De l'installation au dépannage : la souveraineté commence par les compétences

Cinquième article de ma série sur la souveraineté numérique, née d’une table ronde au salon Tech&Co : neuf articles, un par jour, pour montrer que la souveraineté de vos données tient à la maîtrise que vous en avez, bien plus qu’à leur adresse.

Hier, on se demandait qui peut lire vos données. Aujourd’hui, une question qu’on oublie presque toujours : qui sait faire fonctionner vos outils ?

Les deux côtés de la table

Dans la carte des neuf familles de risques, c’est la quatrième : les compétences et la dépendance humaine. Et la localisation n’y change rien.

Pendant dix-huit ans, j’ai géré le datacenter du gouvernement de la Nouvelle-Calédonie. Aujourd’hui, j’accompagne des entreprises et des administrations dans le cloudLe cloud (ou informatique en nuage) désigne le fait de stocker ses fichiers et d'utiliser des logiciels à distance, sur des serveurs accessibles via…. J’ai donc vu les deux mondes de l’intérieur, et une chose m’a frappée : dans les deux, la souveraineté tient d’abord aux personnes qui savent faire fonctionner les outils.

Un serveur installé chez vous, dont personne ne sait régler le pare-feu ni comprendre une panne, ne vous rend pas souverain. Il vous laisse à la merci du premier incident.

Un serveur, où qu’il soit, n’est souverain que s’il est sauvegardé, mis à jour, chiffré, et que quelqu’un sait le réparer.

Ce que demandent des outils installés chez vous

Garder ses serveurs chez soi, c’est garder la main. C’est aussi garder toute la pile : le matériel, les réseau, les pare-feux, les systèmes, les bases de données, les middlewares, les stockages, les sauvegardes, la supervision, les applications. Il faut tout connaître, et tout faire fonctionner ensemble.

Cela demande de porter plusieurs casquettes à la fois :

• l’administration des systèmes et du réseau : installer, configurer, durcir (ne laisser ouvert que le strict nécessaire), mettre à jour ;
• la sécurité au quotidien : surveiller, corriger les failles, réagir aux alertes ;
• l’exploitation et la fiabilité : garder le service disponible, le jour comme la nuit, et assurer la continuité en cas d’aléa (cyclone, perte d’alimentation électrique, etc.) ;
• le support : répondre aux utilisateurs, dépanner.

Et derrière ces casquettes, il y a des personnes. Avec les difficultés que tout dirigeant connaît :

• des compétences rares, et plus rares encore sur une île ;
• les départs : une personne qui part avec tout ce qu’elle savait ;
• la personne unique : celle qui sait tout, mais qui est en congé le jour de la panne ;
• la course contre les attaquants : il faudrait toujours avoir un temps d’avance sur eux, appliquer chaque correctif de sécurité dès sa sortie, suivre chaque nouvelle menace. Pour une petite équipe, c’est hors de portée ou au détriment d’autres postes.

Ce n’est pas un reproche fait aux équipes informatiques : c’est une question d’échelle.

Ce que demande le cloud : un autre rôle, pas moins de compétences

Passer au cloud ne supprime pas le besoin de compétences. Il le déplace.

Le fournisseur prend en charge une partie de la pile, et cette partie dépend du type de service :

• en logicielOutil. Application numérique qui permet de répondre à un besoin. en ligne (Gmail, Drive, un logiciel de facturation en ligne…), vous ne gérez plus que vos données et la couche du service : les comptes, les droits, les partages, les paramètres ;
• en plateforme (vous déposez votre application, le fournisseur la fait tourner), vous gérez en plus votre application : son code et sa configuration ;
• en infrastructure (vous louez des serveurs à distance, des « machines virtuelles »), vous gérez aussi les systèmes et une partie du réseau.

C’est le principe de la responsabilité partagée : un peu comme le passage d’une maison dont vous êtes propriétaire, où tout est à votre charge, à l’hôtel, où il ne vous reste que vos affaires et vos clés. Entre les deux, la location, vide ou équipée.

