Clouds de confiance, une souveraineté au rabais ?

Depuis mars 2022, le référentiel SecNumCloud de l’Anssi est disponible dans sa version 3.2 qui ajoute de nouvelles exigences, notamment sur des catégories de services cloud comme les conteneurs en tant que service (CaaS), mais surtout qui intègre des critères de protection vis-à-vis des lois extra-européennes comme le Fisa (Foreign Intelligence Surveillance Act) et le Cloud Act. Deux cadres législatifs américains considérés par beaucoup comme des menaces pour les données européennes. D’ailleurs, avec cette version 3.2 et cette exigence de ne pas être soumis aux lois extra-européennes, est né en 2022 le label Cloud de confiance voulu par Bruno Le Maire.

De par ses exigences, l’Anssi, qui n’a pas souhaité répondre à notre demande d’interview, estime néanmoins -dans un document que nous a fourni le service de communication - que le cadre SecNumCloud 3.2 s’inscrit en pleine cohérence avec les travaux européens menés dans l’élaboration d’une certification européenne relative aux prestataires de cloud (EUCS pour European Union Cybersecurity Certification Scheme for Cloud Services). En effet, depuis 2019, la France serait fortement impliquée dans l’élaboration de cette future labellisation européenne EUCS. De son côté, la représentante de la CNIL Marie-Laure Denis rappelle aussi dans un communiqué que le référentiel SecNumCloud 3.2 fournit une réponse qui est conforme by design aux exigences de la Cour de justice de l’Union européenne (CJUE) en matière de protection des données dans le cloud, et que la CNIL recommande ainsi l’usage de ce référentiel pour les responsables de traitement qui veulent garantir un haut niveau de protection des données personnelles.

Cela dit, la version 3.2 de SecNumCloud n’interdit pas en soi l’utilisation des solutions américaines. Prenons ainsi l’exemple de Bleu (Capgemini, Orange et Microsoft) et de S3NS (Thales et Google) qui font appel à des acteurs américains et comptent bien être qualifiés SecNumCloud (v3.2) en jouant sur la limite des 24 % du capital autorisés par l’Anssi. En effet, selon le document publié par l’agence de sécurité sur les exigences SecNumCloud 3.2, figure l’immunité au droit extracommunautaire qui stipule que le capital social et les droits de vote dans la société du prestataire ne doivent pas être, directement ou indirectement individuellement détenus à plus de 24 %.

SecNumCloud 3.2, un cadre très restrictif pour un niveau 3+ d’EUCS

À terme, il est possible que la certification EUCS remplace définitivement les labels SecNumCloud/Cloud de confiance et les autres labels européens comme C5 en Allemagne ou encore ENS en Espagne. Il faut savoir que le label SecNumCloud est l’un des plus exigeants en Europe, bien plus que C5 et ENS. Par exemple, OCI, le cloud américain d’Oracle est certifié C5 et ENS alors qu’il ne sera probablement jamais certifié SecNumCloud.

Malgré tout, reste à savoir précisément quels critères seront retenus pour la certification EUCS d’autant que les grands acteurs américains mettent une certaine pression sur les pouvoirs publics européens. L’EUCS, plus « laxiste », ouvrira-t-elle à une souveraineté plus large des éditeurs américains sur le sol européen ou, plus « restrictive », protégera-t-elle en priorité les acteurs européens ? Pour Stanislas de Rémur, président d’Oodrive, ce n’est plus un sujet technique, mais politique. « Est-ce que nous voulons en Europe protéger les données sensibles ? C’est en tout cas la position de la France, mais quelle est celle des autres pays ? » L’histoire récente de la nomination avortée de l’Américaine Fiona Scott Morton comme chef économiste de la direction générale de la Concurrence, au sein de la Commission européenne a montré une fois de plus la mésentente et le flou qui règnent chez les hauts fonctionnaires à Bruxelles.

Pour contenter tout le monde, on se dirige donc vers un EUCS à plusieurs niveaux selon David Chassan, directeur de la stratégie chez Outscale. Un premier niveau avec des exigences proches de la norme ISO 27001, un deuxième niveau équivalent d’un C5 en Allemagne, un troisième niveau équivalent à SecNumCloud en intégrant aussi un « niveau 3 + » qui correspond aux fortes exigences de la version 3.2 de SecNumCloud. Avec tous ces niveaux, les entreprises devront toutefois porter une attention particulière à la lecture du niveau engagé, car le marketing, très puissant chez certains acteurs, ne manquera pas de spécifier « Cloud qualifié EUCS », mais avec en petits caractères le vrai niveau engagé, un peu comme les contrats d’assurance dotés d’annexes ou de lignes en police réduite que peu de personnes lisent.

