Eric Blum
VP CTO EMEA
BMC Software
La sécurité reste la principale préoccupation des décideurs dans la définition et la mise en œuvre de leur stratégie de leur Cloud hybride. L’expérience de ces dernières années et l’investissement d’organismes tels que l’ANSSI en France permettent désormais d’avoir un socle de bonnes pratiques pour la gestion de ces risques.
Cependant, sans un fort niveau d’automatisation, leur implémentation vient directement réduire les bénéfices financiers et de souplesse attendus ou ralentit l’adoption massive des possibilités offertes par les fournisseurs. Le Cloud de confiance se définit comme l’ensemble des ressources d’un Cloud hybride, gérées par une plate-forme garantissant le respect des réglementations internes, locales et industrielles.
A ce jour, j’ai pu constater que la mise en place d’une telle plate-forme était à l’agenda 2015 de la plupart des DSI et CTO que j’ai rencontrés. A mon sens, il est important d’identifier trois grands domaines pour lesquels il ne peut y avoir de déploiements massifs sans automatisation des process avec, au cœur, les modèles de Services.
Une maîtrise permanente de l’installation informatique et de ses configurations pour une meilleure gestion des risques
Par définition, la flexibilité des services Cloud rend l’ensemble des problématiques liées à la gestion des configuration particulièrement aiguës. La gestion manuelle devient impossible compte tenu du volume de changements, soit demandés, soit automatiquement déclenchés dans le but d’une optimisation technique et économique de la production.
Dès lors, la découverte automatique des configurations et des dépendances applicatives, ainsi que la possibilité de patcher les environnements non-conformes, deviennent critiques. Sur la base des configurations applicatives, on peut établir les SLA pour chacun des modèles de service, indépendamment de leur déploiement. Par le monitoring de ces services quelque soit l’architecture du cloud hybride, on peut vérifier la QoS en toute transparence avec les fournisseurs et les utilisateurs.
Une optimisation du sourcing
En intégrant la gestion des configurations des services à la gestion de capacité, on peut alors faire des simulations et dégager les meilleurs scénarios hybrides entre production interne et différents fournisseurs de ressources Cloud.
Dans ce contexte, certains clients de BMC Software ont pu rapidement économiser plusieurs millions d’euros en optimisant leurs capacités de traitement et de stockage internes et externes, leurs contrats de licences, en réduisant leur portefeuille applicatif et en optant pour des Services SaaS. Certains clients gèrent maintenant jusqu’à 40 % de leur applicatifs critiques en mode SaaS et plus de 20 % de leur capacité en mode IaaS. Ils ont généralement plusieurs fournisseurs (AWS, Microsoft Azure, Orange Business Services…).
Avec l’évolution continue des offres Cloud, les arbitrages doivent se faire de façon quasi dynamique à chaque nouvelle demande de services. Ici encore, l’automatisation a un rôle clé, et doit fonctionner sur un corpus de règles établies par l’entreprise en termes de localisation, sécurité, disponibilité, performance et conformité réglementaire. Cette réalité rend caduque l’automatisation par orchestration et workflows, et conduit les clients vers un provisioning s’appuyant sur les modèles de Service.
On définit alors une nouvelle gestion des fournisseurs dans les systèmes, prenant en compte les tarifs, les SLA, les engagements de sécurité et leur niveau de confiance respectif. Celui d’un Cloud Hybride se mesure par le niveau de confiance le plus faible des clouds intégrés. Il est impératif d’intégrer cette nouvelle dimension dans la stratégie Cloud.
Une traçabilité exhaustive de tous les changements en continu
Si, de façon classique, 80 % des incidents proviennent d’une mauvaise gestion des changements, le Cloud donne une autre dimension à la qualité de process au regard de l’explosion du nombre de changements. Pouvoir rapidement simuler l’impact des changements à mettre en œuvre, avertir les utilisateurs des services concernés et surtout être en mesure de donner à tout moment une vision sécurisée et intègre aux autorités d’homologation sont essentiels pour déployer en masse une production d’applications critiques dans le Cloud.
A partir de découvertes des modèles de services, il est maintenant possible de mettre à jour le CMS (Configuration Management System). Il est tout aussi nécessaire de prendre en compte le process de Release Management en établissant une plate-forme de DevOps intégrée à la solution de Cloud Management. Les équipes de développement peuvent alors procéder aux mises en production dans un environnement de confiance. Ce type d’environnement a permis à de grandes banques de diminuer de plus de 50 % le temps et l’effort de mise en production d’applications dans le Cloud.
L’intégration de bout en bout de ces process automatisés au sein d’une même plate-forme est fondamentale pour s’assurer de l’intégrité des informations à n’importe quel moment et agir en temps de crise opérationnelle ou sous l’impulsion d’une autorité locale ou réglementaire. Cette intégration permet aussi d’obtenir des gains financiers et de flexibilité conséquents et rend possible les déploiements de masse.
A la lecture des publications de l’ANSSI (Association nationale de la sécurité des systèmes d’information), il est frappant de voir à quel point les risques augmentent.
Cette plate-forme devient alors un outil de collaboration entre la DSI, la direction des risques opérationnels et les entités métiers. Un outil à considérer non seulement comme un environnement d’industrialisation mais surtout comme un environnement garantissant l’homologation des systèmes et les règles d’hygiène associées.