Cloud computing dans les entreprises suisses : diffusion et usages

Situation initiale : pourquoi les PME suisses examinent la cloud

Systèmes lents et inertes, maintenance coûteuse, infrastructure informatique obsolète : nexplore décrit ainsi une situation de départ que partagent de nombreuses entreprises. Les mises à jour prennent du temps, les serveurs génèrent des charges opérationnelles continues. De là naît la nécessité d’examiner les services cloud.

La plateforme fédérale pour les PME le souligne : l’externalisation vers le cloud est souvent moins onéreuse pour les entreprises que la gestion interne des données. Une entreprise ne disposant pas des ressources informatiques nécessaires n’a pas besoin d’investir dans son propre parc informatique.

Les services cloud offrent un accès simplifié aux documents, ce qui, selon kmu.admin.ch, s’avère particulièrement utile pour les postes à durée déterminée. La capacité de stockage, la durée de l’abonnement et le nombre d’utilisateurs peuvent être adaptés aux besoins.

La Confédération ajoute qu’un prestataire professionnel garantit souvent mieux la confidentialité. ncloud.swiss présente son offre selon quatre domaines de prestation : infrastructure cloud, poste de travail et collaboration avec courriel et archivage, cybersécurité ainsi que sécurité opérationnelle.

Il en découle pour les entreprises suisses la question de savoir quels modes d’utilisation et quels cas d’application sont pertinents. Le choix se porte sur l’infrastructure, la plateforme ou le logiciel prêt à l’emploi, ainsi que sur la forme d’exploitation : cloud public, privé ou hybride.

Ce que signifie le cloud computing dans le contexte entrepreneurial

Le Préposé fédéral à la protection des données (PFPD) définit techniquement le cloud computing comme la fourniture à la demande d’applications et de logiciels, de capacités de stockage, d’outils de développement, de capacités réseau ou de puissance de calcul via un réseau, par exemple Internet, par un fournisseur de cloud.

Le portail kmu.admin.ch le formule plus simplement : le stockage et l’accès aux données via Internet plutôt que via le disque dur d’un ordinateur. Le nuage de données correspond à une infrastructure distante composée de serveurs, de matériel, de réseaux ou de centres de données qu’une entreprise peut louer.

Pour le grand public, Google Drive, Dropbox, OneDrive et iCloud sont surtout connus. Il convient de les distinguer des offres cloud destinées au monde professionnel ; plusieurs entreprises suisses proposent de tels services aux petites et moyennes entreprises.

Les prestataires suisses couvrent différents rôles : ncloud.swiss planifie, exploite et protège l’informatique des PME dans des centres de données suisses, avec une équipe dédiée. Depuis plus de 25 ans, s’y ajoutent des serveurs et du stockage, avec des références allant du secteur de la santé et de l’industrie jusqu’aux autorités publiques. Pour les environnements de cloud privé et public, des offres de Swisscom et Microsoft Azure sont disponibles.

Diffusion : où les services cloud s’imposent au quotidien des entreprises

Le PFPD cite comme domaines d’application typiques Office 365 et les outils de collaboration en ligne entre collaborateurs, les outils de gestion en ligne des adresses e-mail pour les newsletters ou le conseil clientèle, ainsi qu’un système CRM en ligne. Font également partie de ces usages le téléchargement de vidéos sur des plateformes de streaming et le transfert de fichiers sur un serveur accessible via Internet.

La plateforme fédérale pour les PME constate que le cloud computing gagne en popularité auprès des entreprises. Sont utilisées des applications hébergées, des logiciels pour le partage et la collaboration sur des projets, où informations et applications sont partagées. Les volumes de données stockés reposent sur des serveurs externes sécurisés.

Selon le mode d’utilisation, les services se répartissent en trois modèles : SaaS pour les logiciels standards, IaaS pour les serveurs, le stockage et les réseaux loués, PaaS pour les applications propres et les nouveaux projets. L’IaaS entre en jeu lorsque des applications existantes telles que l’ERP, la téléphonie ou les bases de données doivent continuer à fonctionner sans modification ; le contrôle du système d’exploitation et des logiciels reste du ressort de l’entreprise.

Les modes d’utilisation concrets au quotidien des PME incluent le courriel et l’archivage, les applications Office, le CRM en ligne, la comptabilité ainsi que la sauvegarde. S’y ajoutent des serveurs et du stockage loués pour les applications existantes, ainsi que des environnements de développement et de test pour les applications propres.

