Une entreprise qui installe son propre serveur décide de tout : où il se trouve, qui y touche, comment il est sauvegardé. Une entreprise qui prend un logiciel dans le cloud ne décide rien de tout cela. Elle en hérite du fournisseur. La conversation d’achat devrait donc consacrer autant de temps à la sécurité qu’au prix, et elle ne le fait presque jamais, parce que personne ne sait quoi demander.
Voici les dix questions qu’un acheteur doit poser. Elles sont réunies en quatre blocs et chacune vient avec la réponse qu’il devrait entendre. Nul besoin d’être technicien pour les poser ni pour juger les réponses.
Où vivent vos données
- 1. Dans combien de régions mes informations sont-elles répliquées ? La bonne réponse est plus d’une. Si une région tombe, l’activité continue depuis une autre.
- 2. Le trafic et le stockage sont-ils chiffrés ? Les deux, toujours. En transit entre votre navigateur et le serveur, et au repos sur le disque.
- 3. Qui, chez le fournisseur, peut voir mes données et sous quel contrôle ? Il doit exister une liste courte, avec un accès journalisé et vérifiable.
Un fournisseur qui répond en citant la marque de son cloud n’a pas répondu. La marque n’a pas d’importance ; ce qui compte, c’est la façon dont elle est configurée. XEN réplique les données de chaque organisation dans plusieurs régions et chiffre tout le trafic et tout le stockage, sans exception selon l’offre.
Ce qui se passe quand quelque chose tombe
- 4. À quelle fréquence les sauvegardes sont-elles faites et à quel instant puis-je revenir ? La réponse utile est une restauration à un instant précis, pas une copie hebdomadaire.
- 5. Quel engagement de disponibilité signez-vous ? Un chiffre, par écrit, dans le contrat. XEN s’engage à 99,9 % avec un SLA.
- 6. Comment le service est-il protégé contre les attaques en bordure de réseau ? Il doit y avoir une couche qui absorbe le trafic malveillant avant qu’il n’atteigne l’application.
La cinquième question met souvent mal à l’aise, et ce malaise est une information. Un fournisseur qui ne signe pas d’engagement de disponibilité n’a pas mesuré la sienne.
Qui peut voir quoi
- 7. Les autorisations sont-elles par organisation, par module et par action ? Un commercial ne devrait pas pouvoir ouvrir la comptabilité, et un comptable d’une société du groupe ne devrait pas voir celle d’une autre.
- 8. Chaque action laisse-t-elle une trace avec son auteur ? Consulter, créer, modifier, valider, supprimer. Tout, avec la date et la personne.
- 9. L’intelligence artificielle hérite-t-elle des autorisations de l’utilisateur ou a-t-elle les siennes ? Si elle a les siennes, c’est la porte dérobée de tout le système.
La neuvième question est nouvelle et c’est la plus importante de cette décennie. Un assistant qui a accès à tout transforme n’importe quelle répartition des autorisations en décor : il suffit de lui demander au lieu d’ouvrir l’écran verrouillé. Dans XEN, Xeni répond avec les autorisations de celui qui pose la question, et les actions que proposent les agents attendent une validation quand cela compte.
Ce que le fournisseur signe
- 10. Quels engagements contractuels proposez-vous à une grande entreprise ? Un contrat avec SLA, un accord de traitement des données et un appui documentaire quand votre auditeur pose des questions.
C’est la dernière qui rend tout le reste exigible. Les neuf premières décrivent comment le service fonctionne ; la dixième dit ce qui se passe s’il cesse de fonctionner ainsi. Un fournisseur sérieux a les trois documents prêts et les remet sans qu’il faille insister.
Comment utiliser cette liste
Envoyez-la par écrit avant le rendez-vous commercial et demandez les réponses par écrit. Non pas parce que le commercial mentirait en face à face, mais parce qu’une réponse écrite peut s’annexer au contrat. Et si une question reçoit un non, demandez quand ce non cessera d’en être un. Un fournisseur qui connaît ses limites et a un plan vaut mieux qu’un fournisseur qui dit oui à tout.
Les réponses de XEN à ces dix questions sont publiées sur les pages de sécurité et de cloud de la plateforme, dans le même ordre. Voir la sécurité de la plateforme
