Cloud public, privé et hybride : comparaison pour une PME suisse

Cloud public, privé ou hybride : pourquoi il n'existe pas de réponse unique pour une PME suisse

Pour une PME suisse, le choix de l'infrastructure cloud n'est pas seulement une question technique. Il détermine où résident les données de l'entreprise, qui y a accès, quelles obligations de protection doivent être respectées et quelles compétences informatiques sont nécessaires.

La révision totale de la loi fédérale sur la protection des données (nLPD), accompagnée de l'ordonnance sur la protection des données (OPDa) et de l'ordonnance sur les certifications en matière de protection des données (OCPD), est entrée en vigueur le 1er septembre 2023. Depuis cette date, les entreprises suisses ont dû s'adapter.

Les trois configurations ne sont pas des alternatives absolues. Elles répondent à des besoins différents : le cloud public offre des ressources partagées et à la demande ; le privé garantit un contrôle sur la sécurité, les accès et les sauvegardes ; l'hybride combine les deux approches en séparant les charges de travail selon la sensibilité des données.

Sur le marché, les noms récurrents sont AWS, Microsoft Azure et Google Cloud pour le cloud public. Microsoft 365 Business Premium est un exemple de service public sous licence. Infomaniak est un fournisseur cloud suisse indépendant avec des centres de données exclusivement en Suisse.

La Confédération adopte une stratégie multi-cloud hybride. Elle met à disposition plusieurs services cloud et, avec le projet « Cloud public de la Confédération », permet aux unités administratives d'utiliser des services cloud publics lorsque l'utilisation et les données sont compatibles avec ce modèle.

Le critère de départ n'est pas « quel cloud est le meilleur », mais quelles données et quels processus placer où. De cette classification découlent l'emplacement, les coûts, les exigences contractuelles et les compétences ; l'étiquette « public », « privé » ou « hybride » vient ensuite.

Cloud public : flexibilité immédiate et coûts à la demande, mais une gouvernance à maîtriser

Techniquement, le cloud sépare ou virtualise le matériel physique, comme les serveurs et le stockage, du logiciel (système d'exploitation et applications). Une couche de virtualisation gère cette séparation et alloue les ressources aux serveurs virtuels individuels.

L'avantage pratique est l'évolutivité : la puissance de calcul ou le stockage peuvent être ajoutés et désactivés lorsqu'ils ne sont pas nécessaires. Swisscom cite Microsoft 365 Business Premium : on achète des licences supplémentaires pour les nouveaux employés sans gérer de supports de stockage, sauf pour les ordinateurs des postes de travail.

Le modèle public implique généralement une mise à jour automatique des plateformes et un paiement à la consommation. Les coûts initiaux sont contenus par rapport à une infrastructure dédiée.

L'utilisation efficace du matériel partagé réduit la consommation d'énergie et de ressources, avec un effet sur les coûts opérationnels. Gérer les serveurs dans le cloud coûte moins cher qu'avec du matériel dédié. Même l'IA, l'analytique et l'IoT sont accessibles avec des équipes IT réduites.

Le revers de la médaille concerne la souveraineté et la gouvernance. Les données se trouvent dans des centres de données partagés, souvent à l'étranger, soulevant des questions de conformité à la nLPD ou au RGPD européen. La standardisation du service limite la personnalisation des environnements et des conditions contractuelles.

La concentration du marché accentue la dépendance. Selon la société d'études de marché Canalys, citée par Swisscom, le chiffre d'affaires du cloud public mondial devrait dépasser les 300 milliards en 2024. Au cours des quatre prochaines années, il devrait presque doubler grâce à l'intelligence artificielle. Trois fournisseurs se partagent la majeure partie du gâteau.

Les fournisseurs publics cités incluent AWS, Microsoft Azure et Google Cloud. La Confédération a attribué des services cloud publics à Amazon Web Services, Microsoft Azure, Alibaba, IBM et Oracle via l'appel d'offres OMC-20007.

Avant d'adopter le cloud public, une PME devrait établir quelles données peuvent rester dans un environnement partagé. Elle doit également clarifier qui, chez le fournisseur, peut y accéder, où se trouvent physiquement les centres de données et comment quitter le service si les conditions changent.

