Hébergement et cloud pour les organisations suisses : sites, prestations et contrats

Pourquoi le site, l’étendue des prestations et le partenaire contractuel forment un tout

Toute personne qui achète des services d’hébergement ou de cloud pour une organisation suisse doit répondre simultanément à trois questions : où se trouvent les données, quelles prestations sont réellement nécessaires et quelle société sera la partie contractante ? Ces points s’articulent entre eux, mais peuvent être examinés séparément.

ePost souligne que ce n’est pas seulement le pays dans lequel se trouvent les serveurs qui compte, mais aussi le droit applicable et la partie qui conclut le contrat. Se limiter à l’examen du site laisse deux aspects essentiels en suspens.

Sont cités ci-après des acteurs concrets : la région suisse Zurich de Google Cloud Platform, les régions Azure Suisse Nord et Suisse Ouest, la région Infrastructure AWS Suisse depuis novembre 2022, l’offre Azure de Swisscom ainsi que les prestataires suisses METANET, Nine et Speicherbox.ch. Chacun de ces acteurs doit être examiné individuellement sous l’angle du site, de l’étendue des prestations et de la partie contractante.

« En Suisse » ne signifie pas automatiquement la même chose

Les grands fournisseurs de plateformes exploitent désormais des régions suisses. ePost fait tourner ses systèmes productifs dans des centres de données suisses et utilise pour cela Google Cloud Platform dans la région suisse Zurich.

Les données de contenu restent exclusivement en Suisse ; les sauvegardes se trouvent dans un second centre de données physiquement séparé – également en Suisse.

Le droit applicable est ainsi clairement défini. Les données de contenu sont stockées et traitées exclusivement en Suisse et selon le droit suisse ; elles sont soumises à la Loi fédérale sur la protection des données (LPD) et, le cas échéant, au Règlement général sur la protection des données (RGPD).

Amazon a lancé sa propre région Infrastructure en Suisse en novembre 2022. Microsoft indique dans sa liste de régions pour la Suisse les régions Azure Suisse Nord et Suisse Ouest (switzerlandwest). Des prestataires suisses comme Swisscom complètent leurs propres offres cloud par les plateformes mondiales d’AWS et de Microsoft Azure.

Il existe par ailleurs des prestataires disposant de leurs propres centres de données à haute sécurité. Ils garantissent que les données sont stockées exclusivement sur des serveurs situés en Suisse et qu’aucun stockage à l’étranger n’a lieu. Speicherbox.ch qualifie cette approche de protection des données et de for juridique conformes aux prescriptions suisses.

Les hébergeurs suisses classiques mettent également l’accent sur le site : METANET met en avant ses centres de données suisses et propose un serveur cloud virtuel avec site en Suisse. Nine propose de la colocation et du server housing dans ses centres de données zurichois, c’est-à-dire l’hébergement de matériel propre.

Le site seul ne dit toutefois rien sur l’accès aux données. ePost rappelle que le US CLOUD Act peut obliger les prestataires ayant des liens avec les États-Unis à remettre des données sur ordre judiciaire dans le cadre d’une procédure pénale – même si les données se trouvent physiquement hors des États-Unis. Selon cette analyse, de nombreux pays connaissent des droits d’accès comparables.

La question du site implique donc toujours celle de la gestion des clés : chez ePost, la gestion des clés relève du prestataire lui-même et est exploitée indépendamment du fournisseur de cloud. Le fournisseur de cloud ne détient pas les clés nécessaires au déchiffrement.

Chiffres clés du paysage cloud suisse

De l’espace de stockage à la plateforme managée

L’éventail des prestations va du simple dépôt de fichiers à des plateformes entièrement gérées. Pour le stockage et la collaboration, il est important que les documents puissent être travaillés conjointement : Speicherbox.ch permet l’édition et le partage simultanés de documents Word, Excel et PowerPoint via un éditeur Office intégré, sans logiciel supplémentaire.

S’y ajoutent des autorisations individuelles – par exemple pour les collaboratrices et collaborateurs, les équipes et les responsables de projet – ainsi que des offres graduées pour les entreprises, les associations et les OBNL, les écoles et les prestataires de services informatiques.

