13 avril 2011

Cloud computing : risques et périls!

Mardi 12 avril 2011, j’ai fait une présentation intitulée "Cloud computing : risques et périls"  à la conférence sur la Protection des données et Cloud computing du Clusis.

J’ai commencé ma présentation par donner ma définition du Cloud computing et présenter la pyramide du Cloud. Durant cette introduction, j’ai présenté un nouveau concept qui commence à se répandre dans monde du Cloud. Il s’agit de la notion de "community Cloud". Ce dernier est une forme de coopérative appliquée aux systèmes d'information. Cela permet de partager les coûts liés à un projet de type Cloud "privé" entre plusieurs entreprises désirant partager des ressources dans le cadre d’un projet, ayant une entreprise commune (par exemple : une entreprise franchisée) ou des entreprises qui ont un métier similaire et qui n’ont pas les ressources nécessaires pour déployer un Cloud "privé" (par exemple : des hôpitaux).
Durant cette première phase de ma présentation, j’ai également parlé de la jeune startup DotCloud qui a développé une solution de type PaaS (Platform as a Service) qui permet aux développeurs de développer dans de nombreux langages sans se soucier des problèmes de scalabilité et d’élasticité. Cette plate-forme est hébergée sur la solution de IaaS (Infrastructure as a Service) d’Amazon. Cette solution a pour avantage de bénéficier d’une plate-forme robuste et éprouvée avec Amazon, mais elle montre aussi de nouveaux risques et périls comme le SLA.

La deuxième partie de ma conférence a principalement consisté à lever des interrogations sur les risques et périls du Cloud et à donner des pistes de réflexions. Personnellement, j’ai regroupé ces risques et périls en quatre catégories.
La première catégorie concerne la sécurité physique des données. Quelle est la nature des données publiques - confidentielles ou secrètes? Est-ce que mes données sont encryptées sur le Cloud? Est-ce que je peux les crypter? Est-ce que le prestataire est certifié ISO 27000? Est-ce qu’il a été audité SAS 70 par exemple? Existe-t-il des normes et standards nationaux pour la certification et l’auditatbilité?
Ma deuxième catégorie porte sur les problèmes légaux. Durant cette conférence nous venions d’avoir deux présentations, une sur la loi fédérale du 19 juin 1992 sur la protection des données (LPD) en Suisse et l’autre sur l’agrément un nouvel outil pour accompagner les institutions en matière de protection des données dans leurs projets informatiques et technologiques. Je n’ai donc pas réellement évoqué les problèmes légaux nationaux, par compte j’ai insisté sur les problèmes légaux internationaux comme l’USA PATRIOT Act. Cette loi donne au FBI le pouvoir de demander à n'importe quelle organisation de fournir toutes les pièces tangibles pour une enquête de lutte contre le terrorisme international ou les activités d'intelligence clandestines. Des lois semblables peuvent entrer en vigueur  dans tous pays. Elles ne permettent pas de garantir la sécurité et la confidentialité des données traitées sur des plateformes de "Cloud Computing" domiciliées en dehors du territoire ou exploitées par des sociétés basées à l’étranger.
La troisième catégorie de risques et périls porte sur la dépendance. Le débat existe depuis de nombreuses années en matière d’open source. Il est encore plus fort avec le Cloud, car il n’existe pas encore de standards. L’IEEE (Institute of Electrical and Electronics Engineers) a annoncé le 4 avril 2011 [1], qu’il allait créer un groupe de travail pour définir les standards en matière de Cloud computing. En matière de dépendance il faut aussi réfléchir à la dépendance réseau. Que faire en cas de panne ou coupure réseau? Par exemple, que faire si les liens vers d’autres pays sont coupés? Le dernier point à vérifier en matière de dépendance est la viabilité de l’entreprise. Ce point est d’autant plus important, car il n’existe que peu de standard en matière de Cloud.
La quatrième catégorie que j’ai présentée lors de cette conférence est le SLA (Service Level Agrement). Avant de signer un SLA il faut vérifier le niveau de service 99.95% (~4 heures d’arrêt par an) ou 99.999% (~5 minutes d’arrêt par an). Que couvre ce SLA? Panne machine? Panne réseau? Panne électrique? Quels sont les conditions pour que cela soit applicable? Quelles sont les pénalités. Plus les pénalités sont élevées plus le prestataire de service à intérêt à faire fonctionner sa solution. Dans le cas contraire il risque la faillite.

J’ai conclu ma présentation en présentant mon modèle ci-dessous.

