Dans l’analyse des modèles d’architecture en réseau, dont l’architecture distribuée est un cas spécifique, il nous a paru intéressant d’explorer les questions de l’architecture du cloud computing qui actuellement pose des questions juridiques de grande ampleur. Nous avons donc participé à un Atelier de l’ADIJ dédié aux problèmes juridiques du Cloud, et qui s’intéresse essentiellement au Cloud d’entreprise. La question commune d’emblée évidente est que le pair à pair et le cloud essaient de résoudre chacun de leur façon la mutualisation de ressources face aux capacités limitées. Ils ont aussi en commun l’élasticité du modèle, la modulabilité, le self-provisioning. Un deuxième aspect commun est celui du sort des données personnelles. Alors que dans le cas du pair à pair, les données personnelles des utilisateurs sont par nécessité transmises dans un réseau de pairs, dans le cas du Cloud Computing, les données personnelles sont stockés dans des data centers dont la localisation exacte est souvent inconnue aux utilisateurs et dont la sécurité est incertaine. C’est ainsi que la CNIL qui a participé à cet Atelier a aussi mis en place un Groupe de travail interne sur ce thème. Nous reprenons ici les principaux points de cet Atelier qui se rapportent à nos interrogations.
Le 3 novembre 2011, l’atelier « Cloud Computing » de l’Association pour le Développement de l’Informatique juridique (ADIJ) animé par H.F. Jul-Hansen, B. Delmasx-Linel& D. Feldman a terminé sa première tranche de réflexions à l’Espace Hamelin. L’atelier, qui avait été lancé le 23 septembre 2010, a accueilli durant ses séances de nombreux avocats et représentants de sociétés leaders du Cloud Computing (tel que Microsoft, Google, IBM, WMWare, etc) qui se sont réunis tous autour d’une même table pour entreprendre une discussion ouverte et constructive sur les atouts, les risques et les enjeux juridiques du Cloud Computing. L’atelier s’est terminé avec un compte-rendu de ce qui a été dit dans les séances précédentes.
Avant même de se mettre d’accord sur une définition, le groupe était divisé sur la question : s’agit-il ou non d’une révolution technique ? N’était ce pas plutôt une innovation (voire un coup) commerciale ? Il est dit notamment que le terme « Cloud Computing » ne veut rien dire en soi, que c’est un outil de marketing qui fait vendre des services, mais qui fait aussi peur aux clients. Le Cloud Computing est sans doute une révolution mais elle n’est pas technique. La virtualisation de l’architecture et la mutualisation des données permettent une plus grande élasticité et flexibilité des ressources informatiques, mais leur déplacement sur le réseau comporte une perte de maîtrise qui comporte des risques importants. Les problématiques juridiques principales concernent essentiellement le droit à la vie privée, la sécurité des données, et l’encadrement contractuel. La question est de savoir si ces problèmes sont inhérents au Cloud Computing, ou s’ils sont dus simplement à la jeunesse de ces architectures.
I. Encadrement contractuel
La difficulté majeure est celle de formuler des contrats qui puissent prendre en compte tout problème potentiel. Alors que dans le cas des Clouds publics (versus Clouds privés), l’utilisation de contrats-type est a priori possible, la négociation des contrats pour les Clouds privés est beaucoup plus complexe. Les Clouds hybrides, eux, essaient de trouver un équilibre entre l’exportation des données en dehors de l’entreprise et le maintien de certaines opérations au sein de l’entreprise.
Le problème de fond se trouve dans l’opposition entre les utilisateurs qui exigent un maximum de garanties et les prestataires de services en amont qui ne veulent assumer aucune responsabilité. Les intermédiaires se voient donc obligés de gérer et de mettre en balance les intérêts de tous leurs partenaires. Si le contrat est déséquilibré, il y a souvent un problème au niveau de l’expression des besoins.
L’encadrement contractuel est d’autant plus difficile qu’il n y a pas de transparence entre les opérateurs. Les utilisateurs communiquent exclusivement avec un intermédiaire (e.g. Dropbox), sans connaître l’identité ni des prestataires en amont (e.g. Amazon dans le cas de Dropbox) ni des responsables de l’infogérance et de l’hypervision (e.g. Xen dans le cas d’Amazon).
II. Sécurité des données
Les problèmes de sécurité concernent l’accessibilité et la confidentialité des données. Bien que les mêmes problèmes existaient auparavant, les risques sont perçu comme étant beaucoup plus graves dans le cadre du Cloud à cause de la distance et de l’échelle des opérations. Des centres de données (data centers) accumulent de plus en plus de données qui ne sont accessibles que par l’intermédiaire du service Cloud. Dès lors qu’il y a une panne, de nombreux utilisateurs en souffrent et personne ne peut faire quoi que ce soit, si ce n’est attendre que les prestataires résolvent le problème. Ceci entraine un malaise psychologique du à la perte de maitrise.
Ainsi, bien que le Cloud offre d’énormes avantages en termes de disponibilité et accessibilité des données, il comporte aussi de gros désavantages du à la perte de maitrise et au manque d’interopérabilité. Plusieurs fournisseurs de services, notamment Google et Blackberry, ont déjà été confrontés à de tels risques.
