soumises à des obligations de localisation ou de résidence des données qui limitent les territoires vers lesquels celles-ci peuvent être déplacées. On ignore si ces contraintes expliquent la situation des clients qui ont perdu leurs données à Bahreïn. Ce cas met toutefois en lumière que plus une donnée est juridiquement attachée à un territoire, plus ses possibilités de repli géographique sont limitées.

Garder une donnée locale pour des raisons de souveraineté peut donc renforcer la maîtrise de son cadre juridique, mais sans pour autant garantir la résilience en cas d’incident. En d’autres termes, la souveraineté de localisation n’est pas, à elle seule, une stratégie de continuité garantie.

Trois pays pour une boîte mail

La perte d’accès aux données n’est pas toujours accidentelle. Elle peut aussi résulter d’une décision juridique ou géopolitique.

En juillet 2025, l’Union européenne a placé le raffineur indien Nayara Energy sous sanctions. Peu après, Microsoft a suspendu l’accès de l’entreprise à plusieurs services, notamment Outlook et Teams.

A ce moment, Nayara affirme pourtant disposer de licences intégralement payées. L’entreprise conteste également la décision de Microsoft. Selon elle, les sanctions étant européennes, ni le droit américain ni le droit indien n'obligeaient Microsoft à suspendre ses services.

Dans cet exemple, l’infrastructure fonctionne parfaitement. Les données existent toujours et pourraient, techniquement, être accessibles à l’entreprise à laquelle elles appartiennent. Mais cette entreprise indienne, visée par une décision européenne, dépend pour accéder à ses données d’un fournisseur américain. Trois géographies juridiques se retrouvent ainsi superposées derrière une même messagerie.

Nayara a saisi la Haute Cour de Delhi et Microsoft a finalement rétabli les services le 30 juillet, juste avant l’audience. Nayara a retiré sa requête. Aucun juge n’avait ordonné la coupure et aucun juge n’a eu à ordonner le rétablissement. Un contrat et une license dûment payée ne suppriment pas pour autant toutes les contraintes juridiques, réglementaires ou géopolitiques auxquelles reste soumis celui qui fournit l’accès.

Le phénomène n’est d’ailleurs pas cantonné à l’Inde. En Europe, des sanctions américaines visant le procureur de la Cour pénale internationale ont également alimenté la controverse sur sa dépendance aux services numériques américains. Des sources ont rapporté la perte d’accès à son compte Microsoft — ce que Microsoft conteste — avant que la CPI n’annonce sa migration vers la suite européenne openDesk.

Le cloud a plusieurs adresses

On représente le cloud comme un nuage. Ce symbole est à la fois très bien choisi et extrêmement trompeur. Il suggère quelque chose de léger, d’immatériel, à la fois disponible partout et en même temps situé nulle part.

Le cloud a pourtant plusieurs adresses. D’abord celle des serveurs qui hébergent les données. Puis celle des entreprises qui fournissent le service. Celle, encore, des juridictions auxquelles ces entreprises répondent. Et même celle des infrastructures qui nous permettent d’accéder à ces données — comme l'ont rappelé les câbles sous-marins sectionnés en mer Rouge en 2025.

Pour un dirigeant, savoir où sont ses données est donc primordial. Mais ce n’est pas suffisant.

Il faut aussi pouvoir répondre à d’autres questions importantes :

• Combien de pays, et combien de juridictions, se trouvent entre mon entreprise et ses données ?
• Si mon fournisseur cloud me coupait l’accès lundi matin, quels outils fonctionneraient encore ?
• Et combien de temps nous faudrait-il réellement pour mettre en place une alternative ?

Depuis quelques années, la cybersécurité nous a appris à nous demander qui pourrait entrer dans nos systèmes. Le monde dans lequel nous évoluons nous oblige désormais à nous demander si nous pourrons toujours, demain, y accéder nous-mêmes.