Matrice de solutions Cloud

En fonction du besoin métier, de la criticité de l’information et du degré de confiance dans le Cloud, le chef de projet devra choisir la case de la matrice qui lui convient. Plus le bleu de la cellule est foncé, plus je peux garder le contrôle et la maîtrise de mon système d’information. Inversement plus la couleur est claire et plus mon système d’information sera vaporeux. Je risque donc de violer les lois sur la protection des données, de perdre une partie de mes données ou ne pas pouvoir récupérer et supprimer mes données du Cloud, mais je me serai familiarisé avec le Cloud!


[1] IEEE LAUNCHES PIONEERING CLOUD COMPUTING INITIATIVE, IEEE, http://standards.ieee.org/news/2011/cloud.html, publié le 04/04/2011, consulté le 04/04/2011

12 avril 2011

g-Cloud (government Cloud) vs. Cloud Computing

En matière de "Cloud Computing", gouvernements et entreprises ont des besoins similaires. Tous deux cherchent des solutions sécurisées, fiables (offrant de la haute disponibilité avec un SLA de 99,99…%) et économiquement intéressantes. Dans cet article je vais donc rappeler quelques principes de bases. Puis, je parlerai des différences entre les deux types de Cloud.

Le Cloud Computing, comme je l’ai écrit dans mon article sur "La pyramide du Cloud Computing", offre des services (IaaS, PaaS et SaaS) qui peuvent être hiérarchisés en trois catégories : "infrastructure", "platform" et "application".

Sur l’image ci-dessus et sur les images suivantes plus le bleu est foncé, plus le gouvernement / l’entreprise peut contrôler et garder la maîtrise sur ses données et inversement plus le bleu est clair et plus il est difficile de contrôler et de garder la maîtrise de son système d’information.

Ces trois catégories de services peuvent être déployées selon plusieurs modèles, comme je l’ai décrit dans mon article "Public et Private Cloud".
Les "Clouds" publics sont généralement exploités par des sociétés tierces comme Amazon, Google, Microsoft, GoGrid, etc. Ce sont des infrastructures mutualisées et partagées par un grand nombre d’utilisateurs. Cela permet de bénéficier d’économies d’échelles.
Les "Clouds" privés sont des solutions dédiées à un client. Ils sont hébergés soit au sein de l’entreprise / du gouvernement ou chez un prestataire de services (infrastructure dédiée). Cela permet de garder un plus grand contrôle sur les données.
Les "Clouds" hybrides combinent les deux types de "Cloud". Ce modèle permet de garantir la sécurité et la confidentialité des données tout en offrant la possibilité d’absorber une plus grande charge de manière temporaire.

 Un gouvernement / une entreprise n’aura pas le même contrôle sur ses données, en choisissant d’héberger sa solution (par exemple Oracle) en interne, sur un "Cloud" privé ou à l’autre extrême sur un "Cloud" public, en utilisant un service de type "Software as a Service". Il devra donc choisir sa solution de "Cloud Computing" en fonction de la criticité de son information.
Nous pouvons donc définir trois niveaux de criticité de l’information : publique, confidentielle et secrète. L’information publique peut être accessible par tout le monde. Cette information est rendue publique au travers de site web, d’application ou de web service. L’information classée secrète doit être accessible uniquement à des personnes clairement identifiées. Si cette information est divulguée au public ou arrive entre les mains d’un autre gouvernement, cela pourrait nuire à la sécurité nationale. Toutefois, certaines administrations comme l’U.S. Air Force [1], ont mandaté des spécialistes du "Cloud" pour étudier et développer des solutions capables de protéger les données sensibles d’un gouvernement. Entre ces deux extrêmes, nous retrouvons toute l’information que nous n’aimerions pas que d’autres personnes connaissent, comme par exemple notre dernière déclaration d’impôts.



g-Cloud vs. Cloud Computing

Nous venons de rappeler les concepts de base du "Cloud Computing". Ces concepts sont valables aussi bien pour les entreprises que pour les gouvernements. Plusieurs points  font la différence entre le "Cloud Computing" pour les entreprises et le "g-Cloud" pour les gouvernements.
Le premier point concerne la législation. Par exemple à Genève (Suisse) nous avons la LIPAD [2]. Cette loi, qui s’applique aux institutions publiques, n’interdit pas à ces dernières d’héberger des données publiques à l’étranger. Par contre, comme toutes les lois du même type (par exemple : la loi fédérale du 19 juin 1992 sur la protection des données (LPD) en Suisse, la loi n°78-17 relative à l'informatique, aux fichiers et aux libertés du 6 janvier 1978 en France ou la loi relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (8/12/1992) en Belgique), elle vise à protéger les données à caractère personnel. Ces lois ne s’appliquent pas uniquement au "Cloud Computing", mais d’une façon plus générale à tous les traitements de données au sein d’une administration publique et/ou d’une entreprise (en fonction du pays). De plus, ces lois contiennent des restrictions quant à la transmission des données personnelles à des tiers, ce qui limite les possibilités d’utilisation du "Cloud Computing".
Mon second aspect en matière de législation couvre les lois applicables dans le pays de domiciliation des serveurs ou de domiciliation des entreprises qui commercialisent les services. Par exemple aux États-Unis, l’USA PATRIOT Act [3] donne au FBI le pouvoir de demander à n'importe quelle organisation de fournir toutes les pièces tangibles pour une enquête de lutte contre le terrorisme international ou les activités d'intelligence clandestines. Des lois de ce type, qui peuvent être décrétées de façon inattendue, ne permettent pas de garantir la sécurité et la confidentialité des données traitées sur des plateformes de "Cloud Computing" domiciliées en dehors du territoire du gouvernement.