Tout le monde connaît aujourd’hui la qualification SecNumCloud délivrée par l’Anssi et qui permet d’identifier des offres souveraines de services cloud justifiant d’un haut niveau de compétence et de qualité de service en matière de cybersécurité, tout en démontrant une protection forte des données sensibles. Dans la catégorie des fournisseurs de services cloud, seule une poignée d’acteurs (Cloud Temple, Oodrive, Outscale, OVH et Worldline) a obtenu une des certifications SecNumCloud. Il faut dire que l’obtention de cette certification est une démarche longue et coûteuse, qui mobilise un grand nombre de personnes. Stanislas de Rémur, président d’Oodrive, en témoigne : « Chaque année, vous devez élever le niveau, être meilleur que l’année précédente, car nous avons des audits tous les ans. Chez nous, cela mobilise beaucoup de personnes et de départements. À l’issue de l’audit, vous corrigez en priorité les écarts majeurs et dans un second temps, vous avez plus de temps pour corriger les écarts mineurs. » De ce constat, cette qualification SecNumCloud est donc difficilement accessible aux plus modestes fournisseurs de solutions IaaS, mais surtout SaaS et PaaS. « Pour être qualifié SecNumCloud, Jamespot, qui n’est plus une start-up, mobilise actuellement trois collaborateurs au minimum sur trois ans, c’est très chronophage pour analyser les recommandations et ses différentes annexes sur plus de 80 pages. Pour une plus petite structure que la nôtre, c’est presque mission impossible », admet Alain Garnier, président et co-fondateur de Jamespot, qui met d’ailleurs en avant la certification SecNumCloud d’Outscale qu’il hérite indirectement puisque ce dernier est l’hébergeur de ses solutions, mais qui n’a pas en théorie de valeur pour l’éditeur.

Une enveloppe de 3,5 millions d’euros

Afin d’accompagner justement les plus petites entreprises souhaitant être qualifiées SecNumCloud, l’État a débloqué, il y a quelques mois, une enveloppe de 3,5 millions d’euros issue de France 2030. Le guichet d’accès au dispositif a sans surprise été confié à Bpifrance. Est-ce suffisant ? Sûrement pas, mais c’est un coup de pouce… Déjà 21 sociétés (sur un total de 40 prétendants) ont été sélectionnées pour bénéficier de cette enveloppe de 3,5 M€. Parmi les entreprises lauréates dévoilées lors du dernier FIC par Vincent Strubel, le patron de l’Anssi, on retrouve des services PaaS pour la valorisation des données et la mise en production d’applications comme Cleyrop, Dawex, Clever Cloud, Cloud Temple ou encore des éditeurs de solutions SaaS (Sekoia.io, Xwiki ou CitéConnect). Devant le succès de cette première vague, le gouvernement a d’ailleurs lancé un second appel à candidatures, les sociétés intéressées avaient jusqu’au 19 juillet 2023 pour candidater. Ce second appel a ciblé en priorité des PME et start-ups qui souhaitent commercialiser une offre qualifiée SecNumCloud sous 2 ans.

Certains fournisseurs de cloud souverain aident aussi leur écosystème

Hormis cette initiative de l’État, certains acteurs comme Outscale, Cloud Temple ou encore OVHcloud souhaitent aussi aider les acteurs plus modestes comme les éditeurs de logiciels en mode SaaS à bénéficier de ce fameux sésame. Pour ce faire, Outscale a donc créé Path to a trusted cloud qui est un parcours de présélection optimisé pour les éditeurs éligibles à décrocher SecNumCloud, lesquels s’appuieront bien sûr sur l’IaaS d’Outscale. De son côté OVHcloud aide aussi ses partenaires dans leur démarche d’obtention du label via son programme Open Trusted Cloud. « Ce programme rassemble notre écosystème, lequel s’appuie sur nos infrastructures qualifiées SecNumCloud. En outre, c’est aussi un vrai argument pour un éditeur de bénéficier indirectement d’une infrastructure certifiée SecNumCloud même si l’offre logicielle ne l’est pas. Le CNRS a par exemple effectué un appel d’offre pour l’hébergement SAP en s’appuyant sur SecNumCloud », précise Caroline Comet-Fraigneau, vice-présidente chez OVHCloud France. Enfin, Cloud Temple se veut aussi être un facilitateur avec son programme Trusted Cloud Accelerator; une dizaine d’éditeurs sont déjà engagés selon Laure Martin-Tervonen, directrice de la marque et des affaires publiques chez le fournisseur.