Outre le SaaS, l’IaaS et le PaaS, les prestataires distinguent la forme d’exploitation : cloud public, cloud privé ou cloud hybride. Pour les environnements de cloud public, les prestataires suisses citent Microsoft Azure et Swisscom.

Une enquête de l’OFS sur la diffusion des technologies de l’information et de la communication dans l’économie suisse fournit les valeurs de base : plus de 90 % des entreprises suisses utilisent un PC, le courriel et Internet. L’intranet et l’extranet sont nettement moins répandus. L’enquête a été réalisée à l’automne 2002 par le centre de recherches conjoncturelles de l’EPF Zurich pour le compte de l’Office fédéral de la statistique.

Le commerce électronique basé sur Internet sert avant tout aux entreprises suisses à l’approvisionnement en marchandises : 44 % de toutes les entreprises l’utilisent à cette fin, contre 16 % du côté des ventes. Pour certaines technologies, les entreprises suisses atteignent le niveau des pays scandinaves leaders, mais accusent un retard dans la vente en ligne.

Dans le modèle SaaS, nexplore cite Microsoft 365, un système CRM issu du cloud ainsi que des solutions standards pour le courriel, le CRM et la comptabilité. La facturation s’effectue généralement selon le modèle d’abonnement.

Au quotidien des PME, les services standards priment : Microsoft 365 regroupe les applications Office et les outils de communication dans une solution intégrée. S’y ajoutent le stockage cloud avec espace flexible ainsi que des services cloud entièrement gérés, incluant le support et la maintenance.

ncloud.swiss rattache la sauvegarde, la reprise après sinistre et l’archivage à la sécurité opérationnelle ; la protection, l’audit et la sensibilisation relèvent de la cybersécurité. L’offre va du service individuel à l’informatique entièrement externalisée.

La Confédération souligne que la Suisse occupe la 2e place des pays les plus attractifs pour les centres de données en Europe, après les Pays-Bas ; en 2021, le pays comptait 93 centres de données selon CBRE. Ainsi, des services cloud fournis localement sont également disponibles pour les PME.

IaaS, PaaS ou SaaS : trois modèles, trois degrés de contrôle

nexplore distingue trois modèles selon le degré de contrôle, de flexibilité et de standardisation. Le choix dépend du profil d’exigences de ses propres applications, et non du modèle en soi.

Avec l’IaaS, les ressources informatiques telles que les serveurs, le stockage et les réseaux sont louées, comparablement à un centre de données virtuel, par exemple des machines virtuelles chez des prestataires comme Microsoft Azure. L’usage est typique lorsque des applications existantes comme l’ERP, la téléphonie ou les bases de données doivent être transférées telles quelles dans le cloud (« lift & shift ») et qu’un contrôle total du système d’exploitation et des logiciels est requis.

Red Hat décrit l’IaaS comme un service « pay-as-you-go » avec infrastructure telle que le stockage et la virtualisation selon les besoins. La partie utilisatrice reste responsable du système d’exploitation, des données, des applications, des intergiciels (middleware) et des environnements d’exécution ; l’infrastructure est pilotée via une API ou un tableau de bord et peut être mise à l’échelle horizontalement ou verticalement.

Pour les environnements de développement et de test, l’IaaS permet un déploiement rapide et un arrêt tout aussi rapide. Seule l’infrastructure effectivement utilisée est facturée ; des frais d’exploitation réduits et l’absence de coûts de maintenance rendent ce modèle avantageux.

Le PaaS met à disposition une plateforme pour le développement d’applications propres, incluant le système d’exploitation, les intergiciels et la base de données. L’entreprise n’a pas à se soucier de la maintenance et des mises à jour ; le modèle convient aux nouveaux projets, à la modernisation des applications propres et aux applications natives du cloud.

Le SaaS signifie l’utilisation directe de logiciels prêts à l’emploi via le navigateur, sans installation ni maintenance, facturés par abonnement. C’est le choix pour les solutions standards comme le courriel, le CRM ou la comptabilité.

Pour les PME suisses, cela signifie : SaaS pour le courriel, le CRM et la comptabilité, IaaS pour l’ERP, la téléphonie et les bases de données, PaaS pour les applications propres et les projets natifs du cloud. Des offres avec centres de données en Suisse sont disponibles pour les trois modèles.