Le deuxième point qui peut faire la différence entre le "g-Cloud" et le "Cloud Computing" est la confiance. Suivant la nature et l’importance du projet, avant de déployer un projet sur le "Cloud", il faut obtenir la confiance des utilisateurs. Pour un gouvernement, ce groupe d’utilisateurs varie fortement d’un projet à l’autre. Le groupe s’étend du fonctionnaire au citoyen sans oublier les élus. Par exemple, héberger sur le "Cloud" une application qui gère les stocks de sels pour déneiger les routes, nécessitera d’obtenir la confiance d’un petit groupe de fonctionnaires. A l’autre extrême, héberger une application de vote par internet ou une application pour déclarer ses revenus ainsi que sa fortune en ligne nécessitera de gagner la confiance des élus et des citoyens.
Pour gagner cette confiance la sécurité doit être au maximum et il faut pouvoir facilement auditer la solution. En matière de sécurité, il existe des normes (par exemple : ISO 27000), des lois (par exemple : aux États-Unis FISMA (http://csrc.nist.gov/groups/SMA/fisma/ , loi américaine spécifique à la gestion de la sécurité des systèmes d’information dans les administrations) et des recommandations issues des bonnes pratiques de l’industrie. Valider la bonne mise en œuvre de ces normes, lois et recommandations n’est pas forcément facile, voir impossible pour une administration. Il faut donc faire confiance à un tiers qui effectuera un audit en suivant une norme comme SAS 70 (norme américaine en termes d’audit). Chaque pays, chaque entreprise doit donc définir ses normes de sécurité et les standards de validation de ces derniers.

Le dernier point qui peut faire la différence entre le "g-Cloud" et le "Cloud Computing" pour les entreprises est la dépendance. En choisissant d’héberger un projet ou de consommer un service sur le "Cloud" un gouvernement ou une entreprise devient ainsi dépendant. Cette dépendance porte sur les aspects technologiques et logiciels, ainsi que sur les aspects réseau internet.
Pour les aspects technologiques et logiciels, l’Open Cloud Manifesto a été créé au printemps 2009 [4], mais aucun des "pionniers" et acteurs majeurs du Cloud comme Amazon, Google, Microsoft Azure ou Salesforce n’ont signé ce manifeste. Pour remédier à ce manque de standards, l’IEEE (Institute of Electrical and Electronics Engineers) a annoncé le 4 avril 2011 [5], qu’il allait créer un groupe de travail pour définir les standards en matière de Cloud computing.  Ce manque de standards ouverts peut poser des problèmes d’étique à certaines administrations qui sont demandeuses (voir contraintes) d’utiliser des solutions open-source.
Le réseau est également un élément critique en termes de dépendance pour un gouvernement. En effet, en fonction de la domiciliation des serveurs, le réseau traverse un certain nombre de pays. En fonction des relations diplomatiques, ainsi que de la base légale de ces pays traversés, l’accès aux serveurs du Cloud peut être bloqué.

En conclusion, je peux dire qu’un gouvernement peut comme n’importe quelle entreprise déployer des applications, des services ou consommer des services sur le Cloud. Comme toutes les autres entreprises, l’administration devra choisir la solution et le modèle de déploiement qui lui permettra de ne pas être dans l’illégalité. Elle devra respecter certaines normes et être auditable. Finalement, cette solution devra être acceptée par tous les acteurs du projet.
Certaines administrations utilisent déjà des services dans le Cloud. C’est le cas de l’Administration fédérale suisse avec son projet swisstopo [6]. Ce projet a permis de réduire le délai de mise en service d’un nouveau service cartographique. Migrer sur le Cloud offre à swisstopo une plus grande élasticité des infrastructures et par conséquent une meilleure qualité de service pour ses internautes.