« Bien sûr, la souveraineté ne se joue pas seulement sur une seule qualification, il faut maîtriser une chaîne technologique, c’est ce que nous essayons de faire par exemple en assemblant nos propres serveurs même si nous restons dépendants des composants ou encore en exploitant des technologies open source comme notre offre de cloud public basée sur OpenStack. Chez OVHcloud, nous restons pragmatiques et travaillons avec des acteurs américains comme VMware et Nutanix tout en se positionnant dans cette logique open source », souligne Caroline Comet-Fraigneau, vice-présidente chez OVH France. Précisons que’OVH a décroché la certification SecNumCloud (IaaS https://www.ssi.gouv.fr/uploads/liste-produits-et-services-qualifies.pdf) avec son offre cloud privé Hosted Private Cloud reposant sur VMware, un fournisseur américain.

Si un éditeur ne répond pas aux exigences ISO 27001 et encore moins aux prérequis de l’Anssi pour le SecNumCloud, il n’aura pas forcément tous les éléments liés à la sécurité. « C’est pour cela que je distingue bien sécurité et souveraineté. Être certifié ISO 27001 donne déjà un certain niveau de maturité. Quant à SecNumCloud, cette qualification a ses propres critères de sécurité, nous rentrons dans le scope de l’Anssi », résume David Chassan, directeur de la stratégie chez Outscale. De son côté, Stanislas de Rémur, président d’Oodrive, préfère parler d’indépendance numérique même si la souveraineté est un moyen de choisir un acteur français et/ou européen. « Le mot souveraineté est souvent associé au protectionnisme et en Europe, dès que l’on parle de souveraineté, nous avons cette impression de retourner à l’âge de pierre alors que les deux pays les plus protectionnistes sont bien la Chine et les USA. Il faut avoir cette capacité à faire émerger des leaders numériques en Europe. »

La French Tech, un gage de sécurité

La souveraineté se joue aussi sur d’autres critères, des critères techniques pour Nicolas Leroy-Fleuriot, président-directeur général de Cheops Technology : « La souveraineté, c’est aussi la capacité à customiser les environnements et les contrats (engagement des services, clause de réversibilité, etc.). » Elle se joue aussi sur l’accès aux marchés publics, notamment pour les plus petites structures, c’est d’ailleurs la volonté du ministre délégué chargé de la Transition numérique Jean-Noël Barrot qui a annoncé lors des 10 ans de la French Tech le programme : « Je choisis la French Tech » qui a pour mission de doubler le recours aux start-ups par les acheteurs publics et privés, en s’appuyant sur 5 000 partenaires dès 2027 ». Pour Alain Garnier, cette initiative est une bonne nouvelle pour redynamiser le marché, en effet, l’État devrait augmenter ses achats auprès des start-ups - à hauteur de un milliard - dans les quatre prochaines années. Déjà 50 associations, fédérations professionnelles et centrales d’achats (Ugap, UniHA, Pôle Emploi, Cpme, etc.) se sont engagées dans le cadre du plan « Je choisis la French Tech ».

L’État et en particulier le ministère de l’Éducation nationale interdisent désormais l’utilisation des suites Microsoft 365 et Google Workspace à titre gratuit au sein des établissements. « Clairement, le gouvernement a durci le sujet autour de la permission d’utiliser office 365 », reconnaît Stanislas de Rémur, président d’Oodrive. C’est dans ce contexte où les suites américaines ne sont plus les bienvenues dans le secteur public que le ministre délégué chargé de la Transition numérique Jean-Noël Barrot avait récemment annoncé les lauréats de l’appel à projets sur les suites bureautiques collaboratives cloud qui sont Wimi, Jamespot et Interstis. Ces sociétés qui s’appuient aussi sur un écosystème (3DS Outscale pour l’hébergement des données sur un socle qualifié SecNumCloud, ou encore BlueMind sur le mail) peuvent ainsi bénéficier de 23 M€ pour financer leurs projets. Par exemple, chez Jamespot, ce projet se nomme CollabNext qu’il faut voir, selon Alain Garnier, président et co-fondateur de l’éditeur comme une alternative à Google Workspace ou Microsoft 365. Pour se faire, Jamespot s’appuie donc sur son socle technique (digital workplace, intranet, réseau social entre autres), des basiques d’une suite bureautique, des modules annexes à valeur ajoutée (comme la gestion de présence) et sur un écosystème de partenaires. « CollabNext regroupe une dizaine de partenaires dont Outscale pour l’hébergement, Alinto pour le mail ou encore Wallix pour la sécurisation des accès, etc. Nous rajoutons également une couche d’intelligence artificielle. Nous avons déjà des accords commerciaux et opéré quelques déploiements de cette suite », précise à ce titre Alain Garnier. Bien sûr, pour ne pas ajouter de complexité, l’éditeur est le guichet unique de cette solution, facturée et supportée par ses soins.

