Dans le premier épisode de notre série STRIVE consacrée à la souveraineté numérique, Alex Zinin, de Commvault, et Max Mortillaro, d’Osmium Data Group, ont remis en question l’un des plus grands idées reçues du secteur : la souveraineté numérique n’est pas une fonctionnalité que l’on achète, mais un enjeu commercial qu’il faut comprendre avant de pouvoir le résoudre.
Cette conversation reprend là où la précédente s’était arrêtée. Cette fois-ci, j’ai rencontré Thomas Maurer, Global Black Belt EMEA pour le « Sovereign Cloud » chez Microsoft, afin d’examiner ce qui se passe lorsqu’une organisation décide que la souveraineté est une priorité. Comment les équipes de direction passent-elles de préoccupations générales concernant la réglementation, la juridiction ou l’incertitude géopolitique à des décisions architecturales concrètes ?
Il s’avère que la réponse est rarement aussi simple que de choisir un fournisseur de cloud ou de sélectionner le bon modèle de déploiement. Il s’agit plutôt de se poser les bonnes questions avant de prendre des décisions techniques. Regardez l’épisode dans son intégralité.
Points clés à retenir
- Chaque organisation a sa propre définition de la souveraineté numérique – et c’est précisément par là que le débat devrait commencer.
- La question de la souveraineté ne peut être résolue par la seule technologie. Des considérations juridiques, opérationnelles, architecturales et commerciales influencent toutes le résultat final.
- Le cloud et les solutions sur site ne sont pas des stratégies concurrentes. Pour de nombreuses entreprises, l’avenir réside dans une combinaison judicieusement conçue des deux.
- Ce sont les considérations de gestion des risques – et non la peur – qui devraient guider les décisions en matière de souveraineté.
- Une bonne architecture commence par la compréhension des besoins métier, et non par le choix de l’infrastructure.
La notion de souveraineté revêt des significations différentes selon les organisations
L’une des premières observations formulées par Thomas fut également l’une des plus importantes. Il n’existe pas de définition universelle de la souveraineté numérique. Pour une organisation, cela peut simplement signifier se conformer aux exigences réglementaires ou conserver les données au sein d’une zone géographique spécifique. Pour une autre, cela peut impliquer l’indépendance opérationnelle, la continuité des activités ou la préparation à des perturbations géopolitiques. Cette différence est importante car elle change complètement la donne.
Trop souvent, les entreprises partent du principe qu’il existe un modèle standard de souveraineté prêt à être mis en œuvre. En réalité, le premier défi ne réside pas dans le choix de la technologie, mais dans la compréhension du problème que l’entreprise cherche réellement à résoudre. Ce n’est qu’à ce moment-là que l’architecture commence à prendre tout son sens.
La technologie doit s’aligner sur la stratégie
Un thème qui est revenu sans cesse tout au long de notre discussion était la tentation de se lancer directement dans la conception technique. C’est tout à fait compréhensible. Les architectes ont naturellement tendance à se concentrer sur l’infrastructure, les charges de travail, la connectivité et les modèles de déploiement. Mais Thomas a souligné que les projets les plus réussis partent d’un tout autre point de départ. Ils commencent par écouter.
Quelles sont les préoccupations qui motivent cette initiative ? L’objectif est-il la conformité réglementaire ? La continuité d’activité ? La localisation des données ? Le contrôle opérationnel ? La protection contre les perturbations géopolitiques ? Des réponses différentes conduisent à des architectures différentes. Cela peut sembler évident, mais il est surprenant de constater à quel point les entreprises se lancent souvent dans l’évaluation de solutions avant même de s’être mises d’accord sur l’objectif commercial qu’elles cherchent à atteindre.
Aperçu : partez du risque, pas des hypothèses
L’un des moments les plus concrets de notre conversation survient lorsque Thomas et moi discutons des raisons pour lesquelles les initiatives en matière de souveraineté devraient commencer par une évaluation des risques – et non par un schéma architectural.
Chaque organisation a sa propre appétence au risque. Une écurie de Formule 1, une administration publique et un fabricant international ne prendront pas les mêmes décisions, et c’est tout à fait normal. L’essentiel est de comprendre quels sont les risques les plus importants pour votre entreprise, quels compromis vous êtes prêt à accepter, puis de concevoir une architecture qui s’aligne sur ces décisions.
Comme le souligne Thomas, il n’existe pas de solution parfaite, mais seulement des compromis mûrement réfléchis. Plus tôt les organisations adopteront cet état d’esprit, plus leur stratégie en matière de souveraineté sera solide.
« Cloud ou sur site ? » : ce n’est pas la bonne question à se poser
L’un des aspects les plus intéressants de la discussion a remis en cause un autre cliché : celui selon lequel les organisations doivent choisir entre un cloud public et un cloud privé. Thomas a décrit une réalité très différente. De nombreuses organisations ne se contentent pas de remplacer l’un par l’autre. Elles conçoivent des environnements dans lesquels les charges de travail peuvent passer de l’un à l’autre en fonction des besoins de l’entreprise, des exigences réglementaires ou de considérations liées à la résilience.
