Module 2 · 2.4
Français
Comparer les prestataires sans se laisser séduire
Module 2: Qu'est-ce qu'un cloud européen, vraiment ? · Temps de lecture : 11 minutes
Objectif pédagogique : À l'issue de cette leçon, vous pourrez comparer sur le fond des prestataires européens à l'aide de votre propre liste d'exigences, évaluer la valeur réelle des labels de qualité et choisir entre un service tout-en-un, des services séparés ou l'auto-hébergement.
Notions clés : liste d'exigences (doit, devrait, peut), ISO/IEC 27001, périmètre d'application (scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, disponibilité, langue du support, période d'essai, références, tout-en-un, services séparés, auto-hébergement
D'abord vos exigences, ensuite les prestataires
Qui commence par consulter les sites des prestataires se laisse guider par ce que ceux-ci mettent le plus en avant : un grand chiffre de stockage, un bouton IA, un logo soigné. Commencez donc par vous-même. La Bakkerij De Korrel a d'abord écrit ce dont elle avait réellement besoin, et ce n'est qu'ensuite qu'elle a comparé.
Utilisez pour cela trois niveaux :
- Doit : sans cela, le prestataire est éliminé. Par exemple : données et sauvegardes dans l'EEE, propriétaire européen, contrat de sous-traitance (accord de traitement des données, art. 28 RGPD) avec liste des sous-traitants ultérieurs, messagerie sur votre propre domaine, IMAP et CalDAV, authentification à deux facteurs (2FA).
- Devrait : important, mais vous pouvez éventuellement vous en passer. Par exemple : suite bureautique en ligne dans le navigateur, support en français, application mobile pour les photos.
- Peut : un plus agréable. Par exemple : visioconférence, formulaires, aide par IA.
Gardez la liste des exigences « doit » courte. Une liste de trente points n'est jamais vraiment suivie, et vous finissez par choisir au feeling.
Trois types d'offres
Les services cloud européens se présentent grosso modo sous trois formes.
| Forme | Ce que c'est | Avantages | Points de vigilance |
|---|---|---|---|
| Tout-en-un | Un seul prestataire fournit ensemble messagerie, stockage, agenda, documents et messagerie instantanée, comme les suites des grands prestataires américains | Un seul contrat, une seule connexion, tout fonctionne ensemble | Vous dépendez à nouveau d'un seul acteur ; vérifiez d'autant plus les possibilités d'export |
| Services séparés | Messagerie chez un prestataire, fichiers et agenda chez un autre, messagerie instantanée chez un troisième | Le meilleur choix pour chaque élément ; moins de dépendance | Plus de contrats, plus de connexions, plus de gestion |
| Auto-hébergement | Vous faites tourner un logiciel open source (par exemple Nextcloud) sur votre propre serveur ou un serveur loué | Contrôle maximal | Vous assurez vous-même mises à jour, sécurité et sauvegardes ; cela demande des compétences et du temps, chaque semaine |
Beaucoup de petites organisations choisissent une voie intermédiaire : un service géré reposant sur un logiciel open source. Un prestataire gère alors le serveur, mais vous pouvez, avec le même logiciel, passer à un autre prestataire ou à l'auto-hébergement si cela devient nécessaire un jour. L'auto-hébergement n'est une bonne idée que si quelqu'un y consacre durablement du temps et sait ce qu'il fait. Un Nextcloud qui ne reçoit pas de mises à jour pendant un an est moins sûr qu'un service bien géré, européen ou non.
