Passer en IaaS ne signifie pas transférer toutes les responsabilités à votre hébergeur. Découvrez ce qu'il prend réellement en charge… et ce qui reste de votre côté.
Passer en IaaS (Infrastructure as a Service) permet de gagner en flexibilité, de limiter la gestion du matériel et de déployer rapidement de nouvelles ressources.
Mais cette simplicité peut créer une confusion : avoir externalisé son infrastructure ne signifie pas avoir externalisé toutes les responsabilités.
Dans un environnement IaaS, le fournisseur prend généralement en charge l'infrastructure physique. Selon l'offre choisie, le client reste toutefois responsable de nombreux éléments qui conditionnent la sécurité, la disponibilité et la reprise des applications.
La vraie question n'est donc pas seulement :
« Qui fournit l'infrastructure ? »
Mais plutôt :
« Qui est responsable de ce qui doit continuer à fonctionner ? »
Le fournisseur prend généralement en charge les composants physiques nécessaires au fonctionnement de l'infrastructure :
Le client n'a donc plus à administrer directement le matériel. En revanche, selon le niveau de service souscrit, il peut rester responsable :
Dans une offre IaaS managée, l'hébergeur peut prendre en charge une partie de ces éléments. Encore faut-il savoir précisément lesquels.
L'ANSSI rappelle d'ailleurs que, dans un modèle IaaS, le fournisseur gère notamment l'infrastructure, tandis que le client reste généralement responsable du système d'exploitation, des applications et des données.
Chaque offre IaaS est différente. Il faut donc vérifier ce que couvre réellement votre contrat plutôt que de partir du principe que votre hébergeur s'occupe de tout.
Une infrastructure hébergée dans un datacenter sécurisé peut rester vulnérable si les correctifs ne sont pas appliqués, si les droits sont trop larges ou si les alertes de sécurité ne sont pas surveillées.
La question à poser est simple :
Qui gère les mises à jour, les comptes privilégiés et les alertes de sécurité ?
Le fait que vos données soient dans le cloud ne signifie pas automatiquement qu'elles sont correctement sauvegardées ou qu'elles pourront être restaurées.
Il faut notamment savoir :
Une sauvegarde non testée reste une hypothèse.
Une infrastructure peut être disponible sans que vos applications le soient.
Il faut donc savoir :
La disponibilité de l'infrastructure ne garantit pas à elle seule la disponibilité de votre service.
L'IaaS offre beaucoup de flexibilité. Mais cette flexibilité peut aussi faire grimper les coûts si personne ne suit les ressources consommées.
Qui vérifie les machines virtuelles inutilisées, le surdimensionnement, les espaces de stockage, les sauvegardes conservées inutilement ou encore les environnements de test oubliés ?
Une infrastructure maîtrisée, c'est aussi une infrastructure dont les ressources et les coûts sont suivis.
C'est souvent là que les difficultés apparaissent.
Votre contrat doit permettre de savoir clairement :
Une question simple permet déjà de lever une partie des ambiguïtés :
« Pouvez-vous nous présenter la matrice des responsabilités applicable à notre environnement ? »
Toutes les offres IaaS ne proposent pas le même niveau d'accompagnement.
Le fournisseur met principalement l'infrastructure à disposition. Le client conserve une large part de l'administration, de l'exploitation et de la sécurité.
Selon l'offre, l'hébergeur peut également prendre en charge tout ou partie de l'administration des systèmes, des mises à jour, de la supervision, des sauvegardes, de la gestion des incidents ou de l'accompagnement du PRA.
L'enjeu n'est donc pas de savoir si l'IaaS est une bonne ou une mauvaise solution.
Il s'agit de choisir un niveau d'accompagnement cohérent avec les compétences, les ressources et les besoins de votre organisation.
Avant de considérer votre environnement IaaS comme maîtrisé, assurez-vous de pouvoir répondre clairement à ces questions :
Si certaines réponses restent floues, le problème ne vient peut-être pas de votre infrastructure, mais de la manière dont elle est gouvernée.
Passer dans le cloud ne supprime pas les responsabilités : cela les redistribue.
Le fournisseur prend généralement en charge l'infrastructure physique. Mais les systèmes, les accès, les sauvegardes, la supervision, les coûts et la reprise d'activité restent souvent sous la responsabilité du client, ou doivent faire l'objet d'un partage clairement défini.
La vraie question n'est donc pas :
« Mon infrastructure est-elle dans le cloud ? »
Mais plutôt :
« Savons-nous précisément qui est responsable de quoi ? »
Le Bilan Hébergement Critique vous permet de vérifier les principaux éléments qui conditionnent la maîtrise de votre environnement : responsabilités, sécurité, sauvegardes, supervision, coûts, continuité d'activité et niveaux de service.
L'objectif n'est pas de chercher un problème là où il n'y en a pas, mais d'identifier les points qui méritent d'être vérifiés.
👉 Réaliser le Bilan Hébergement Critique
Hébergement HDS ou non-HDS : que faut-il vraiment comparer ?