Jouer aussi sur la corde des données sensibles

Hormis ces trois lauréats de l’appel à projets, les suites bureautiques et collaboratives se multiplient en France à l’image de la plateforme pour les données sensibles portée par Oodrive (pour le partage des documents), Olvid (pour la messagerie), Collabora (pour la suite bureautique même si c’est un éditeur anglais) et Tixeo (pour la visioconférence). Tous ces acteurs s’unissent donc pour créer une suite alternative collaborative sécurisée et souveraine européenne. Pour Stanislas de Rémur, l’objectif n’est pas de se substituer systématiquement aux offres déjà en place, telles que celles de Microsoft ou Google, mais de les compléter en proposant une alternative fiable pour assurer la protection et la confidentialité totale des données sensibles. Un argument de poids d’autant qu’Oodrive est certifié SecNumCloud (SaaS). Comme le précise le président d’Oodrive, cette plateforme est ouverte à d’autres acteurs, l’idée est aussi de l’enrichir en termes de fonctionnalités. Autre exemple enfin, celui de Cheops Technology avec Mail in France (https://www.lemondeinformatique.fr/actualites/lire-cheops-technology-degaine-sa-messagerie-securisee-mail-in-france-maj-89248.html), une suite basée sur des briques open source. Cette suite qui s’intègre facilement à Outlook depuis un bouton comprend ainsi une messagerie, de la visioconférence, du chat et un espace de stockage de type Google Drive, elle est hébergée dans les datacenters de Cheops Technology et est en cours de certification SecNumCloud par l’Anssi selon Nicolas Leroy-Fleuriot, PDG de Cheops Technology. À ce titre, Mail in France sera déployée en interne chez l’intégrateur qui s’est toujours refusé à utiliser Microsoft 365.

Onze ans après la naissance et la déconfiture des clouds souverains Numergy et de Cloudwatt (les deux ayant cessé leurs activités, en 2016 pour le premier repris par SFR et en 2020 pour le second intégré à Orange Business), la souveraineté est redevenue un mot très à la mode. Entre la création du cloud souverain NumSpot, les ambitions fortes de Cloud Temple et l’arrivée des clouds hybrides mélangeant (suivant l’actionnariat) des acteurs français, européens et américains comme Bleu (Capgemini, Orange et Microsoft) et S3NS (Thales, Google), sans oublier les historiques du marché comme Outscale, OVH et Scaleway, nous avons cette impression d’assister à une saison 2 d’une série dédiée à la pseudo-souveraineté des clouds ,mais, il faut le dire, dans un contexte différent. « Aujourd’hui, nous partons déjà du constat que l’adoption du cloud est plus mature, ensuite la signification a changé tout comme l’état d’esprit des utilisateurs, sans oublier la réglementation qui n’est plus la même », énumère Alain Issarni, CEO de NumSpot. Un avis que partage aussi Nicolas Leroy-Fleuriot, président-directeur général de Cheops Technology, qui a constaté un véritable changement depuis le premier janvier 2023, notamment autour de la confidentialité des données. C’est dans ce contexte favorable que la société NumSpot est née avec l’appui de Docaposte (filiale numérique du groupe La Poste et chef de file du projet), de Dassault Systèmes (propriétaire d’OutScale), de Bouygues Telecom et de la Banque des Territoires ; l’idée étant donc de créer ce cloud de confiance alternatif et associé à des services managés qu’ils soient certifiés ou pas d’ailleurs SecNumCloud afin de répondre aux besoins larges des entreprises. « Notre première brique constitue l’IaaS d’Outscale certifiée SecNumCloud. Dès 2024, nous allons apporter des services managés (containers as a service, databases as a service, etc.). Notre priorité est d’exploiter le plus possible des composants et outils issus de l’open source même des outils de la communauté américaine que l’on peut facilement forker en cas de nécessité », indique Alain Issarni. Avec ces offres, NumSpot cible donc les entreprises ayant une forte sensibilité vis-à-vis de leurs données comme les OIV, le secteur de la santé et plus généralement la sphère publique, d’autant que certains de ces acteurs sont très en retard, car ils n’ont pas, selon Alain Issarni, forcément d’offres qui répondent à leurs besoins.