Labels de qualité : ce qu'ils disent et ce qu'ils ne disent pas
Les prestataires aiment mettre en avant des certifications. Elles sont utiles, mais encore faut-il savoir ce qu'elles signifient.
| Label | Ce qu'il indique | Ce à quoi vous devez faire attention |
|---|---|---|
| ISO/IEC 27001 | L'entreprise dispose d'un système de management de la sécurité de l'information : cartographie des risques, mesures, contrôle annuel par un organisme certificateur | Le périmètre d'application (scope) : s'applique-t-il au service que vous utilisez, ou seulement au centre de données ou à un seul service interne ? Le certificat est-il valide et délivré par un organisme accrédité ? |
| ISO/IEC 27701 | Extension de la norme 27001 pour la gestion de la protection des données personnelles | Mêmes questions sur le périmètre d'application |
| NEN 7510 | Norme néerlandaise de sécurité de l'information dans le secteur de la santé | Pertinent uniquement si vous traitez des données de santé ; souvent une exigence dans ce cas |
| BSI C5 | Catalogue d'exigences allemand pour les services cloud, établi par le Bundesamt für Sicherheit in der Informationstechnik | Rapport avec constatations, pas un simple « réussi » |
| SecNumCloud | Qualification française de l'ANSSI pour les services cloud, avec des exigences visant à empêcher l'accès par des lois extérieures à l'UE | Exigeante ; donne des garanties importantes en matière d'indépendance juridique |
| SOC 2 | Rapport d'audit américain (AICPA) sur les mesures de sécurité | Ce n'est pas un certificat mais un rapport ; demandez le rapport, pas seulement le logo |
Deux pièges à éviter. Premièrement : c'est le centre de données qui est certifié, pas le prestataire lui-même. Le certificat ne dit alors quelque chose que sur l'électricité, le refroidissement et les contrôles d'accès physiques, mais rien sur qui peut accéder à vos données. Deuxièmement : un label de qualité ne répond pas aux cinq questions de la leçon 2.1. Un service américain peut avoir la certification ISO 27001 et relever malgré tout du CLOUD Act.
Les petits prestataires n'ont parfois pas de certification, parce qu'elle coûte cher. Cela ne les rend pas moins sûrs pour autant. Demandez-leur alors concrètement quelles mesures ils mettent en œuvre : authentification à deux facteurs (2FA) pour les administrateurs, chiffrement, sauvegardes sur un autre site, politique de mises à jour, procédure de notification en cas de violation de données.
Lire le SLA
Un SLA (service level agreement, contrat de niveau de service) décrit ce qu'un prestataire promet : disponibilité, délai de réponse du support, fenêtres de maintenance et ce que vous obtenez s'il ne tient pas sa promesse.
Convertissez toujours la disponibilité en temps réel. 99,9% par mois semble presque parfait, mais cela signifie que le service peut être inaccessible un peu plus de 43 minutes par mois. À 99%, c'est un peu plus de sept heures. Vérifiez aussi si la maintenance planifiée est comptabilisée, et quelle est la compensation prévue : souvent un petit avoir, pas un dédommagement de votre préjudice réel.
Lisez aussi ce qui n'y figure pas. Points importants qui doivent se trouver dans un SLA ou dans les conditions générales :
- combien de temps et où les sauvegardes sont conservées, et si vous pouvez restaurer vous-même quelque chose ;
- la rapidité de résolution d'une faille de sécurité ;
- comment vous êtes informé en cas de panne (page de statut, e-mail) ;
- ce qu'il advient de vos données après résiliation (leçons 2.3 et 8.2).
Essayer, questionner, tester
Le papier est patient. Ne comparez donc pas uniquement sur la base du site web :
- Prenez une période d'essai ou un petit forfait, et installez-y un véritable jeu de test : quelques boîtes mail, un agenda avec des rendez-vous récurrents, un dossier contenant vos documents les plus difficiles (leçon 6.5).
- Posez au support une vraie question, par exemple « Comment puis-je tout exporter si je pars ? » Observez la rapidité, la langue et l'exactitude de la réponse.
- Demandez les documents : contrat de sous-traitance, liste des sous-traitants ultérieurs, SLA, certificats avec leur périmètre d'application.
- Demandez des références d'une organisation qui vous ressemble, et appelez-la.
- Faites un test d'export avant de signer.
