Cloud Design & Criticité des informations

Contrairement à ce que nous pouvions faire par le passé lors de la conception des infrastructures réseau, l’insertion de technologie Cloud nous oblige à pousser plus profondément notre réflexion sur les niveaux de criticité des informations.

En effet, pour la plupart des DSI, l’infrastructure ne se conçoit plus uniquement sur un plan purement local, mais bien avec l’insertion de ressources (multiples) extérieures. C’est pourquoi, afin de garantir la sécurité, la bonne marche des applications, mais aussi leur haute disponibilité, il est important d’évaluer pour chaque information ou groupe d’informations leur niveau critique suivant trois axes principaux :

  • La valeur de la donnée elle-même ;
  • Son niveau d’utilisation dans le processus d’entreprise ;
  • Sa zone géographique d’impact (voir quand).

Ne voir une donnée critique uniquement par ce qu’elle représente une information secrète de l’entreprise, par exemple, et ne pas se soucier des données nécessaires au traitement quotidien, ou encore de la zone où elle est le plus nécessaire, risque à terme de poser d’important problème, voire de bloquer une production…

La catégorisation de l’information fournit de fait le positionnement de la donnée dans le schéma d’architecture, même si il existe des moyens de contournement, que nous verrons par un exemple dans la suite de cet article.pyramide_criticite

Plus la donnée se trouve dans une zone rouge, moins la mise en place de celle-ci dans un Cloud non propriétaire ou non privé est possible. Un petit exemple, un catalogue de produit, en général, le catalogue est public, il peut donc être facilement stocké dans un Cloud public. Cependant, les informations tarifaires, ou encore les coûts de productions, ne sont pas forcément publics, mais peuvent être utiles à la gestion multi-sites et quotidienne de l’entreprise. Alors comment faire dans ce cas…

Nous avons ici trois données différentes, mais faisant référence au même objet :

  • Le catalogue : Non critique, Non quotidien (mis à jour une ou deux fois par an), et public ;
  • Les tarifs des produits : Généralement National, Nécessaire, mais semi-public voir public ;
  • Les coûts de production : Dépend généralement de l’usine, donc local, critique et pouvant être géré au quotidien.

C’est justement dans ce type de cas, certes d’école, que les différentes technologies aujourd’hui à notre disposition permettent de fournir à l’ensemble des acteurs de meilleures performance.

Pour le catalogue, pas de problème, par contre l’approche des tarifs et des coûts de production sont plus problématiques.

Pour les tarifs, il est également facile d’imaginer la mise en place d’une base de données liée aux différents sites, ainsi qu’aux éventuels partenaires, dans un Cloud privé. Bien s’assurer auprès du fournisseur de service que l’accès aux services puisse être limité, mais également avec un stockage spécifique.

Maintenant, les données de coûts de production, directement déduites de l’ERP. D’ores et déjà, même si le système logiciel de l’ERP (WS ou SaaS) pourrait être virtualisé, nous déconseillons fortement la virtualisation de la base de données en elle-même. En effet, les I/O doivent être priorisés pour favoriser la rapidité de réponse de la base, et de facto la bonne marche de la production. Ceci est notre première vraie approche de l’hybridation du Cloud.

Avant d’aller plus loin, un petit rappel… L’hybridation du Cloud ne signifie pas uniquement l’alliance de Cloud privé et de Cloud public, mais bien également l’alliance de différentes technologies (Physique, Virtualisation, WS, SaaS, IaaS, PaaS, Azure, Amazon, Google…etc.).

Le problème potentiel est le partage des informations des différents ERP locaux, avec une base de données centrale permettant la gestion temps réel (ou non) de la production globale de l’entreprise. Pour cela, nous avons la base de données dans le Cloud privé qui contient déjà les informations de tarifs. Cela passera alors par la synchronisation des informations choisies avec la base du Cloud privé…

Bien sûr, ce cas reste un cas simple d’école, mais il est transposable à l’approche de problématique bien plus complexe.

Pour finir, même si vos informations semblent non-critiques, lors de la mise en place d’une infrastructure de Cloud dédié (ou privé) dans un ou plusieurs centre de données extérieures à vos locaux, nous préconisons systématiquement l’utilisation du chiffrement des données, ainsi que des méthodes d’authentification forte (PKI, SSL, LDAPS, AD, limitation IP…).