[1] IBM, U.S. Air Force Selects IBM to Design and Demonstrate Mission-Oriented Cloud Architecture for Cyber Security, http://www-03.ibm.com/press/us/en/pressrelease/29326.wss, publié le 4/02/2010, consulté le 18/11/2010
[2] GRAND CONSEIL de la République et canton de Genève, Loi sur l’information du public, l’accès aux documents et la protection des données personnelles (LIPAD), http://www.ge.ch/legislation/rsg/f/rsg_a2_08.html, entrée en vigueur 1/01/2010, consulté le 20/11/2010
[3] Senate and House of Representatives of the United States of America, Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism (USA PATRIOT Act) act of 2001, http://www.gpo.gov/fdsys/pkg/PLAW-107publ56/pdf/PLAW-107publ56.pdf, entrée en vigueur 26/10/2001, consulté le 11/11/2010.
[4] Open Cloud Manifesto, http://www.opencloudmanifesto.org/ , consulté le 11/04/2011
[5] IEEE LAUNCHES PIONEERING CLOUD COMPUTING INITIATIVE, IEEE, http://standards.ieee.org/news/2011/cloud.html, publié le 04/04/2011, consulté le 04/04/2011
[6] AWS Case Study: swisstopo, Amazon, http://aws.amazon.com/solutions/case-studies/swisstopo/, consulté le 15/11/2010

11 avril 2011

2011!

Depuis plusieurs mois, je n’ai eu que peu de temps à consacrer à mes recherches personnelles en matière de Cloud Computing et Web 2.0. Heureusement, d’ici quelques jours, je vais terminer un des gros projets que j’ai à réaliser en 2011.

Il y a 1 an (en janvier 2010), je vous parlais de thématiques comme le Cloud Computing, internet mobile, AR et HTML5 que j’allais étudier durant l’année 2010. Où en somme-nous aujourd’hui en avril 2011 ?
Le Cloud Computing, comme l’avait prédit et annoncé le Gartner, est un concept technologique sur la pente descendante de la courbe de hype du Gartner (cf. mon article : Courbe de hype 2010 pour les technologies émergentes). Mis à part les craintes que nous pouvons avoir concernant la sécurité, un des problèmes majeurs du Cloud découle de la législation. Cette thématique a peu été étudiée et elle soulève des interrogations telles que : Puis-je légalement héberger mes données à l’étranger ? Est-ce que mes données sont légalement bien protégées à l’étranger ? A l’heure actuelle, je suis entrain de réfléchir sur cette thématique et j’espère publier rapidement un petit article à ce sujet sur ce blog.
Un autre aspect que j’avais mentionné dans mon article l’année passée, est l’internet mobile. Le marché augmente rapidement. Nous constatons aussi une guerre entre les iPhone, les Android et les autres systèmes. Qui va l’emporter ? Est-ce que le web tel que nous le connaissons depuis plus de 15 ans est entrain de disparaitre au profit des "apps" ? C’est en tout cas ce que Wired nous a annoncé fin août 2010 (http://www.wired.com/magazine/2010/08/ff_webrip/all/1 - The Web Is Dead. Long Live the Internet).
Pour moi, la réalité augmentée (AR en anglais) n’a pas décollé en 2010 ! Comme je l’avais dit l’année passée, il manque un standard interopérable pour lancer le développement d’applications.
Finalement, l’HTML5 commence à être supporté par toutes les dernières versions des browsers, mais aucun standard définitif n’a été publié. J’ai par compte fait 2-3 tests et je trouve cette nouvelle version appréciable et prometteuse pour concurrencer les apps.

Assez parlé du bilan de 2010, qu’est-ce que j’attends de 2011. Pour moi en 2011 le Cloud va continuer à changer nos vies et surtout changer notre façon de travailler. Je veux personnellement me lancer dans la rédaction d’un doctorat sur cette thématique. Depuis septembre j’essaie de délimiter un sujet innovant dans le domaine. J’ai commencé par réfléchir à la thématique du g-Cloud : gouvernement Cloud. C’est un domaine encore peu exploré, avec un potentiel économique important, du moins dans un pays comme les États-Unis. En Europe, les États sont souvent trop petits pour pouvoir amortir de très grosses infrastructures. Par contre nous pouvons reprendre les concepts du Cloud afin d’améliorer la qualité du service informatique, tout en rationalisant les coûts et en préservant un peu plus l’environnement (Green IT). Depuis quelques jours et surtout depuis les problèmes au Japon, je réfléchis également au "service recovery" où le Cloud peut-être une solution en la matière. Avoir ses données et ses applications dans le Cloud permet aussi d’être plus agile.