Ce qui reste à vous, en revanche, n’est jamais négligeable :

• les comptes et les droits, qui restent toujours à vous ;
• la double authentificationLa double authentification (ou 2FA, authentification à deux facteurs) est une mesure de sécurité qui ajoute une seconde vérification à votre mot de passe… (un code en plus du mot de passe) et les règles d’accès ;
• la sauvegarde chez un tiers : le fournisseur protège son service, pas vos données contre une suppression, un rançongiciel ou un compte coupé ;
• la maîtrise des coûts et des contrats : c’est le nouveau métier. Les abonnements s’accumulent vite, et un contrat se lit avant de se signer, comme on l’a vu avec les sept questions à poser à votre fournisseur.

Le cycle, étape par étape

« Faire fonctionner un outil », c’est un cycle complet : installer, configurer, mettre à jour, protéger, surveiller, sauvegarder, dépanner. Pour chaque étape, posez-vous une seule question : chez nous, qui le fait ? Voici ce qui vous revient, avec des outils sur place, ou avec un logiciel en ligne :

• Installer et configurer : sur place, tout ; en ligne, les paramètres du service.
• Créer et fermer les comptes : dans les deux cas, c’est vous. Un compte oublié au départ d’un salarié est une porte d’entrée classique.
• Mettre à jour : sur place, tout ; en ligne, vos postes et vos téléphones.
• Protéger : sur place, le pare-feu et le réseau ; en ligne, la double authentification et les règles d’accès.
• Surveiller : sur place, tous les journaux (l’historique des connexions et des actions) ; en ligne, ceux de vos comptes et de vos partages.
• Sauvegarder : dans les deux cas, c’est vous, et une sauvegarde n’existe vraiment que si vous avez déjà testé une restauration.
• Dépanner : sur place, tout, du disque à l’application ; en ligne, vos réglages, le support s’occupant du service.

Si la réponse est « personne » ou « une seule personne », vous avez trouvé votre premier risque.

Déléguer, oui, mais proprement

Personne ne peut tout faire seul, et ce n’est pas le but. Déléguer à un prestataire est souvent la meilleure solution, à trois conditions :

1. Un contrat qui dit ce que fait le prestataire, dans quels délais, et ce qui se passe s’il arrête.
2. Une documentation à jour, qui vous appartient : vos réglages, vos comptes, vos procédures. Le jour où vous changez de prestataire, elle part avec vous, pas avec lui.
3. Deux personnes qui savent, au minimum : la compétence ne doit jamais tenir à une seule tête, ni chez vous, ni chez lui.

Et la localisation, dans tout ça ?

Un serveur à Nouméa ou ailleurs : la vraie question reste qui sait le faire fonctionner. Un serveur sur place que personne ne maîtrise est plus fragile qu’un service en ligne bien configuré.

La proximité a pourtant un avantage réel, et je ne vais pas le nier : quand il faut intervenir physiquement sur une machine, un prestataire présent sur le territoire arrive plus vite. Mais c’est un argument pour bien choisir son prestataire, pas pour garder des serveurs à tout prix.

Deux exemples concrets

Une petite entreprise, sans informaticien. Ses outils sont en ligne, et c’est très bien. Ses priorités : deux personnes qui savent administrer les comptes, la double authentification partout, une sauvegarde chez un tiers, et un prestataire sous contrat pour le reste. Plus une page de documentation : qui fait quoi, et où sont les accès.

Une collectivité, avec une petite équipe informatique. Elle ne peut pas tout garder en interne. Elle choisit ce qui doit rester chez elle, ce qu’elle confie à des services en ligne, et ce qu’elle délègue à des prestataires. Elle documente, organise les remplacements pendant les congés, et forme au moins deux personnes sur chaque sujet critique.

Téléchargez le mémo

Dix questions, ce qui vous revient avec des outils sur place ou en ligne, et une colonne vide pour noter qui le fait chez vous : tout tient sur une page. Le mémo est gratuit, sans inscription. Remplissez-le en équipe : les cases vides parlent d’elles-mêmes.

Télécharger « Votre maîtrise technique en dix questions » (PDF gratuit)

La suite de la série

Chaque jour, un article approfondit une partie de la carte, avec son mémo gratuit.

Rendez-vous demain, avec une question que personne n’aime se poser : et si votre fournisseur disparaissait du jour au lendemain ?

Et si vous voulez faire le point sur qui fait fonctionner vos outils, et sur ce que vous pourriez déléguer, je vous accompagne : strategiezenit.com.

La souveraineté ne se déclare pas : elle se prouve.