Cette flexibilité modifie notre façon d’envisager l’architecture. Plutôt que de se demander si le cloud ou l’infrastructure sur site est la meilleure solution, la question la plus pertinente est désormais : « Où cette charge de travail a-t-elle sa place aujourd’hui – et cette réponse pourrait-elle changer demain ? » Lorsque la souveraineté s’intègre au processus de conception, la mobilité des charges de travail devient tout aussi importante que leur localisation.
L’architecture n’est qu’une partie de l’équation
Un autre point que j’apprécie particulièrement est le rappel de Thomas selon lequel l’architecture, à elle seule, ne résout pas la question de la souveraineté.
- Les contrats ont leur importance.
- Les cadres juridiques ont leur importance.
- Les processus opérationnels sont essentiels.
- Les personnes chargées de la gestion de l’environnement jouent un rôle essentiel.
Aucune de ces disciplines ne peut fonctionner de manière isolée. La souveraineté exige que les équipes chargées des aspects juridiques, de la sécurité, de la conformité et des infrastructures travaillent ensemble dès le début – et non qu’elles se transmettent les projets les unes aux autres une fois les décisions déjà prises. C’est un schéma bien connu de tous ceux qui travaillent dans le domaine de la cyber-résilience. Les meilleurs résultats proviennent rarement d’équipes isolées. Ils sont le fruit d’une coordination entre les équipes.
Le risque doit guider chaque décision
Vers la fin de notre discussion, la conversation s’est naturellement orientée vers le risque. Pour moi, c’est là que la souveraineté commence à me paraître beaucoup plus familière. Tout projet de résilience commence par se demander ce que l’organisation cherche à protéger, quelles sont les menaces les plus importantes et quel niveau de risque elle est prête à accepter.
Il en va de même pour la souveraineté numérique. Plutôt que de rechercher une solution parfaite, les organisations doivent identifier les scénarios spécifiques en matière de souveraineté qui les préoccupent, puis déterminer quels contrôles architecturaux, opérationnels ou contractuels permettent de répondre au mieux à ces risques. C’est cette évolution – du simple comparatif des fonctionnalités à la gestion des risques – qui permet en fin de compte de prendre de meilleures décisions.
Pourquoi ce débat est-il important ?
La souveraineté numérique continue d’évoluer rapidement. De nouvelles réglementations verront le jour. La technologie changera. Les réalités géopolitiques continueront de muter. Cela signifie que la souveraineté n’est pas un enjeu que les organisations règlent une fois pour toutes. C’est un aspect qu’elles réévaluent régulièrement, à mesure que leurs priorités commerciales et les risques externes évoluent.
Les organisations qui réussiront ne seront pas nécessairement celles qui disposeront des architectures les plus restrictives. Ce seront celles qui auront la vision la plus claire de leurs objectifs commerciaux, la rigueur nécessaire pour évaluer les risques de manière réfléchie et la souplesse requise pour s’adapter à l’évolution de ces risques. En fin de compte, la souveraineté numérique n’est pas un produit que les organisations peuvent acheter tout fait. Il s’agit plutôt d’un processus visant à comprendre les risques, à gérer les dépendances et à faire des choix éclairés bien avant que ces décisions ne soient mises à l’épreuve.
Regardez l’épisode dans son intégralité
Dans cet épisode de STRIVE, Thomas et moi abordons les sujets suivants :
- Pourquoi la notion de souveraineté revêt des significations différentes selon les organisations.
- Comment les dirigeants devraient aborder la stratégie en matière de souveraineté.
- Cloud public ou cloud privé : pourquoi il ne s’agit souvent pas d’un choix binaire.
- Pourquoi la gestion des risques devrait guider les choix architecturaux.
- Le rôle de la résilience dans la planification de la souveraineté moderne.
FAQ
Q : La souveraineté numérique implique-t-elle de tout conserver sur site ?
R : Non. De nombreuses organisations adoptent des approches hybrides qui concilient les capacités du cloud et les exigences spécifiques en matière de souveraineté.
Q : Par où faut-il commencer pour mettre en place des projets liés à la souveraineté ?
R : Commencez par définir le problème métier et par cerner les risques que vous cherchez à atténuer avant d’évaluer les solutions technologiques.
Q : La souveraineté est-elle une question purement technique ?
R : Non. Cela nécessite une collaboration entre les équipes juridiques, de conformité, de sécurité, d’exploitation et d’architecture.
Q : Quel est le lien entre la souveraineté et la résilience ?
R : Ces deux disciplines visent à garantir la continuité des activités en réduisant l’exposition aux risques susceptibles de perturber l’activité de l’entreprise.
Q : Quelle est l’une des principales erreurs commises par les organisations en matière de souveraineté numérique ?
R : Se lancer dans des choix architecturaux avant de s’être mis d’accord sur ce que signifie la « souveraineté » pour leur organisation.
Q : Quelle devrait être la première question que se posent les dirigeants lorsqu’ils planifient la souveraineté numérique ?
R : « Quel problème essayons-nous de résoudre ? » Tout le reste découle de cette réponse.
Darren Thomson est vice-président et directeur technique pour la région EMEA chez Commvault.
