Créez un plan d’engagement dans le cloud qui fonctionne

L’informatique doit gérer activement les opérations de cloud.

Les services cloud sont fantastiques. Ils permettent aux entreprises de décharger l’infrastructure, le stockage et même des applications complètes sur des tiers. Mais ce n’est pas parce que vous externalisez les tâches lourdes que vous cessez de les effectuer. En réalité, les plateformes cloud, qu’il s’agisse d’infrastructure en tant que service (IaaS), de plateforme en tant que service (PaaS) ou de logiciel en tant que service (SaaS), font toujours partie de vos opérations. Elles ne fonctionnent pas toutes seules.

De nombreuses entreprises commettent l’erreur de penser que les solutions cloud sont comme des services publics : il suffit d’appuyer sur un interrupteur pour que tout fonctionne. Ce n’est pas le cas. Certes, les fournisseurs maintiennent le temps de fonctionnement, les correctifs de sécurité et les performances à un niveau de base, mais leurs objectifs ne s’alignent pas toujours sur les vôtres. L’objectif premier d’un fournisseur est de fournir des services à des milliers de clients à grande échelle, et non d’affiner votre système pour le rendre plus efficace ou de l’adapter aux besoins de votre entreprise. C’est à vous de le faire.

C’est là que l’informatique intervient. Une approche non interventionniste fonctionne pour une startup de 10 personnes utilisant des outils SaaS standard, mais pour les entreprises, c’est différent. Lorsque votre ERP sur le Cloudou CRM, ou votre moteur d’analyse basé sur le cloud tombe en panne, ou pire, expose les données des clients, ce n’est pas le fournisseur qui doit faire face à la situation. C’est vous. Le directeur financier n’appelle pas Amazon Web Services ou Microsoft Azure pour se plaindre. Il appelle le service informatique. Il est donc judicieux de garder le contrôle là où c’est important, en supervisant les performances, la sécurité et la conformité, tout en laissant les fournisseurs s’occuper des tâches fastidieuses liées à l’infrastructure.

Les responsabilités liées au cloud devraient être formalisées dans les rôles professionnels des informaticiens.

Si quelque chose n’est pas écrit, c’est qu’il n’existe pas. Dans de nombreuses entreprises, les responsabilités liées au cloud sont gérées de manière informelle, par « celui qui est disponible ». C’est la recette du chaos. Vous ne pouvez pas construire une stratégie informatique évolutive et résiliente sur des processus informels.

Avec l’adoption croissante du cloud, les équipes informatiques doivent s’approprier clairement la gestion du cloud. Cela signifie qu’il faut inscrire les tâches liées au cloud directement dans les descriptions de poste. Qui est responsable des paramètres de sécurité ? Qui négocie les accords de niveau de service (SLA) ? Qui assure la conformité avec des réglementations telles que HIPAA ou GDPR ? Ces questions ne doivent pas être laissées au hasard.

Par exemple, les entreprises de taille moyenne qui n’ont pas d’architectes cloud dédiés répartissent souvent les responsabilités entre différents membres du personnel informatique. C’est très bien, tant que c’est structuré. En l’absence de clarté, les choses tombent à l’eau. Un mois, un ingénieur peut surveiller les coûts du cloudle mois suivant, personne ne le fait. C’est alors que survient le dépassement surprise du budget et que tout le monde se précipite.

Des rôles formalisés garantissent la responsabilité et la prévisibilité. Au lieu de réagir aux problèmes liés au cloud, l’informatique devient proactive, en prévenant les goulets d’étranglement au niveau des performances, en comblant les lacunes en matière de sécurité avant qu’elles ne se transforment en brèches et en optimisant les coûts liés au cloud avant que le service financier ne tire la sonnette d’alarme.

L’informatique doit jouer un rôle actif dans la négociation des contrats de cloud et des accords de niveau de service.

Un contrat cloud n’est pas seulement une case à cocher avant d’intégrer un fournisseur. C’est un outil stratégique qui définit les performances, la sécurité et la structure des coûts. Si vous signez ce que le fournisseur vous propose, vous vous exposez à des problèmes.

