Cloud computing : de l’expectative à la mise en pratique

Ces trois dernières années, à mesure que l’offre s'est étoffée et structurée, le cloud computing est devenu un peu moins nébuleux. Pour autant, les banques sont-elles prêtes à mettre tout ou partie de leur système d’information dans les nuages ? Officiellement, la réponse reste mystérieuse, car aucune des banques interrogées n’a souhaité participer à ce dossier. Et pourtant, selon Christian Comtat, directeur cloud computing chez IBM France, « il y a une grosse demande depuis la fin 2011 de la part des banques françaises pour développer des clouds privés. Nous avons des projets de cloud avec presque tous les grands acteurs de la Place. » Le SAAS [1] non plus n’est pas négligé, bien qu’il implique de laisser au prestataire la mainmise sur l’application.

Le cloud a fait son entrée dans les esprits

Éric Hardy, directeur de SAB services, constate que « les mentalités ont pas mal évolué. Si je me base sur les appels d'offres reçus des établissements bancaires, il y a trois ans, le SAAS n'était jamais évoqué. Désormais un appel d'offres sur deux demande un chiffrage en SAAS. » Emmanuel de Cazotte, directe de la stratégie des services financiers de Pegasystème, confirme ce changement des banques à l'égard du cloud computing : « Quand on parlait du cloud à une banque il y a quelques années, c’était un non définitif. Aujourd’hui, la situation a évolué. D’abord, il y a une évolution des esprits, comme le fait que les gens commencent à utiliser le cloud à titre personnel et, du coup, se disent qu’il est possible de faire la même chose dans le monde professionnel. » En outre, les banques recherchent une réduction des coûts relatifs à l'entretien des systèmes informatiques ou au développement de nouvelles applications. Pour autant, Philippe Tiennot, directeur général de Brocade, tempère cet enthousiasme. « Les banques ne sont pas des early adopters. Elles sont pragmatiques, prudentes et liées par la réglementation. À ce jour, nous discutons avec quasiment toutes les banques, mais plus en mode test sur des environnements limités qu’en production, aussi bien dans la banque de détail que dans la banque d’investissement. Pour le déploiement massif, ce ne sera pas avant 12 mois, même si quelques petites applications peuvent être mises dans le cloud. »

La confiance et la sécurité plus que la réglementation

Quels sont les freins à l’usage du cloud par les banques ? Si la réglementation bancaire est régulièrement évoquée, avec notamment l’exemple des Pays-Bas qui interdisent à leurs banques de stocker des données hors des frontières nationales, pour Fabrice Cocquio d’Interxion, ce n’est pas un obstacle : « La protection des données est un sujet complexe avec des contraintes nationales et européennes. En attendant que la Commission européenne émette une directive d’ici à la fin de l’année, tout le monde déploie et se disant “on verra bien”». Aurélien Goujet, responsable avant-vente d’Isilon rappelle d'ailleurs que « c’est l’opérateur de cloud qui doit intégrer les contraintes légales. C’est lui qui doit avoir la certification [2] ». Il doit donc permettre à ses clients de faire tous les audits nécessaires pour s’assurer que la réglementation est bien suivie.

La sécurité, en revanche, reste un point essentiel. Pour Renaud Bidou, directeur technique chez Deny All, « utiliser lecloudveut dire une infrastructure mutualisée. Même dans uncloudprivéinterne, on s'aperçoit que les directions informatiques sont très éparpillées et peu enclines à partager leurs ressources. Dans un cloudpublic, on y ajoute une problématique de sécurité puisque les données sortent de l'infrastructure. Et on ne maîtrise quasiment plus rien techniquement sur la sécurité des données . Cet élément est accru par le fait que les acteurs ducloud vont être réticents à fournir une visibilité totale sur la sécurité qu'ils fournissent : soit parce qu'ils n'en ont pas, soit parce qu'ils ne la maîtrisent pas entièrement, car ils peuvent aussi s'appuyer sur d'autres fournisseurs de services.»

Dans le cloud pour des besoins spécifiques et avec des partenaires connus

Ces problèmes particuliers expliquent que les banques se détournent des grandes structures du cloud public (comme Windows Azure ou Amazon Web Services), sauf pour des besoins ponctuels ou éloignés de leur cœur de métier (comme l’orchestration d’une campagne marketing, par exemple). Pourtant, pour répondre aux craintes concernant la localisation des données, des centres de serveurs sont installés au plus près de leurs clients européens. Pour Christophe Ferrer, gestionnaire de compte banque assurance chez NEC, « de plus en plus de banques ne veulent pas mettre tous leurs œufs dans le même panier. Elles ne veulent pas confier l’ensemble de leur infrastructure à un seul acteur, mais cherchent plutôt à traiter avec des acteurs régionaux. » Il précise également que ce choix peut se justifier aussi pour des raisons commerciales : face à un prestataire local, la banque a plus de poids dans la négociation.

Un autre facteur de choix va se faire sur le degré de sensibilité des données et applications présentes dans le système d’information de la banque. En fonction de ce critère, les banques peuvent être amenées à choisir d’externaliser certains services, même si ceux-ci sont au cœur de leurs métiers. Ainsi, tant SlimPay [3] qu’Axway proposent des offres SAAS autour du protocole SEPA. Elles font aussi appel en mode cloud à des tiers de confiance (comme Keynectis) pour la signature électronique de contrat. Certaines structures bancaires plus petites n’hésitent pas à confier l’ensemble de leur système d’informations au cloud. Ainsi, depuis un an et demi que l’offre SAAS de SAB existe, Éric Hardy a constaté que « l'offre SAAS est en général globale. Ce sont des banques, pas forcément des gros établissements mais souvent des succursales d'établissements étrangers qui veulent s'installer en France et ne veulent pas s'embêter avec la réglementation. Une autre partie de notre clientèle est formée par les établissements de paiement, qui se sont créés avec l'évolution de la réglementation il y a de cela deux ou trois ans. Ces établissements de paiement ont une activité très ciblée et le périmètre est autour de la gestion des flux cartes. » Pour ces banques, ce choix est motivé par une volonté de faire des économies. En effet, ces banques ou succursales ne comptent souvent que quelques dizaines de salariés : elles n’ont ni le temps ni l’argent pour avoir un système d’information ad hoc et s’adressent à un prestataire adapté en qui elles ont confiance.

1 Software as a service, voir lexique. 2 Par exemple des systèmes informatiques conformes au standard EAL4+, NDLR. 3 Voir dans ce numéro, p. XX.