Cloud et protection des données : une cohabitation à construire

(Agence Ecofin) - Le cloud est l’aboutissement d’un mouvement de fond vers la simplification et la dématérialisation des services informatiques. Le PC avait rapproché les moyens informatiques des utilisateurs, mais en avait aussi imposé la complexité à tout un chacun ; le cloud, lui, permet enfin de ne conserver que l’usage. La boucle serait donc bouclée.

Ainsi, de plus en plus de sociétés et d’individus font appel à des services qui leur sont délivrés sous forme de cloud computing, en en ayant conscience… ou non : des services de mails, de gestion/stockage de documents, etc. L’information présente sur des supports physiques tels les ordinateurs ou les clés USB se déplace inexorablement vers le web avec des services comme Gmail, Google Docs, Dropbox, Flickr. La grande majorité des utilisateurs ne se posent pas/plus la question de la localisation de leurs données, et de la façon d’y accéder ; le cloud, l’accès Internet haut débit fixe ou mobile permet d’avoir leurs données « à portée de main ».

La nature même du cloud computing (une gestion plus souple de l’informatique avec ajustement du service à la hausse ou à la baisse et une facilité/rapidité de mise en œuvre, un accès à des ressources « hardware » dans un laps de temps relativement court, pour peu ou pas d’investissement pour les utilisateurs) a pour corollaire une mutualisation des ressources informatiques. Celle-ci a pour effet de modifier la façon d’aborder l’information qui y réside, que ce soit en termes de « propriété » de cette information ou d’accès aux données associées, et ce d’autant plus que certains fournisseurs de services s’appuient sur des acteurs majeurs du stockage ou du cloud computing comme Amazon Web Services, Microsoft Windows Azure ou Google App Engine afin de proposer leur offre de service.

Le cloud et la protection des données

La question de la propriété des données est un exemple emblématique : un même jeu d’informations qui appartient à un individu sur un support physique peut lui échapper en partie lorsqu’il est importé dans le fameux nuage,autant du fait des conditions générales d’utilisation que de la loi applicable à ladite utilisation. Ainsi Facebook précise dans ses conditions d’usage (Terms of Service) que tout contenu stocké dans la plateforme (images, vidéos, documents, etc.) donne au géant des réseaux sociaux un droit temporaire (auparavant perpétuel) et non exclusif d’utiliser ledit contenu, que ce soit pour le publier aux membres du réseau ou pour l’utiliser à des fins publicitaires. De même, un service de stockage comme Dropbox ou Skydrive propose non pas un service de stockage de données, mais un accès à des données stockées (qui s’avèrent être celles de l’utilisateur). La nuance étant importante car dans ce cas la propriété des données échappe à la personne utilisatrice du service, toute perte de données étant hors du champ de responsabilité du fournisseur de services, qui se réserve le droit de retirer l’accès aux données.

Cette problématique est d’autant plus importante qu’il n’existe pas ou peu d’entreprises sans cloud. En effet, la démocratisation des services cloud a pour conséquence de faciliter un recours direct à ces services, sans passer par le service informatique. Les utilisateurs finaux souscrivent facilement à des services à titre personnel, avec en premier lieu des services de stockage ou de backup cloud, mais aussi des services liés à la relation client. Ainsi, des populations averties comme les développeurs informatiques utilisent l’Infrastructure as a Service ou les Platform as a Service pour tester leurs solutions et les héberger.

La protection des données est un sujet sensible qui prend tout son sens dans le monde numérique et celui du cloud. En effet, la notion de territorialité et de lois applicables devient moins claire avec des fournisseurs de services basés hors des pays de leurs clients. Ainsi, le 4^ème amendement américain, qui protège les données personnelles, est battu en brèche lorsque ces données sont confiées à un tiers. Ce sujet est particulièrement sensible pour les Américains,qui essayent d’obtenir davantage de contrôle des données collectées dans le cadre de la lutte contre le terrorisme sous le Patriot Act. Ils ont ainsi obtenu que des géants de l’internet comme Google, Yahoo ou Microsoft réduisent la durée de stockage de certaines informations.