Voici le problème : la plupart des fournisseurs proposent des accords de niveau de service standard qui protègent leurs intérêts, pas les vôtres. Ils peuvent garantir un temps de disponibilité de 99,9 %, ce qui semble excellent, jusqu’à ce que vous réalisiez que cela se traduit par 8,76 heures d’indisponibilité par an. S’il s’agit de votre système ERP principal, imaginez l’impact de près de neuf heures de perte d’exploitation.

Les équipes informatiques des entreprises doivent négocier une véritable responsabilisation dans les accords de niveau de service. En d’autres termes :

• Garanties de temps de fonctionnement plus strictes (par exemple, 99,99 % ou plus pour les systèmes critiques)

• Pénalités plus sévères pour les temps d’arrêt (pas seulement des remboursements, mais de véritables conséquences financières pour le vendeur).

• Des temps de réponse plus courts pour les questions d’assistance

• Prévisibilité des coûts (limites claires concernant les hausses de prix ou les frais de sortie des données)

Les entreprises de taille moyenne qui ne disposent pas d’administrateurs de contrats dédiés doivent néanmoins faire appel à un conseiller juridique ou travailler directement avec les DSI pour s’assurer que les conditions sont équitables. Le contrat dicte la manière dont vos services cloud fonctionneront dans le monde réel.

Les services informatiques doivent s’assurer que les fournisseurs de clouds respectent les normes de conformité

Les réglementations ne sont pas facultatives. Qu’il s’agisse de HIPAA pour les soins de santé, de PCI-DSS pour le traitement des paiements ou de GDPR pour la confidentialité des données en Europe, les entreprises ont l’obligation légale de garantir la conformité. Les fournisseurs de cloud peuvent prétendre à la conformité, mais c’est à vous de vérifier.

Historiquement, la conformité était une fonction informatique interne, mais l’adoption du cloud a changé la donne. Désormais, les données sensibles sont stockées hors site, réparties entre plusieurs centres de données, parfois dans différents pays. C’est pourquoi les entreprises ont besoin d’une approche structurée de la conformité au cloud.

Voici à quoi cela ressemble :

1. Faites preuve de diligence raisonnable avant de signer avec un fournisseur. Ne vous contentez pas de le croire sur parole, demandez-lui des certifications de conformité, des rapports d’audit et des évaluations indépendantes.

2. Contrôlez la conformité en permanence. Ce n’est pas parce qu’un fournisseur était conforme l’année dernière qu’il l’est encore aujourd’hui. Les services informatiques doivent examiner chaque année les rapports de sécurité et de conformité et procéder à des vérifications ponctuelles.

3. Définissez la propriété interne. Qui vérifie la conformité ? Qui s’occupe des audits ? Il devrait s’agir d’un analyste commercial senior ou d’un responsable de la conformité au sein de l’informatique, et non d’une réflexion après coup.

Ne pas prendre la conformité au sérieux est une bombe à retardement. Les violations de données et les amendes réglementaires constituent de graves problèmes pour les entreprises. La bonne décision ? Prendre de l’avance sur la conformité avant que les régulateurs ne frappent à votre porte.

Les services informatiques doivent veiller à la sécurité du cloud

La sécurité n’est pas une case à cocher, c’est une cible mouvante. Les entreprises partent du principe que les fournisseurs de clouds se chargent de la sécurité et, dans une certaine mesure, c’est le cas. Mais leur travail consiste à sécuriser leur infrastructure, pas vos données. C’est votre responsabilité.

Les plateformes cloud fonctionnent selon un modèle de sécurité partagée. Le fournisseur s’occupe de la sécurité physique, du cryptage de base et de l’intégrité de l’infrastructure. Mais tout ce qui se trouve à l’intérieur de votre environnement cloud, vos applications, vos bases de données, vos contrôles d’accès et les autorisations des utilisateurs, vous incombe. Si quelqu’un configure mal les paramètres de sécurité et expose des données sensibles, c’est votre problème, pas celui du fournisseur.