Cloud privé : autonomie sur la sécurité, les accès, les sauvegardes et les politiques IT

Le cloud privé est à envisager lorsque les charges de travail contiennent des données que l'entreprise ne souhaite pas placer dans des environnements partagés. La nLPD a élargi la catégorie des données sensibles en incluant les données génétiques et biométriques.

Parmi les informations particulièrement délicates figurent également les données financières, telles que celles des cartes de crédit, ainsi que les informations sur les diagnostics médicaux et la santé. Pour une PME, cela signifie les données du personnel, les dossiers médicaux des clients, les données de paiement, les dossiers juridiques ou la propriété intellectuelle.

L'avantage principal est l'autonomie sur la sécurité, les accès, les sauvegardes et les politiques IT. L'entreprise décide qui entre, avec quelles identifiants, à quelle fréquence les sauvegardes sont effectuées, où les copies sont conservées et comment appliquer les politiques internes.

Un fournisseur cloud suisse comme Infomaniak gère des centres de données exclusivement en Suisse. Pour les données confiées par les clients, il agit en tant que responsable du traitement. C'est un élément à vérifier dans les contrats concernant l'emplacement et le rôle.

Le contrôle a un prix : la gestion de l'infrastructure, les mises à jour, la surveillance et la continuité des activités incombent à l'entreprise ou au fournisseur qui l'assiste. Cela nécessite des compétences internes ou un partenaire avec un contrat de maintenance.

Dans les coûts, il faut considérer l'investissement initial (matériel, virtualisation, migration, formation) et les coûts récurrents (maintenance, licences, énergie, personnel ou frais de gestion).

Le cloud privé n'est pas imposé par la nLPD. Les principes de « Privacy by Design » et « Privacy by Default » s'appliquent à tout modèle, public, privé ou hybride. Les logiciels, le matériel et les services doivent être configurés pour protéger les données et respecter la vie privée des utilisateurs.

Cloud hybride : combiner charges de travail et sensibilité des données sans compromis

Le modèle hybride naît de l'idée de ne pas choisir en bloc. Les charges de travail qui bénéficient de l'élasticité et des technologies avancées restent dans le cloud public. Celles qui touchent aux données sensibles ou aux processus critiques restent dans un environnement privé ou dans ses propres centres de données.

La Confédération applique ce principe avec la stratégie multi-cloud hybride. Les unités administratives s'adressent au Cloud Service Broker (CSB), qui sert d'intermédiaire entre les clients et les hyperscalers. Si l'utilisation prévue et les données sont compatibles avec un service cloud public, la sélection du fournisseur se fait via un processus de demande défini.

La configuration du cloud public garantit la mise en œuvre des exigences de base en matière de cybersécurité conformément à l'ordonnance sur les cyber-risques (OCiber). La décision finale sur l'utilisation des services cloud revient au service spécialisé, sur la base d'une analyse des besoins de protection.

Sur le plan opérationnel, la Confédération a attribué les services cloud publics via l'appel d'offres OMC-20007, qui comprend Amazon Web Services, Microsoft Azure, Alibaba, IBM et Oracle.

En décembre 2025, la prolongation ponctuelle des contrats-cadres pour les cinq prochaines années a été confirmée, après le retrait d'un recours. Cela sert à combler la lacune d'approvisionnement jusqu'à la disponibilité du Swiss Government Cloud (SGC).

Ce dernier réunira les services de fournisseurs de cloud publics établis avec un cloud privé géré par les centres de calcul de la Confédération. C'est l'exemple le plus clair de séparation entre ce qui peut rester sur des infrastructures externes et ce qui nécessite un environnement contrôlé.

Pour une PME, l'hybride se traduit par une cartographie. Les applications web, les e-mails, le CRM et l'analytique vont sur le cloud public ; les paies, les données de santé, les données financières et les systèmes de gestion critiques sur le cloud privé ou en local (on-premise).

Le point d'attention n'est pas la technologie de connexion, mais la gouvernance. Il faut définir qui décide quelle charge de travail va où, comment les utilisateurs s'authentifient sur les différents environnements et comment éviter que des données sensibles ne migrent vers des services publics sans vérification préalable.