Cloud Temple, le cloud exigeant

De son côté, l’acteur Cloud Temple (certifié SecNumCloud pour son IaaS en 2022) dispose d’une roadmap ambitieuse avec un PaaS (sous RedHat OpenShift) bientôt mis en production (avant la fin de l’année) et qui devrait être qualifié SecNumCloud en février 2024 (dossier en cours). « Cette offre nous ouvre à fournir des services managés alternatifs, par exemple, autour de la gestion des conteneurs ou de la virtualisation. Notre catalogue va continuer de s’enrichir dans les deux ans avec le déploiement en production de solutions de chiffrement, de services managés de bases de données et d’un point de vue infrastructure, de l’IA en se basant sur des gros calculateurs à base de GPU, sans oublier du stockage objet », précise Sébastien Lescop, directeur général de Cloud Temple. Bien sûr, l’obtention de certification SecNumCloud ne l’empêche pas de collaborer en complémentarité avec les hyperscalers, multicloud oblige dans les entreprises. Cloud Temple a, par exemple, récemment obtenu la certification Azure Expert MSP de Microsoft.

Autre initiative locale multi-services, celle du projet Hyper Open X qui doit déboucher sur une plateforme cloud regroupant des solutions et des services open source convergents orientés edge to cloud comme des bases de données relationnelles clusterisées as a service, du PaaS, des services d’infogérance et d’orchestration ou encore du data space multicloud. Ce projet (lien vers https://www.lemondeinformatique.fr/actualites/lire-hyper-open-x-sort-de-terre-avec-10-meteuro-de-financements-90954.html?bypass) est porté par 16 acteurs français (Abilian, Ateme, BSO, Cap Digital, CleverCloud, Jamespot, Murena, Nexedi, OpenSVC, Patrowl, Rapid.Space, Scaleway, SenX, Signal, Teralab et Vates). Bénéficiant de financements de l’Union européenne du gouvernement français dans le cadre de France 2030 et de France Relance pour une enveloppe globale de 10 M€, ces acteurs se sont engagés à développer leurs offres sur les trois prochaines années avec des premiers livrables attendus dès septembre 2023. Bpifrance et Cap Digital font aussi partie de l’aventure.

Face à ces nouveaux venus, certains acteurs européens reconnus et déjà en place depuis des années comme OVH observent, mais ne souhaitent pas forcément commenter. « Chez OVHcloud, nous avons déjà cette immunité aux lois extra-territoriales, notre volonté est aussi de développer des stacks maîtrisés par des acteurs européens », souligne Caroline Comet-Fraigneau, vice-présidente chez OVHCloud France. Pour Outscale, c’est différent puis qu’il fait partie prenant du consortium NumSpot. Pour David Chassan, directeur de la stratégie d’Outscale, NumSpot a de la légitimité face à Bleu ou à S3NS et ne sera pas un concurrent d’Outscale qui poursuivra, quant à lui, son approche dans le monde applicatif. « Outscale va monter sur la partie applicative, ce que l’on appelle en interne la Business Experience. » Et pour l’illustrer, David Chassan donne en exemple BNP Paribas dans le monde financier qui s’engage avec Outscale et Innova dans la gestion des exigences de conformité via l’IA notamment. En parallèle, Outscale se veut être un opérateur de confiance pour des projets sensibles comme le système de combat aérien du futur (lien vers https://www.lemondeinformatique.fr/actualites/lire-dassault-aviation-et-dassault-systemes-lancent-un-cloud-dedie-aux-projets-militaires-90777.html), mais aussi comme un opérateur international sécurisé qui permet une cybergouvernance (Outscale est par exemple certifié ITAR aux USA).

Vers du stockage objet à petit prix

Avec l’essor du stockage objet, les offres fleurissent. Bien sûr, tout le monde connaît l’offre de référence de stockage objet Amazon S3, elle-même concurrencée par Wasabi qui se veut 80 % moins cher qu’AWS. À ce titre, en tant qu’entreprise américaine, Wasabi ne peut prétendre à une qualification SecNumCloud, cela dit, Eric Peters, country manager France de Wasabi, met en avant deux arguments : la possibilité d’héberger les données dans l’un des trois datacenters européens de la marque dont Paris et le contrôle des données via le chiffrement lui-même géré par un tiers de confiance. Depuis peu, pour concurrencer ces deux acteurs américains, notamment sur la cible TPE, PME ou encore associations, le français Leviia défend la souveraineté avec son offre de stockage objet compatible S3 Leviia Object Storage. « Avec cette offre, nous nous positionnons certes comme un challenger sur ce marché, mais avec deux arguments forts : la souveraineté et le prix juste », précise William Meauzoone, co-fondateur de Leviia. Déjà en termes de confiance, cette offre de stockage objet est hébergée chez OVH Cloud et les données sont d’ailleurs synchronisées sur trois datacenters distants. Quant au prix, Leviia s’aligne sur Wasabi, il est affiché à 5,99 € HT/To/mois sans aucun frais supplémentaire, ni de sortie, ni de requêtes API. L’offre de Leviia apparaît également plus compétitive que celles proposées par les français Scaleway avec Object Storage (14,6 €/To/mois) et OVH avec Object Storage (de 7 €/To/mois pour la version standard à 25 €/To/mois pour la version High Performance), cela dit, rappelons que la cible adressée par Leviia, à savoir les petites structures, diffère de celle de ses deux concurrents français. À noter enfin que Cloud Temple va proposer pour la fin de l’année une offre de stockage objet qui devrait plutôt s’aligner en termes de prix aux offres d’AWS, d’OVHcloud et de Scaleway.

