Cloud de la Confédération

A la fin du mois de juin, la Confédération annonçait qu’elle attribuerait un contrat informatique chiffré à 110 millions de francs à des entreprises américaines et chinoises. Il s’agit plus précisément de l’hébergement de données et d’applications dans des nuages publics¹. Un nuage public est une infrastructure informatique constituée de nombreux ordinateurs regroupés dans ce que l’on nomme des fermes de serveurs. Ces dernières sont reliées à internet et sont par conséquent accessibles de partout.

Ces infrastructures sont complexes à gérer. Il faut en garantir la disponibilité permanente. Cela signifie qu’elles ne doivent jamais tomber en panne. Si l’une des machines qui la constitue défaille, alors une autre doit pouvoir prendre le relais immédiatement. En outre, un service d’informatique en nuage doit garantir que les données qu’on lui confie ne seront jamais ni perdues ni corrompues.

On appelle cela la garantie d’intégrité des données. L’application de ce principe implique leur copie permanente vers d’autres parties du cloud géographiquement éloignées. En cas de catastrophe à un emplacement, il ne faudrait pas que les originaux et les copies de sauvegarde soient détruites en même temps. Enfin, on s’attend à ce qu’un fournisseur de nuage public fournisse un haut degré de sécurité d’accès aux données et offre les meilleures garanties possibles contre le piratage informatique.

A l’aune des trois principes expliqués ci-dessus – disponibilité, intégrité et confidentialité des données – on déduira que gérer une infrastructure informatique capable d’héberger des données et des applications accessibles depuis internet est une affaire complexe qui exige un haut degré de maîtrise technique. Dès lors, on comprendra que de nombreuses entreprises délèguent cette tâche à des fournisseurs externes.

Parmi ces derniers, les américains Microsoft, IBM, Oracle et Amazon sont des leaders mondiaux incontestables du domaine. Dès que l’on va sur internet, il est à peu près certain que l’on accède à du contenu stocké dans l’une de leurs infrastructures, bien que cela ne soit pas de manière directe. Cela peut être un site internet entier, ou seulement une base de données, des images, etc… Tous les quatre ont été sélectionnés par la Confédération, avec en plus le chinois Alibaba, dont les offres sont, semble-t-il, très attractives. A noter que Google a été écarté. Le géant du web a déposé un recours auprès du Tribunal administratif fédéral contre l’attribution du marché.

La presse suisse a vivement réagi à la nouvelle, condamnant la mise à l’écart de tout candidat suisse ou même européen. De manière générale, c’est la question de la souveraineté numérique de la Suisse qui est posée. La Confédération ne devrait-elle pas maîtriser elle-même les technologies nécessaires à la numérisation de son administration? Quelles données seront hébergées par ces entreprises étrangères? A quelle législation seront-elles soumises?

Pour répondre à ces questions, il est intéressant de se pencher sur un document publié en décembre 2020 intitulé «Stratégie d’informatique en nuage de l’administration fédérale». Il en ressort notamment que la Confédération désire se délester d’une partie de la tâche d’entretenir des infrastructures cloud. Mais il n’est pas question de délaisser complètement cette capacité. Au contraire, le réseau de centres de calcul de la Confédération doit être entretenu et développé. Comme nous le comprenons, ce dernier est cependant jugé insuffisant pour couvrir tous ses futurs besoins en matière d’informatique en nuage.

Par rapport à la question de la mise à l’écart des entreprises suisses, Infomaniak, un fournisseur genevois de services web, a vivement critiqué le choix de la Confédération dans un billet de blog². L’entreprise assure que l’appel d’offre était déséquilibré et délibérément orienté de sorte à favoriser les entreprises américaines. Par exemple, il exigeait que les fournisseurs disposent de centres de données sur au moins trois continents. Mais là n’est pas à nos yeux le cœur du problème. En effet, l’entreprise genevoise ne proposait pas publiquement les services d’informatique en nuage demandés par l’appel d’offre³.

De fait, la Confédération ne recherchait pas des partenaires avec qui développer un nuage public, mais des entreprises capables de fournir tout de suite les services exigés. Et force est de constater qu’aucune entreprise suisse n’en est actuellement capable. Autrement dit, les 110 millions en jeu ne sont pas conçus comme un soutien à l’industrie suisse pour le développement de l’informatique en nuage, mais une somme devant servir à couvrir les frais d’utilisation de services complètement fonctionnels.

Il n’en reste pas moins que l’hébergement de données étatiques par des services américains et chinois paraît problématique. Le document de la Confédération mentionné ci-dessus précise tout de même qu’à l’avenir «les applications et des données présentant un besoin de protection élevé devront être exploitées ou traitées sur des infrastructures ou plates-formes situées dans les centres de calcul de l’administration fédérale⁴». Des documents classifiés confidentiels ou secrets ne pourront pas être envoyés dans un nuage public. Restent les documents internes et non classifiés. On peut ajouter que les entreprises sélectionnées, à l’exception d’Alibaba, disposeront bientôt de centres de données en Suisse.

En résumé, le pragmatisme semble avoir guidé les choix de la Confédération. Désireuse de moderniser rapidement et efficacement son administration, selon ses propres mots, elle s’est logiquement tournée vers des prestataires reconnus mondialement. D’un côté, on peut déplorer qu’elle n’ait pas profité de l’occasion pour soutenir l’industrie suisse de l’informatique. De l’autre, nous comprenons que là n’était pas son objectif, du moins dans le cadre de cet appel d’offre.

Les médias ont écrit de manière excessive, à nos yeux, que la Confédération mettait complètement de côté l’idée d’un «cloud suisse». D’après le document plusieurs fois évoqué, ce n’est pas exact. Une feuille de route mentionne clairement qu’une étude de faisabilité d’un «Swiss Cloud» doit rendre ses résultats à la fin de cette année⁵.

Dans tous les cas, l’affaire est compliquée et à suivre de près. On ne sait pas à l’heure actuelle avec précision quelles données la Confédération confiera aux entreprises américaines. Il est donc difficile de se prononcer sur les conséquences juridiques de ses choix. Renforcer la souveraineté numérique de la Suisse est à considérer comme un projet à part entière. La meilleure manière d’y parvenir pourrait faire l’objet d’une nouvelle discussion.

Notes:

¹    Cela se dit public cloud dans le jargon informatique international.

²    «La Suisse renonce à la notion de souveraineté numérique et cède aux entreprises américaines et chinoises», 12 juillet 2021, https://news.infomaniak.com/souverainete-numerique-de-la-suisse/.

³    Cela a depuis changé, Infomaniak étendant très régulièrement son offre.

⁴    «Stratégie d’informatique en nuage de l’administration fédérale», Unité de pilotage informatique de la Confédération, 11 décembre 2020, p. 8.

⁵    Ibid. p. 14.