Il ne s’agit là pourtant pas d’une nouvelle ménace, mais plutôt d’une confirmation que ces risques existent toujours. Alors que le Cloud ne multiplie pas la probabilité de perte des données, il en multiplie l’ampleur. Des problèmes, aussi minimes soient-ils, risquent d’entrainer des conséquences très importantes puisque le Cloud opère sur une grande échelle. De plus, bien que ces problèmes se posent à la même fréquence dans le Cloud ou ailleurs, leur nombre est susceptible d’augmenter avec le nombre d’intermédiaires.
Pour sécuriser les données, il est donc encore plus nécessaire d’investir en redondance, mais aussi d’éduquer les utilisateurs à sauvegarder leurs données dès lors qu’ils ne sont pas prêts à accepter les risques.
III. Droit à la vie privée
Les problématiques liées à la protection de la vie privée des utilisateurs sont de grande actualité dans le cadre du Cloud Computing. De plus en plus de juristes travaillent sur les questions relatives au Cloud Computing et à la protection des données personnelles. Les enjeux sont essentiellement dus au fait que les règles sur le traitement des données personnelles varient énormément selon des pays. Le cadre règlementaire européen est beaucoup plus strict que celui des Etats-Unis par exemple. Alors que ces problèmes existaient bien avant l’arrivée du Cloud Computing, le Cloud en a été un révélateur efficace. Ainsi, bien qu’il n’ait pas modifié les comportements habituels des fournisseurs de services en termes de traitement des données, il a cependant acquis une connotation négative dans l’esprit des clients.
Il devient donc nécessaire de rassurer les clients. Alors que certains fournisseurs de service ne se préoccupent pas de contrôler l’emplacement de leurs serveurs ou de leurs prestataires, d’autres se sont engagés à proposer des offres qui garantissent que tous les serveurs soient en Europe, et en font ainsi un atout concurrentiel. De plus, même si rien n’a changé d’un point de vue pratique, les contrats d’infogérance (l’externalisation de tout ou partie de la gestion et de l’exploitation du service informatique à un prestataire informatique tiers) se voient maintenant obligés de contempler tous les problèmes liés à la sécurité et à la confidentialité des données – bien que cela aurait du être fait bien avant l’arrivée du Cloud Computing.
Ces dangers ne sont pas seulement théoriques, comme l’ont prouvé récemment Sony, Amazon, Google et Blackberry. Avant d’acheter un service, de plus en plus de clients s’interrogent pour savoir si les fournisseurs de services sont bien assurés contre les risques associés au Cloud Computing. Des instituts d’assurance ont donc été appelés à intervenir pour amortir ces nouveaux risques.
La question principale est de savoir si ce sont les prestataires de service ou les utilisateurs finaux qui doivent s’assurer contre la perte ou la fuite des données. Les clients exigent souvent que les prestataires assument tous les risques, bien que cela soit difficile à mettre en œuvre. Plutôt que d’essayer de créer un contrat qui mette les garanties entièrement sur le dos des prestataires, il serait préférable de changer le modèle adopté pour satisfaire les besoins des clients (par exemple, en passant d’un Cloud public à un Cloud hybride). Obliger les fournisseur à s’assurer contre les risques liés à la perte des données et au respect de la vie privée risque de se traduire en une forme de forfaitisation, où le coût de l’assurance est partiellement reversé sur les clients qui se voient donc obligés de payer un premium pour assurer la sécurité de leurs données. De plus, bien qu’il soit important de répartir les responsabilités sur les différents prestataires, l’utilisateur peut aussi s’assurer par ses propres moyens. Ceci permettrait des négociations plus équilibrées entre tous les acteurs qui participent au service.
Enfin, un autre point intéressant porte sur la standardisation. L’idée serait de gérer les problèmes de sécurité et de confidentialité des données en s’appuyant sur une série de normes ou de standards. OVH, par exemple, a annoncé vouloir rechercher une certification ISO pour ses offres de Cloud privé, dans le but de fournir de meilleures garanties de sécurité aux clients.
La standardisation permet aux clients de contrôler la fiabilité des prestataires par l’intermédiaire de l’audit d’un tiers. Différents types de certifications sont déjà utilisés par plusieurs fournisseurs de services Cloud, tel que la certification SAS 70 par exemple, mais la plupart ne couvrent que les aspects financiers du service. Le problème est que les certifications proviennent d’entreprises privées, et il est donc toujours nécessaire de se mettre d’accord sur les standards à utiliser.
Aujourd’hui, le développement de normes ou de standards capables de garantir l’efficacité et la sécurité d’un service n’a pas beaucoup avancé dans le cadre du Cloud Computing. Cela est probablement du au fait que l’on est encore en phase de compétition dans le secteur. La standardisation des offres arrivera probablement à une phase successive, lorsque le marché commencera à se stabiliser. Est-ce que le Cloud est architecture nouvelle qui induit de nouveaux rapports assurantiels et contractuels ?
À la fin de cet atelier, nous avons compris que le Cloud Computing et les réseaux pair à pair ont plusieurs caractéristiques en commun. Tous les deux sont basés sur la virtualisation et la mutualisation des ressources et tous les deux présentent une architecture distribuée, dynamique et élastique – bien que l’architecture du Cloud est déterminée par les besoins des clients, alors que celle des réseaux pair à pair dépend de la disponibilité des ressources. Cependant il nous semble intéressant d’analyser en quoi ces deux architectures, qui sont toutes deux distribuées, se différencient. Il nous semble que, alors que le pair à pair est une architecture distribuée décentralisé, le Cloud est lui une architecture distribuée de façon centralisé.
Danièle Bourcier et Primavera De Filippi