Un deuxième bloc concerne l’envoi et la remise de documents. Chez ePost, les données sont chiffrées lors du transfert et du stockage ; lors de l’envoi, le document est protégé côté expéditeur et rechiffré pour la remise au destinataire. Par la suite, l’expéditeur n’a plus d’accès automatique à la version destinée au destinataire.

Le troisième bloc concerne les services de plateforme cloud et les prestations associées. Swisscom décrit son offre Azure comme un accompagnement allant de la planification aux projets de mise en œuvre jusqu’à l’exploitation de la plateforme – y compris l’architecture, la sécurité, la gouvernance, la conformité et la gestion des coûts, ainsi que le développement de solutions dans des domaines tels que le big data ou l’IoT.

Pour les administrations publiques s’ajoute le catalogue standardisé des services TIC comme base d’adjudication : le catalogue de services de la Confédération répertorie des services TIC standards avec une étendue de prestations définie – par exemple la communication de données vers et entre les sites et les organes d’exécution de l’administration fédérale.

La Confédération acquiert ces services via son catalogue de services. L’édition « Catalogue de services 2027 Services TIC standards » liste des services standards avec une étendue de prestations définie ; la communication de données (DAKO) vers et entre les sites et les organes d’exécution de l’administration fédérale est citée à titre d’exemple.

Choix de la plateforme : hyperscalers, prestataires suisses ou hybride

Plutôt qu’un classement, des critères de sélection adaptés à la situation initiale propre à chaque organisation sont plus utiles. Une comparaison de procloud.ch cite comme point fort de Microsoft Azure en Suisse l’intégration plus poussée avec les technologies Microsoft telles que Windows Server, SQL Server et Active Directory.

Aux côtés de Microsoft et d’Amazon, Google fait partie des trois fournisseurs qui attirent directement l’attention pour les produits et services cloud. Microsoft Azure Suisse et Google Cloud Suisse sont ainsi directement comparés.

Ceux qui utilisent déjà ces technologies bénéficient d’une intégration plus fluide qu’avec AWS. L’aptitude aux environnements hybrides, dans lesquels les ressources locales et cloud interagissent – par exemple via Azure Stack en tant que variante locale d’Azure – est également soulignée.

S’y ajoutent l’offre de services d’IA et de machine learning ainsi que les technologies de bureau cloud Windows Azure Virtual Desktop et Windows 365.

En contrepoint, la même comparaison mentionne le prix et l’expérience d’AWS, qui a lancé ses services cloud plus tôt que ses concurrents. L’étendue des programmes de conformité est aussi un critère : selon cette analyse, le programme de conformité AWS satisfait à 75 normes, tandis que le programme de conformité Azure en satisfait 91.

Pour de nombreuses organisations, la question n’est donc pas « hyperscaler ou prestataire suisse », mais « quelle combinaison ». Swisscom se positionne comme partenaire d’un hyperscaler mondial et associe l’expertise locale aux plateformes d’Azure et d’AWS.

Dès 2017, l’entreprise a complété son propre cloud par des offres d’AWS et de Microsoft Azure. Elle soutient ses clientes et clients avec des ateliers de lancement et des prestations de conseil.

Hyperscalers vs prestataires suisses : avantages et inconvénients en bref

Contrats, accès et chiffrement

Avant la conclusion du contrat, plusieurs points doivent être clarifiés directement : qui est la partie contractante – est-elle établie en Suisse ou appartient-elle à un groupe mère étranger ? Le prestataire peut-il accéder lui-même aux données chiffrées ? Où se trouve la gestion des clés et comment les accès sont-ils contrôlés ?

Sur le plan juridique, l’hébergement constitue généralement un traitement de données pour le compte d’autrui. Le PFPDT souligne : même si vous confiez le traitement des données personnelles à un sous-traitant, vous restez responsable de la protection des données. Le contrat avec le prestataire devrait donc préciser comment celui-ci traite les données, les protège et les remet ou les efface sur instruction.

ePost indique que les accès aux contenus ne se font que de manière contrôlée et décrit le chiffrement comme étant lié au mandant et au document, tant lors du transfert que lors du stockage. Speicherbox.ch garantit que même le prestataire lui-même n’a aucune possibilité d’accès aux bibliothèques chiffrées.

ePost chiffre la protection : TLS 1.2+ lors du transfert, AES-256 lors du stockage. Le chiffrement est lié au mandant et au document, les accès aux contenus ne se font que de manière contrôlée.