Pouvez-vous présenter en quoi consiste la solution Terraform ?

Sylvain Larue : Terraform constitue un outil d’infrastructure-as-code, grâce à laquelle une entreprise pourra construire et modifier son infrastructure, afin qu’elle soit sécurisée. Cette solution englobe tout ce qui a trait au « bas niveau » de l’infrastructure – comme le stockage du réseau – mais aussi des éléments davantage « haut niveau » tels que les entrées DNS. Terraform permettra d’allouer les ressources à provisionner dans l’infrastructure, dans le cloud ou on premise.

Ce qui est capital dans Terraform, c’est le langage qui y est utilisé et qui lui est propre : HashiCorp Configuration Language, ou HCL. Il s’agit d’un langage de provisionnement d’infrastructure universel et facile à prendre à main, pour créer des fichiers de configuration et les partager. Il a déjà été adopté par de nombreuses entreprises. Cette notion d’universalité est capitale : ce langage est décorrélé de toute technologie spécifique et crée ainsi un niveau supplémentaire, plus abstrait, grâce auquel on pourra piloter tous les composants applicatifs, aussi hétérogènes soient-ils, d’une façon centralisée et simplifiée. Sans Terraform, ces démarches-là demeurent complexes.

Quel avantage l'infrastructure-as-code représente-t-il ? Qu'apportera-t-elle aux entreprises en matière d'automatisation et de simplification des processus ?

Sylvain Larue : L’infrastructure-as-code apporte de nombreux avantages aux entreprises, en simplifiant de nombreux processus quotidiens. Tout d’abord en automatisant la configuration de nombreuses plateformes, publiques pour certaines d’entre elles. Cette approche codifiée d’accès à l’infrastructure est donc l’un des premiers avantages que notre solution offrira.

Une autre potentialité offerte par Terraform a trait au provisionnement ; on pourra lancer un « run » pour avoir un aperçu des actions à enclencher pour provisionner l’infrastructure. Une fois ces actions validées, Terraform se chargera de provisionner les ressources sur l'infrastructure et éditera alors un « fichier d’état » (state file) recensant toutes les ressources de l’environnement piloté. Très rapidement, on pourra, grâce à ce fichier, aller modifier certains éléments, en rajouter d’autres, ou en enlever.

Comment cette solution s'intègre-t-elle au sein d'un environnement multicloud ?

Sylvain Larue : À l’heure actuelle, il est fréquent qu’un même ingénieur travaille sur plusieurs fournisseurs de cloud. Là encore, utiliser Terraform facilitera ses tâches au quotidien ; il pourra gérer la consommation de ses ressources sans réapprendre de zéro les spécificités de chaque cloud. On en revient à cette idée d’universalité.

Tous les clients avec qui nous travaillons ont déployé des stratégie de migration vers le cloud, ce qui implique certains défis, dont celui de gérer certaines tâches manuellement. D’avoir recours à des systèmes de tickets ralentissant toute la chaîne, à commencer par les développeurs. Avec ce type de fonctionnement, la gouvernance est moins marquée, et peuvent survenir des risques de sécurité et de provisionnement. Déployer Terraform permet donc de se prémunir, d’être plus résistant aux pannes, et plus résilient. De plus, au sein de cet écosystème multiple, Terraform garantira un processus de travail unique.

Par ailleurs, pour une entreprise, il sera plus bénéfique d'utiliser les versions "entreprise" de la solution pour déployer Terraform en production plutôt que d’avoir recours à sa version communautaire. Pour une organisation, il est toujours assez risqué de faire changer d’échelle une solution communautaire, constituée de composants communautaires parfois sans trop de liens. Choisir une solution industrielle, ayant fait ses preuves et supportée de bout en bout par son éditeur, est une meilleure alternative.

Pouvez-vous partager avec nous le retour d'expérience d'un de vos clients ?