Le même service en Europe fait désormais l’objet d’une approche différente, avec une directive européenne sur la protection des données qui s’est adaptée aux nouveaux usages de l’internet afin de mieux encadrer la collecte de données issue des réseaux sociaux, ainsi que le ciblage publicitaire pour les Européens utilisateurs de services basés hors de leurs frontières.

Cloud privé, cloud public…

Au-delà des éléments règlementaires, il reste que le recours au cloud doit se faire dans le cadre d’une réflexion globale afin de segmenter son usage au regard du type de données et de leur utilisation. Car si l’on parle de cloud computing au sens large, plusieurs options existent, tels les clouds publics ou privés, avec des natures et des niveaux de services différents. Le cloud public recouvre les services de stockage et d’applications accessibles via le réseau Internet. Ce modèle repose sur la disponibilité en ligne des applications et des données, ces dernières étant gérées par le fournisseur de cloud, sans visibilité pour le client sur les modalités de conservation. A l’inverse, certains fournisseurs de solutions métiers proposent des offres clés en main qui reposent sur une infrastructure de type cloud. Ces solutions intégrées sont hébergées sur l’infrastructure privée du fournisseur de service, mais l’usage de ces infrastructures reste partagé entre plusieurs entreprises clientes, dans un nombre limité : c’est ce qu’on appelle un cloud privé. Dès lors, plusieurs questions sont à adresser avant d’accéder à la facilité du cloud, dont la nature des données et traitements susceptibles de migrer vers le cloud (stratégique, personnelle ou métier), les risques à maîtriser, ou encore les conséquences sur la politique de sécurité interne.

Ainsi, transférer des données stratégiques et/ou personnelles vers un service cloud public est un usage inadapté du cloud en entreprise ; il est préférable de s’en tenir à une infrastructure privée. Quoi qu’il en soit, l’entreprise doit intégrer la protection des données dans le contrat conclu avec le fournisseur. Il est essentiel d’intégrer dans les clauses contractuelles des obligations fortes en matière de disponibilité, d’intégrité, de confidentialité, conformités exigées par l’entreprise, ses clients, mais aussi les régulateurs.

Les opérateurs, gardiens des données de leurs clients ?

Il reste toutefois que faire varier de la clause standard auprès de fournisseurs d’une certaine taille, étrangers de surcroît, relève de l’exploit, les conditions de service étant rigides et peu protectrices. C’est dans ce cadre que plusieurs initiatives ont été lancées sous l’égide d’acteurs européens et nationaux qui ont pour but d’agir comme des tiers de confiance auprès des utilisateurs. Si ces initiatives sont plus tardives que celles existantes sur le marché, elles misent sur une approche plus qualitative basée sur une grande transparence quant aux conditions de service. Ainsi, plusieurs projets de cloud computing européens ont été lancés sous l’égide des opérateurs télécoms, tels que Cloudwatt avec Orange ou Numergy pour SFR, avec des data centers basés en Europe, mettant en avant le respect des données des clients (entreprises) et de leurs clients finaux.

Les acteurs comme les opérateurs télécoms adoptent ainsi une approche de tiers de confiance, gardiens des données de leurs clients entreprise ou grand public, avec la gestion de l’identité numérique pour ces derniers. Ainsi, face à des acteurs web qui bâtissent leur business model sur la collecte des données personnelles, les opérateurs pourraient prendre la posture inverse en étant les gardiens de l’identité numérique de leurs clients, en proposant un service de gestion de leurs données personnelles afin de donner aux clients la maîtrise de leur identité et de la confidentialité de leurs données.

En tant qu’intermédiaire tiers de confiance, l’opérateur permettrait aux clients d’appréhender les risques liés à la fourniture de leurs données sur le web, et leur donnerait les leviers de maîtrise de celle-ci.

Par Jean-Michel Huet, directeur associé Emerging Markets, BearingPoint, et Tariq Ashraf, manager, BearingPoint, pour le magazine Réseau Télécom No 63. (www.bearingpoint.fr)