Comparaison des modèles de services cloud : IaaS, PaaS et SaaS

Où se trouvent les données : formes d’exploitation, centres de données et protection des données

Outre le modèle de service, la forme d’exploitation décide : cloud public, privé ou hybride. Selon convotis, le cloud privé offre une infrastructure contrôlée et dédiée, souvent dans un centre de données local ou national, avec stockage et traitement en Suisse ou dans l’UE.

Le cloud public, le cloud privé et le cloud hybride se distinguent par le degré d’exclusivité. Le cloud public propose des solutions évolutives et économiques avec Microsoft Azure et Swisscom, le cloud privé un environnement avec accès exclusif, tandis que le cloud hybride relie l’infrastructure locale aux services de cloud public.

Comme avantages du cloud privé, convotis cite la sécurité juridique, le contrôle total des données et des exigences de sécurité adaptables individuellement. Les droits d’accès extraterritoriaux, tels que prévus par le CLOUD Act pour les prestataires américains, sont ainsi écartés.

Pour de nombreuses entreprises suisses, outre la LPD, le RGPD s’applique également : environ 20 % des données personnelles traitées en Suisse proviennent de citoyens de l’UE. Quiconque traite des données de citoyens de l’UE doit respecter les prescriptions plus strictes.

Le PFPD cite trois aspects liés à la protection des données auxquels une attention particulière doit être accordée dans le cadre des services cloud : le recours à des sous-traitants et sous-sous-traitants, la sécurité du traitement des données et la transmission de données personnelles vers des pays tiers.

Le fournisseur de cloud agit généralement en tant que sous-traitant du client au sens de l’art. 9 LPD. Le client peut être responsable du traitement ou lui-même sous-traitant. En tant que responsable, il assume la responsabilité que les traitements externalisés soient conformes à la protection des données, et doit le garantir contractuellement ; une communication à l’étranger doit être examinée préalablement.

Le PFPD recommande une analyse des risques approfondie. convotis souligne que les autorités américaines peuvent accéder aux données sur la base du CLOUD Act même si celles-ci se trouvent physiquement dans l’UE ou en Suisse – sans information des personnes concernées.

La Cour de justice de l’Union européenne a statué avec l’arrêt Schrems II que les États-Unis n’offrent pas un niveau de protection des données adéquat. Les autorités européennes de protection des données interdisent donc l’utilisation de certains services américains comme Mailchimp lorsque des données personnelles y sont traitées aux États-Unis ; en Suisse, la situation juridique n’est pas encore définitivement clarifiée.

Le chiffrement n’a qu’une efficacité limitée : dès que les données doivent être traitées dans le cloud, elles se présentent en clair. Il n’est efficace que pour le seul stockage, ce qui s’avère impraticable pour de nombreux cas d’application.

kmu.admin.ch rappelle que le cloud est par définition conçu pour le partage et que le stockage crée une dépendance envers le prestataire. Il reste judicieux de conserver en interne les données les plus sensibles.

Avantages et risques du cloud privé dans le contexte suisse

Sélection et prochaines étapes : ce à quoi les entreprises suisses doivent veiller

D’abord le profil d’exigences, ensuite le modèle : les applications existantes avec contrôle total du système d’exploitation et des logiciels plaident pour l’IaaS, les développements propres pour le PaaS, les logiciels standards dans le navigateur pour le SaaS.

Concernant les coûts, il vaut la peine d’examiner le modèle de facturation. Le SaaS est généralement facturé par abonnement, l’IaaS selon la consommation ; ncloud.swiss mentionne des modèles de coûts transparents et un stockage des données dans des centres de données suisses.

Chez ncloud.swiss, le domaine de la sécurité opérationnelle comprend la sauvegarde, la reprise après sinistre et l’archivage ; le prestataire cite un interlocuteur fixe comme autre caractéristique. Quiconque fait transmettre des données à l’étranger doit examiner préalablement le sous-traitement et la communication à l’étranger, et les régler contractuellement.

La question décisive reste : quelles données doivent vraiment aller dans le cloud, et lesquelles restent mieux en interne ? Selon kmu.admin.ch, les actifs les plus sensibles n’ont pas leur place dans un service partagé.

Les logiciels standards par abonnement, l’infrastructure louée et les services de plateforme restent des moyens au service d’une fin. L’essentiel est de déterminer quels cas d’application une entreprise souhaite réellement couvrir et où les données doivent résider.