Critères de comparaison pour la PME : données, souveraineté, coûts et support local

Le premier critère est la classification des données. Distinguer les données personnelles des personnes physiques, les données sensibles au sens de la nLPD (y compris celles génétiques et biométriques) et les données financières ou de santé est le point de départ. Ainsi, on attribue à chaque charge de travail un niveau de protection et, par conséquent, un environnement. La nLPD ne couvre que les données des personnes physiques, plus celles des personnes morales.

Le deuxième critère est l'emplacement des centres de données et le transfert à l'étranger. Il faut demander dans quels pays résident les données et les copies de sauvegarde, quelles garanties contractuelles s'appliquent et quelle loi prévaut en cas de conflit.

Pour l'emplacement, les centres de données du cloud public sont souvent à l'étranger et partagés. Infomaniak, fournisseur cloud suisse indépendant, gère des centres de données exclusivement en Suisse. Sur le front public, les noms à comparer sont AWS, Microsoft Azure et Google Cloud.

Le troisième est la compatibilité avec la nLPD et le RGPD, pertinente pour les PME suisses qui traitent des données de clients ou de collaborateurs dans l'UE ou qui souhaitent maintenir la libre circulation des données avec l'Union européenne.

Le quatrième critère est la structure des coûts. Elle comprend les coûts initiaux (migration, adaptation des applications, formation) et récurrents (abonnements, consommation, stockage, trafic de données, support). À cela s'ajoutent les coûts de sortie, souvent sous-estimés.

La Confédération a attribué des services cloud publics à Amazon Web Services, Microsoft Azure, Alibaba, IBM et Oracle via l'appel d'offres OMC-20007. C'est une liste de fournisseurs avec lesquels comparer les offres.

Le cinquième est l'évolutivité réelle par rapport aux pics d'activité de l'entreprise. Le sixième est la dépendance vis-à-vis du fournisseur (formats propriétaires, services non reproductibles ailleurs, concentration du marché). Le septième est le support local en Suisse, en italien ou avec des horaires compatibles avec l'activité.

Protection des données et souveraineté : implications pratiques pour le choix du cloud

La nLPD est en vigueur depuis le 1er septembre 2023 et concerne toutes les organisations suisses ou étrangères qui traitent des données de personnes situées en Suisse, partout dans le monde. Cela comprend les collaborateurs, les clients, les clients potentiels, leurs sous-traitants et les tiers.

Des sanctions pécuniaires peuvent être infligées aux personnes effectivement responsables d'une violation. Pour une PME qui externalise des données à un fournisseur cloud, la responsabilité ne se transfère pas avec les données.

Le critère contractuel clé est la distinction des rôles. La PME cliente est normalement le responsable du traitement, tandis que le fournisseur cloud qui stocke les données confiées agit en tant que sous-traitant. Un provider qui gère également ses propres données relatives à son activité occupe les deux rôles.

Clarifier par écrit qui est responsable du traitement et qui est sous-traitant est essentiel. Il faut spécifier quelles instructions le responsable du traitement peut donner, comment les éventuels sous-traitants sont impliqués et quelles mesures techniques et organisationnelles le fournisseur adopte. C'est la manière concrète de traduire Privacy by Design et Privacy by Default en clauses vérifiables.

Un exemple concret est Infomaniak : en tant que provider cloud, il traite les données pour sa propre activité en tant que responsable du traitement et stocke les données des clients en tant que sous-traitant. Cette double responsabilité doit être gérée dans le contrat.

Dans le domaine de la protection des données, le Préposé fédéral à la protection des données et à la transparence (PFPDT) est l'autorité de référence en Suisse.

Sur le front de la transparence envers les personnes concernées, les principes restent généraux. Informer sur l'utilisation des données, ne collecter que ce qui est nécessaire, contrôler les destinataires et les paramètres de partage et prévoir comment réagir à une violation de la sécurité des données.

Gouvernance et rôles internes : qui décide, qui contrôle, qui répond

La première activité est un inventaire des données. Il faut établir quelles catégories l'entreprise traite, dans quelles applications elles résident, qui y accède et dans quel but. De là découlent les décisions sur l'emplacement et le niveau de protection.

L'étape suivante est contractuelle : conditions de service, annexes sur la protection des données, liste des sous-traitants, délais de notification en cas de violation, modalités de suppression ou de restitution des données à la fin de la relation.