Négliger la sécurité, c’est jouer avec le feu. Un seul godet de stockage cloud mal configuré a provoqué des brèches massives dans des entreprises du classement Fortune 500. La leçon à en tirer ? Faites confiance, mais vérifiez. La sécurité du cloud ne se résume pas aux promesses de votre fournisseur, mais à ce que vous mettez activement en œuvre.

L’informatique doit s’approprier l’intendance des données et les environnements de test du cloud.

Les données sont l’actif le plus précieux d’une entreprise, mais la gestion des données dans le cloud est souvent considérée comme une réflexion après coup. C’est une erreur. Les données stockées dans le cloud sont toujours sous votre responsabilité, elles doivent être sécurisées, optimisées et gouvernées correctement.

Ce qu’il faut en retenir ? Les données du cloud ne peuvent pas être « réglées et oubliées ». Sans une gouvernance structurée, les entreprises s’exposent à des failles de sécurité, à une explosion des coûts de stockage et à des problèmes de conformité. Le service informatique doit garder le contrôle.

Les DSI et les responsables informatiques doivent établir une cartographie stratégique des responsabilités en matière de cloud.

La technologie cloud n’est plus seulement une préoccupation informatique, c’est une stratégie d’entreprise. À mesure que l’adoption du cloud augmente, les DSI et les principaux responsables informatiques doivent adopter une approche structurée et intentionnelle de la gestion des opérations de cloud.

À quoi cela ressemble-t-il ?

1. Cartographier les responsabilités liées au cloud au sein des équipes informatiques : La sécurité, la conformité, la performance et la gestion des fournisseurs doivent être formellement attribuées. Pas de lacunes. Pas de chevauchement.

2. Offrir une formation sur le cloud au personnel informatique : Nouveaux outils, nouvelles architectures, nouveaux risques – la technologie cloud évolue constamment. Les équipes informatiques ont besoin d’une formation continue pour suivre le mouvement.

3. Aligner les investissements dans le cloud sur les objectifs de l’entreprise : Chaque décision relative au cloud doit pouvoir être mesurée en termes de retour sur investissement, d’efficacité et d’impact sur l’entreprise.

« Les DSI doivent aller au-delà de la simple « gestion » des opérations de cloud. Ils doivent piloter la stratégie cloud, en veillant à ce que l’informatique soutienne l’entreprise et permette activement sa croissance. »

Dernières réflexions

Le cloud n’est pas l’avenir, c’est le présent. Mais il n’est un avantage que si les entreprises l’utilisent de manière stratégique. Cela signifie que l’informatique ne disparaît pas dans un monde axé sur le cloud, elle devient même plus importante. Les entreprises qui prospèrent sont celles qui gardent le contrôle, exigent des fournisseurs qu’ils rendent des comptes et veillent à ce que leur stratégie en matière de cloud s’aligne sur les objectifs de l’entreprise.

La meilleure approche ? S’approprier le cloud, ne pas laisser le cloud s’approprier de vous.

Principaux enseignements

• Les décideurs doivent gérer activement les opérations de cloud plutôt que de s’en remettre uniquement aux fournisseurs. Cela implique de définir clairement les responsabilités informatiques en matière de supervision des performances, de la sécurité et de la conformité, afin d’aligner les services cloud sur les objectifs stratégiques de l’entreprise.

• Il est essentiel de formaliser les rôles liés au cloud au sein des équipes informatiques. Les dirigeants devraient mettre à jour les descriptions de poste pour y inclure des responsabilités spécifiques au cloud, garantissant ainsi la responsabilisation et la gestion proactive des risques dans un environnement de plus en plus dépendant du cloud.

• Il est essentiel de disposer de contrats et d’accords de niveau de service robustes pour le cloud. Les dirigeants doivent s’assurer que les accords vont au-delà des termes génériques en négociant des mesures de performance plus strictes et des pénalités pour les temps d’arrêt, afin de protéger les applications critiques.

• Une supervision complète de la sécurité du cloud et de l’intendance des données n’est pas négociable. Les responsables informatiques doivent mettre en œuvre des audits réguliers, appliquer des contrôles d’accès stricts et gérer des environnements de test du cloud pour atténuer les risques et protéger les données de l’entreprise.