Sylvain Larue : Je peux citer le cas de Decathlon, groupe très connu avec lequel nous collaborons depuis de nombreuses années. Cette entreprise a dû déployer des solutions en lien avec de nombreux sujets que j’évoquais précédemment, puisque ses équipes sont basées en France et dans le reste du monde, alors que ses ressources IT sont centralisées localement. Ils ont mis de côté leur façon de procéder jusqu’ici, qui devenait trop complexe… Ils ont en effet préféré opter pour une stratégie d’infrastructure-as-code, avec l’outil unique Terraform exploité sur du cloud public, qui leur permet de travailler en équipe, à la fois de façon plus fluide et plus pointue. Decathlon étant un grand groupe, cette évolution impliquait une centaine d’équipes de développeurs, soit près de 500 personnes – nombre qui a augmenté depuis. L’adoption de Terraform a signifié pour l’entreprise des progrès majeurs, comme le temps de provisionnement d’un projet, qui est passé d’une semaine à moins de trente minutes.

Les cybermenaces ne cessent d’évoluer, et s’avèrent toujours plus redoutables à combattre pour les entreprises. Si nombre de ces cyberattaques parviennent à atteindre leur cible, c’est aussi parce que les données liées aux identifiants ne sont pas assez sécurisées dans de nombreuses entreprises. Comme le précise Gauthier Donikian, ingénieur solutions au sein de HashiCorp : « Les organisations ont pris pour habitude de ne pas réellement gérer ces informations, celles-ci étant hébergées dans des centres de données et donc protégées par des pare-feu. Les équipes SI avaient donc tendance à se dire que si un accès n’était pas totalement sécurisé, le pare-feu assurerait la protection. Au fil du temps, alors qu’elles migraient une partie importante de leurs ressources dans le cloud, les entreprises ont conservé ces pratiques, qui ne s’avèrent, hélas, plus suffisamment sécurisées. »

Renforcer le maillon le plus faible

Les cyberattaquants pourront donc aisément s’engouffrer dans cette brèche de sécurité et y déployer différents types d’attaques, qui surviennent principalement via des accès non autorisés ou des fuites de données. C’est précisément sur ce point que la solution Vault, éditée par HashiCorp, apporte des garanties de sécurité, comme nous le précise M. Donikian : « Vault prend le problème à la racine, en s’assurant que seuls les utilisateurs ou applications autorisées peuvent accéder aux informations sensibles. Nous nous assurons de cela en centralisant ces informations, qui englobent notamment les mots de passe ou les clés associées aux diverses API. Tout ce qui permettra, en somme, à un collaborateur de s’authentifier sur un système. En sécurisant les portes d’accès, on réduit mécaniquement le nombre de fuites ! »

L’outil Vault se montre également très efficace en cas de phishing, type d’attaque lui aussi très courant. Ces attaques fonctionnent souvent puisqu’elles visent le maillon le plus faible de la chaîne de sécurité : l’humain. Sur ce volet également, Vault apporte une solution : réduire le temps de validité des informations sensibles et ne pouvant être dévoilées. « Si l’attaquant récupère des informations sensibles qui expirent quelques minutes plus tard, son attaque n’a plus du tout le même impact… Les mouvements latéraux d’un système à l’autre, les accès aux systèmes ou les escalades de privilèges deviennent alors tout aussi inopérants. »

Un net gain de productivité

Dernier pilier de sécurité sur lequel les entreprises peuvent évoluer grâce à Vault : l’automatisation, dans sa définition la plus large, comme nous le précise Gauthier Donikian. « De nombreux outils permettent aujourd’hui de déployer de l’automatisation au sein de l’entreprise et, ainsi, gagner du temps et de l’énergie sur de nombreuses tâches. De nouveaux processus quotidiens sont mis en place, et il est primordial que ceux-ci interagissent bien avec les divers applications et environnements. Qu’ils soient correctement configurés. À ce sujet, Vault s’intègre donc facilement au sein de ces processus, pour, in fine, délivrer la bonne information à la bonne application au bon moment, et pour le bon usage. C’est là encore un périmètre dans lequel nous sommes très à l’aise. »