Un tableau comparatif qui fonctionne
Placez les prestataires en colonnes et vos exigences en lignes. Remplissez chaque cellule avec un fait et sa source, pas une impression. Exemple de quelques lignes pour la boulangerie :
| Exigence | Niveau | Prestataire A | Prestataire B | Prestataire C |
|---|---|---|---|---|
| Propriétaire européen | doit | oui (registre du commerce) | non (maison mère aux États-Unis) | oui (rapport annuel) |
| Données et sauvegardes dans l'EEE | doit | oui (accord de traitement des données, annexe 1) | oui | oui, sauvegarde en Suisse (décision d'adéquation) |
| IMAP, CalDAV, CardDAV | doit | oui (testé) | uniquement application propriétaire | oui (testé) |
| Export de tout dans des formats standards | doit | oui (testé) | partiellement | oui |
| Suite bureautique en ligne | devrait | oui | oui | non |
| Support en français | devrait | oui | non | oui |
Le prestataire B est éliminé sur deux exigences « doit », aussi séduisant que soit le reste. Entre A et C, la décision se fait sur les exigences « devrait ».
En pratique : à quoi cela ressemble chez un prestataire
Un WebOké Nextcloud est un exemple de service géré reposant sur un logiciel open source : vous pouvez choisir entre un environnement partagé et un serveur dédié selon la formule, et le logiciel est le même Nextcloud que celui que vous pouvez aussi utiliser chez d'autres prestataires ou en auto-hébergement. D'autres prestataires européens proposent des formules comparables : des services tout-en-un avec messagerie, stockage et agenda (par exemple mailbox.org, Infomaniak, Proton ou IONOS), des services de messagerie séparés (par exemple Posteo ou Tuta) et des serveurs pour l'auto-hébergement (par exemple chez Hetzner, OVHcloud, Scaleway ou STACKIT). Cette formation ne choisit pas à votre place : utilisez votre liste d'exigences.
Résumé
- Commencez par vos propres exigences, réparties en doit, devrait et peut. Gardez la liste des « doit » courte.
- Choisissez consciemment entre tout-en-un, services séparés et auto-hébergement ; l'auto-hébergement demande durablement des compétences et du temps.
- Un label de qualité ne dit quelque chose que dans son périmètre d'application, et ne répond pas à la question du propriétaire.
- Convertissez la disponibilité en temps réel et lisez ce qui ne figure pas dans le SLA.
- Testez avec une période d'essai, une vraie question au support et un test d'export avant de signer.
Quiz
Exercice
Exercice E2.4 : Votre propre liste d'exigences et comparaison. Constituez une liste d'exigences comportant au moins cinq exigences « doit » et trois exigences « devrait ». Comparez ensuite avec elle deux ou trois prestataires dans un tableau comme ci-dessus, avec pour chaque cellule un fait et une source. Expliquez en trois phrases quel prestataire vous choisiriez et pourquoi.
Exercice E2.4: Votre propre liste d'exigences et comparaison
Établissez une liste d'exigences et comparez deux ou trois fournisseurs (colonnes : exigence, niveau indispensable/souhaitable/facultatif, fournisseur 1, 2, 3).
Vos cases cochées et vos notes restent uniquement dans ce navigateur ; nous ne les envoyons nulle part. Si vous êtes connecté, nous enregistrons dans Mes formations uniquement le fait que vous avez terminé l'exercice.
Pour aller plus loin
Les étapes décrites dans ces articles valent pour les services de WebOké ; chez d'autres prestataires, le fonctionnement est comparable.
- Guide Nextcloud 1.4: Nextcloud Free, Personal, Family ou Max : différences et changement de forfait
- Guide WebOké 2.2: Choisir une offre d'hébergement (hébergement web, offre e-mail, Nextcloud, AI Builder)
- Guide Nextcloud 6.6: Sauvegardes chez WebOké : ce que nous conservons et ce que vous pouvez faire vous-même
- ISO/IEC 27001:2022, Information security management systems (iso.org, standaard 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html