Les autorités publiques ont besoin d’une base légale pour les systèmes de traitement automatisé des données personnelles. Un guide législatif sur la protection des données, tel que publié par la ville de Bienne, réglemente l’élaboration de telles bases légales.

La Loi fédérale sur la protection des données (LPD) entièrement révisée est déterminante ; l’ancienne loi sur la protection des données était valable jusqu’au 31.08.2023. L’autorité de surveillance est le Préposé fédéral à la protection des données et à la transparence (PFPDT) : conformément à l’art. 51 al. 1 LPD, il est habilité à rendre des décisions si une enquête révèle des violations des dispositions en matière de protection des données.

Le cas d’exploitation doit également figurer dans le contrat. ePost renvoie à une infrastructure conçue avec redondance ainsi qu’à des processus définis de secours et de reprise.

Selon Swisscom, les projets de plateforme cloud soulèvent d’autres questions : qui s’occupe de la conformité, de la migration, des licences et de la résolution des pannes ? Le support et la résolution des pannes devraient être régis par les mêmes obligations que le lieu de stockage et le chiffrement.

Modèles de coûts et chemin vers l’exploitation

Deux modèles s’opposent en matière de logique de facturation. D’un côté, des prix mensuels fixes avec des variantes d’entrée gratuites et des phases de test : Speicherbox.ch indique un prix à partir de CHF 9.90 par mois, un espace de stockage gratuit de 10 GB et une phase de test gratuite de 30 jours.

Des variantes d’entrée gratuites sont également courantes auprès des grands services de stockage. De l’autre côté se trouve le paiement basé sur l’utilisation dans le cloud : Swisscom décrit l’objectif de concevoir l’infrastructure Azure de telle sorte que seul ce qui est effectivement utilisé soit payé.

Les grands services de stockage proposent des variantes d’entrée gratuites avec nom et volume : Apple iCloud avec 5 GB, Dropbox Basic avec 2 GB et Google avec 15 GB. Une variante gratuite est indiquée pour Microsoft 365.

Le chemin vers l’exploitation n’est pas un acte unique. Selon l’avis de Swisscom, la planification, la migration, l’exploitation et l’optimisation des services cloud sont exigeantes et devraient être mises en place comme un processus cohérent – avec la gestion des coûts comme composante fixe.

Qui souhaite optimiser les coûts doit donc commencer dès la planification et la migration et vérifier régulièrement la rentabilité durant l’exploitation courante.

Comparaison des prix : stockage cloud pour les organisations en Suisse

Chemin vers l’exploitation : planification, migration et optimisation

Aide à la décision pour les organisations suisses

Où tournent les systèmes productifs, où se trouvent les sauvegardes ? La production et la sauvegarde ne devraient pas seulement se trouver dans le même pays, mais idéalement dans des centres de données physiquement séparés.

Quel droit s’applique aux données et qui est la partie contractante ? Vérifiez si la partie contractante a son siège en Suisse ou si elle appartient à un groupe étranger.

Selon quel droit les données de contenu sont-elles traitées ? Clarifiez si la Loi fédérale sur la protection des données (LPD) s’applique et si le RGPD est également applicable.

Qui détient les clés ? Clarifiez si la gestion des clés relève du prestataire ou du client et si le fournisseur de cloud pourrait effectuer lui-même le déchiffrement.

Comment les accès sont-ils contrôlés et comment les processus de secours et de reprise sont-ils réglementés ? Renseignez-vous également sur la redondance, le support et la résolution des pannes.

Quelles prestations sont réellement nécessaires – du dépôt de fichiers et de l’édition conjointe de documents en passant par l’envoi de documents et les concepts d’autorisation jusqu’aux services de plateforme, à la migration et à l’exploitation ? Les administrations publiques vérifient en outre si des catalogues de services TIC standardisés, tels que le Catalogue de services 2027, peuvent servir de base d’adjudication.

Comment la facturation est-elle effectuée – prix mensuels fixes avec variantes d’entrée gratuites et phases de test ou facturation basée sur l’utilisation ? Et comment la planification, la migration, l’optimisation des coûts et l’exploitation courante sont-elles ancrées comme un processus cohérent ?

Aide à la décision : questions importantes avant l’engagement cloud