La responsabilité partagée cloud guide la répartition des tâches de sécurité entre une organisation et son fournisseur de services cloud (cloud provider). Qu’il s’agisse des services IaaS, PaaS ou SaaS, il est nécessaire de bien en saisir tous les aspects afin de garantir la résilience et donc la sécurité de ses données dans le cloud.
IaaS, PaaS, SaaS : comprendre les modèles de services dans le cloud
Le cloud propose 3 modèles distincts (IaaS, PaaS et SaaS) avec, pour chacun des avantages spécifiques.
IaaS : Infrastructure as a Service
L’Infrastructure as a Service (IaaS) fournit aux organisations une infrastructure virtuelle gérée par le fournisseur de services cloud, Microsoft, par exemple. Concrètement, il s’agit de machines virtuelles, de stockage, et de réseaux mis à disposition à la demande.
Avec l’IaaS, les organisations ont un contrôle total sur leur environnement. Elles peuvent ainsi installer des applications, gérer des systèmes d’exploitation, et configurer des réseaux. Par sa flexibilité, l’IaaS offre une infrastructure évolutive sans investissements initiaux massifs.
PaaS : Platform as a Service
Le Platform as a Service (PaaS) va un pas au-delà de l’IaaS. Il fournit une plateforme complète pour la gestion de bout en bout d’applications. Dans ce modèle, les développeurs et développeuses peuvent se concentrer sur la création d’applications sans se soucier de la gestion de l’infrastructure sous-jacente.
Le PaaS offre ainsi un ensemble d’outils et de services : les bases de données, les outils de développement et les services de déploiement, ce qui simplifie le cycle de vie du développement logiciel.
Le principal objectif du modèle PaaS : prendre en charge tous les besoins liés au développement, à la gestion et à l’évolution d’applications logicielles. Cela englobe des applications web, mobiles, collaboratives, analytiques et d’autres types d’applications, en offrant une plateforme unifiée pour faciliter le travail des développeur·euses et des équipes IT.
SaaS – Software as a Service
Le Software as a Service (SaaS) est le modèle le plus orienté « utilisateur final ».
Ici, au lieu de fournir une infrastructure ou une plateforme, le cloud provider offre un logiciel entièrement fonctionnel aux utilisateurs et utilisatrices finales. Les applications SaaS sont alors accessibles directement via internet. Vous n’aurez plus besoin d’installer ou de maintenir des appareils dédiés !
Aujourd’hui, de nombreux services que vous utilisez sans doute au quotidien reposent sur du SaaS : les applications de messagerie, les suites bureautiques en ligne, les solutions de gestion de la relation client (CRM), des applications de retouche d’images, etc.
Le SaaS offre ainsi une utilisation simple et une gestion centralisée, et réduit encore plus le fardeau de la maintenance pour les organisations.
En somme, l’IaaS fournit une infrastructure virtuelle, le PaaS offre une plateforme de développement, et le SaaS propose des applications prêtes à l’emploi. Pour choisir le modèle adapté, tout dépendra des besoins spécifiques de chaque organisation, de son niveau de contrôle désiré, et de l’échelle de ses opérations.
Responsabilité partagée cloud : qui est responsable de quoi ?
La responsabilité partagée est un concept phare du cloud computing. Cette approche collaborative vise à définir clairement les responsabilités et les rôles de chacune des parties prenantes pour garantir la sécurité, la performance et la fiabilité des services cloud.
Alors que les fournisseurs cloud, comme Microsoft, assument des responsabilités spécifiques en matière d’infrastructure et de services, les utilisateurs conservent également des engagements importants en ce qui concerne leurs données, identités et configurations spécifiques.
Les garanties Microsoft : les SLA
Microsoft Azure compte aujourd’hui plus de 200 services. Les Service Level Agreements (SLA – accords de niveau de service) de Microsoft définissent la disponibilité et la performance, pour chaque service. Ces engagements varient de 99% à 99,99% et nécessitent une évaluation minutieuse en fonction des besoins spécifiques de votre organisation en matière de résilience des données.
Parmi les choix qui s’offrent à vous pour accroître cette résilience vous pourrez, par exemple, dupliquer vos données sur des zones géographiques différentes ou les déployer dans des datacenters distincts, pour garantir la fiabilité des données dans le cloud de Microsoft.
Les responsabilités dans le IaaS
Dans le IaaS, Microsoft est responsable uniquement du bon fonctionnement de votre machine virtuelle. La réponse de notre expert et MVP Microsoft Azure, Rémy Bovi, est claire : « à aucun moment, Microsoft n’est responsable de vos données, ni de la persistance de vos applications ». Pour cela, vous devez mettre en place vous-même des mécanismes de résilience, soit en redondant vos infrastructures sur différents datacenters de Microsoft, soit en assurant une sauvegarde.
Les responsabilités dans le PaaS
En évoluant vers des services PaaS, la responsabilité devient plus partagée. Si Microsoft a la charge de la disponibilité de la base de données, l’organisation demeure la gardienne de ses données.
Des décisions sur la redondance et la réplication des données deviennent cruciales pour déterminer le niveau de résilience nécessaire.
Les responsabilités dans le SaaS
Pour les services SaaS, le constat est similaire. Vous gagnerez en sérénité, car vous aurez moins de tâches à réaliser au niveau de la gestion de vos bases de données. Cependant, vous resterez responsable de la donnée dans le cloud de Microsoft.
Quel que soit le type de service cloud utilisé, une organisation conservera à minima 3 responsabilités clés :
- Ses données (information and data)
- Ses périphériques (device – mobile and PCs)
- Ses comptes, ses identités et ses accès (account and identities)