Pour bénéficier de toutes les potentialités de cet outil, les organisations ont la possibilité de déployer Vault Enterprise, la solution supportée de bout en bout par HashiCorp, ainsi que HCP Vault, qui permet d’être opérationnel plus rapidement et garantit une expérience utilisateur sans coutures. Une fois la solution Vault déployée, les entreprises et leurs équipes constatent de réels bénéfices en matière de productivité ; cet outil suivant des normes standards sur le marché, son installation et sa prise en main sont rapides. De plus, tout ce qui a trait à la gestion des secrets, citée précédemment, se fait également rapidement : « Les tâches automatisées remplaçant la gestion de tickets traditionnelle font gagner un temps précieux aux équipes. Celles-ci peuvent alors se concentrer sur des tâches à forte valeur ajoutée et plus stratégiques. Par ailleurs, Vault peut s’intégrer au sein de workflows préexistants dans l’entreprise et y injecter, donc, une couche supplémentaire de sécurité. Tout cela de façon fluide, sans friction. »

Un autre avantage concurrentiel de Vault, et non des moindres, est son approche stratégique, radicalement divergente des solutions legacy. Cette solution ayant été développé à l’heure de la technologie cloud, elle y est donc particulièrement adaptée – tout y est automatisable et pilotable à une échelle industrielle – quand d’autres solutions plus anciennes ont dû se mettre à jour, parfois difficilement, pour répondre aux nouveaux besoins des entreprises.

Quel est l'apport de la solution Boundary ? Comment fournit-elle l'accès aux applications sans exposer les collaborateurs et les données ?

Kojak Abdullazoda : Boundary est une solution de gestion des accès privilégiés, un outil aisément automatisable qui permet de gérer différentes sessions et différentes applications simultanément, en s’assurant à chaque instant que le collaborateur qui accède à la session a bénéficié des bonnes autorisations et authentifications.

Ce qui la relie aux autres solutions développées par HashiCorp, c’est sa technologie agnostique – donc universelle – qui la rend adaptable aux nombreux usages des entreprises, que l’on parle de cloud hybride ou d’on premise. La force d’un outil comme celui-ci est qu’il s’adapte au même rythme que les technologies mises en place par l’entreprise ; celle-ci n’aura pas à déployer une nouvelle solution quelques années après la précédente. Cet avantage est tout sauf anodin quand l’informatique d’entreprise évolue à une vitesse impressionnante comme c’est le cas aujourd’hui ! Et être agnostique, cela signifie également pouvoir s’interopérer avec d’autres systèmes déployés au sein des organisations.

Quelles sont les nouveautés apportées par l'IAM, par rapport au PAM ?

Kojak Abdullazoda : Le PAM, ou gestion des accès privilégiés, est à penser comme l’une des composantes de l’IAM, pour gestion des identités et des accès. Les deux sont indissociables et concerneront l’entreprise à chacun de ses échelons. Boundary se situe finalement à la jonction entre l’IAM et le PAM ; c’est un outil pour lequel nous avons gardé les principales forces de l’un et de l’autre. Il inclut un large éventail de fonctionnalités : gestion des sessions et des mots de passe, élévation des droits temporaires, audit et conformité…

C’est un outil très flexible, qui permet de couvrir de nombreux usages des utilisateurs finaux ; c’est aussi l’une des pierres angulaires de la stratégie « Zero Trust » fournie par HashiCorp, laquelle garantit un SI où tout est sécurisé : les applications, les services, les utilisateurs… L’apport principal du « Zero Trust », c’est la fin de la confiance implicite : on ne présumera plus qu’un utilisateur a montré patte blanche simplement parce qu’il s’est déjà connecté auparavant. Ce que permettra plutôt Boundary, c’est de piloter l’évolutivité des accès utilisateurs dans le temps long – sans pour autant compliquer le quotidien des équipes, puisque ces tâches peuvent bien sûr être automatisées, industrialisées.

Par ailleurs, toutes les solutions HashiCorp, y compris Boundary, peuvent être implémentés dans le cadre d’une offre « managée », où la maintenance est assurée par nos équipes HashiCorp. Pour certaines entreprises, ce choix d’une solution SaaS peut être décisif.

Pour quels usages cette solution est-elle particulièrement indiquée ?

Kojak Abdullazoda : Toute entreprise devra superviser des machines virtuelles ou des bases de données et, pour gérer celles-ci, il faudra que leurs authentifications, leurs protocoles, soient correctement paramétrés. Cela peut demander beaucoup de temps et d’énergie. C’est la raison pour laquelle des systèmes de tickets sont mis en place, afin de retrouver les accès aux machines en question et leurs authentifications. Nous procéderons ensuite, via Boundary, à nos propres exécutions de maintenance.

Là où Boundary représente pour les entreprises une avancée majeure, c’est qu’elle permet de faire abstraction des divers niveaux d’accréditations, limitées ou pas. Où se trouvent les accréditations ? À quelle applications sont-elles corrélées ? Tout ceci prend une importance moindre, puisque, grâce à Boundary, on peut se connecter, d’une manière à la fois plus simple et plus sécurisée.