La CSSF définit le Cloud computing comme «un modèle qui permet un accès omniprésent, pratique et à la demande à un ensemble de ressources informatiques partagées et configurables (ex. réseaux, serveurs, stockage, applications et services) qui peuvent être rapidement fournies et libérées par un minimum d’effort de gestion ou d’interaction de la part du fournisseur de services». Pour mettre en relief le changement de paradigme associé au Cloud computing, on peut imaginer la métaphore des transports! Du côté de l’IT traditionnelle, chaque projet possède son infrastructure et y déploie son application (ordinateurs, stockage…), ce qui s’apparente dans les transports à posséder sa propre voiture, à l’alimenter en carburant (électricité et refroidissement pour les ordinateurs), à en assurer la maintenance (maintenance et gestion de l’obsolescence pour l’IT) et à la conduire. Le Cloud computing s’apparente de son côté à l’utilisation d’un taxi: pas d'achat de voiture ou de carburant, pas de maintenance et pas de conduite. Le taxi est retrouvé au point de départ et le paiement se fait à l’usage («pay per use»).

Le marché mondial des prestations du Cloud est estimé à 150 milliards de dollars en 2020, en croissance à deux chiffres depuis des années – une majorité des entreprises l’utilisent pour:

• Créer ou consolider un avantage compétitif grâce à des outils et des services innovants et différenciants. C’est comme avoir accès aux voitures les plus performantes en leasing, très utile pour gagner une course automobile.

• Améliorer le time to market par l’utilisation d’outils de développement accélérés avec des cycles de release réduits. C’est ne pas avoir à trouver une place de parking en utilisant un taxi.

• Améliorer la flexibilité en capitalisant sur l’élasticité des services du Cloud et le paiement à l’usage. C’est ne pas avoir besoin d’une flotte de véhicules au cas où il y a un surplus d’activités, mais louer en fonction du besoin.

• Accroître la disponibilité avec les possibilités de pallier les incidents par la distributivité des plates-formes. C’est ne pas dépendre que de sa propre voiture, mais utiliser un taxi, et s’il ne s’arrête pas, d’en appeler un autre.

Bien que plus mesurée que dans d’autres pays, cette tendance se développe également au Luxembourg. Les entreprises sont en train de jeter leur dévolu sur le Cloud pour accéder à des solutions innovantes (regtech, techfin, …) et pouvoir déployer plus rapidement des plates-formes de tests ou POC à coûts réduits. À plus long terme, des pans entiers du Système d’Information pourraient-ils y être déployés?

Une déclinaison disruptive du Cloud, appelée Business as a Service (BaaS), mérite de s’y attarder. Le BaaS se calque sur le modèle B2B2X, et facilite une gestion flexible des processus métiers (orchestration et gestion des offres, gestion des partenaires et des clients…). Les modèles actuels sont ainsi amenés à être progressivement remplacés par de nouveaux, qui s’appuieront fortement sur la capacité du BaaS à articuler et à regrouper les différents services de l’écosystème de ses fournisseurs et partenaires.

Cette migration s’accompagne de contraintes identifiées depuis les prémisses par les régulateurs, les institutions et les acteurs du changement. Au Luxembourg notamment, la CSSF met régulièrement à jour les exigences à respecter pour l’usage du Cloud. En effet, en s’ouvrant au Cloud, les entreprises étendent leur exposition potentielle à des risques tels que:

• La perte de savoir et de propriété intellectuelle à cause de la dépendance (Lock-in) par rapport au prestataire du Cloud. Les exemples varient: des intelligences artificielles captives de la solution SaaS associée, une dépendance technologique de l’instanciation automatique des services…

• La fuite de données, l’outsourcing ne permettant pas de contrôler les processus du prestataire du Cloud. Ce risque est fortement corrélé au risque de non-conformité de maîtrise des traitements.

• La rupture de confidentialité due à un problème d’étanchéité entre les services utilisés pour 2 usages différents sur le même Cloud (par des entreprises ou pour des clients).

• Le risque réglementaire en cas de changement de juridiction de l’hébergeur du fournisseur de Cloud.

• Perte de Business, par le refus des clients de voir leurs données hébergées dans le Cloud.

Pour traiter ces risques, les entreprises doivent opérer un changement conséquent pour mettre en place un cadre adapté de conception, de gouvernance et de contrôle, qui prenne en compte d’une part les spécificités de l’entreprise et d’autre part les réglementations en vigueur (CSSF, NIS, GDPR…). S’agissant d’un changement systémique, cette transformation ne peut s’opérer en considérant uniquement la gouvernance IT existante, mais elle doit s’intégrer à la stratégie globale de l’entreprise avec le double objectif de transformer l’existant (en termes de processus et de pratiques) et d’accroître la maturité de l’ensemble de l’entreprise sur le sujet.