Sur le plan organisationnel, une PME doit attribuer des responsabilités nominales. Elle doit indiquer qui approuve l'adoption d'un nouveau service cloud, qui gère les accès et les révocations, qui tient le registre des traitements, qui est l'interlocuteur auprès du fournisseur. Lorsque les compétences internes ne suffisent pas, on fait appel à un Data Protection Officer (DPO) ou à un consultant externe.

Infomaniak, fournisseur cloud suisse, dispose d'un Data Protection Officer (DPO) interne. Pour une PME, c'est une référence pour les questions de protection des données.

Enfin, il faut définir la gestion des incidents : qui détecte l'anomalie, à qui la signaler, qui décide si et comment informer les personnes concernées et les autorités, et comment l'événement est documenté. Sans ces étapes, même une infrastructure techniquement solide ne garantit pas que l'entreprise puisse répondre dans les délais utiles.

Checklist avant de signer : questions concrètes pour votre PME

Emplacement et sauvegardes : dans quels pays se trouvent les centres de données qui hébergent vos données et les copies de sauvegarde ? Les sauvegardes sont-elles chiffrées et à quelle fréquence les restaurations sont-elles testées ? Qui, chez le fournisseur, peut accéder aux données et avec quelle traçabilité ?

Sécurité et rôles : quelles mesures techniques et organisationnelles sont documentées dans le contrat ? Le fournisseur agit-il en tant que sous-traitant et quels sous-traitants emploie-t-il ? Quels sont les délais et les modalités de notification en cas de violation des données ? Sous quelle forme les données sont-elles restituées ou supprimées à la cessation du contrat ?

Coûts : quels éléments composent le prix (abonnement, consommation, stockage, trafic de données, support) et quels sont les coûts de sortie ou de migration vers un autre fournisseur ? Existe-t-il des contraintes techniques ou contractuelles qui rendent difficile le changement ?

Conformité et support : l'offre est-elle compatible avec la nLPD et, si vous traitez des données de personnes dans l'UE, avec le RGPD ? Qui est l'interlocuteur pour les questions de protection des données ? Le support est-il disponible en Suisse, en italien ou à des horaires compatibles avec votre activité ?

Comparaison : avez-vous comparé nommément au moins deux fournisseurs, par exemple AWS, Microsoft Azure, Google Cloud ou Infomaniak, sur l'emplacement, les rôles contractuels et la structure des coûts ? Les différences entre les réponses constituent le contenu du choix.

Avant de souscrire, comparez les réponses d'au moins deux fournisseurs sur ces points : les différences qui émergent sont le véritable contenu de la décision.

Quel cloud choisir ? Une décision par charge de travail, pas par étiquette

Pour une PME suisse, une configuration mixte permet de placer les charges de travail qui nécessitent élasticité et technologies évoluées sur le cloud public. Celles avec des données sensibles, financières ou de santé restent dans un environnement privé ou contrôlé directement.

C'est la logique que la Confédération applique avec la stratégie multi-cloud hybride. Le futur Swiss Government Cloud unira les services de fournisseurs de cloud publics à un cloud privé géré par les centres de calcul de la Confédération.

Sur le front public, les noms récurrents sont AWS, Microsoft Azure et Google Cloud. Pour le cloud suisse, Infomaniak gère des centres de données exclusivement en Suisse. Microsoft 365 Business Premium est un exemple de service public sous licence.

Le choix doit être calibré sur trois variables concrètes : sensibilité des données et obligations de protection, budget pour les coûts initiaux et récurrents, compétences internes ou du partenaire.

Une PME avec une équipe IT réduite qui place des données du personnel et des données de santé dans le cloud public sans vérifications préalables assume un risque. Différent est le cas de celui qui déplace uniquement le site web et la messagerie électronique sur le cloud public.

Étant donné que les contrats, les technologies et les volumes changent, la configuration doit être revue périodiquement. L'emplacement des données, la liste des sous-traitants, les coûts effectifs et les incidents survenus sont les indicateurs à revérifier avant chaque renouvellement contractuel. Cela sert à vérifier que la configuration choisie correspond toujours aux charges de travail et aux exigences de protection de l'entreprise.