Votre fournisseur garantit que son service fonctionne. Il ne garantit ni la configuration que vous en faites, ni la protection de vos comptes, ni la récupération de vos données après une suppression ou un chiffrement malveillant. Cette frontière s'appelle la responsabilité partagée, elle figure au contrat, et elle est rarement lue avant l'incident.
La conséquence pratique la plus coûteuse est simple. Passer au cloud ne supprime pas le besoin de sauvegarde, il le déplace.
Ce que le fournisseur prend en charge
Il assure le fonctionnement de l'infrastructure, la sécurité physique de ses centres de données, la disponibilité du service et sa résistance aux pannes matérielles. Sur ces points, il fait presque toujours mieux qu'une PME ne pourrait le faire seule.
Il assure aussi la mise à jour des logiciels qu'il exploite, ce qui retire une charge réelle. C'est un bénéfice concret du modèle, et il ne faut pas le sous-estimer.
Ce qui reste à votre charge
Vos données vous appartiennent, y compris leur perte. Une suppression par erreur, un rançongiciel qui chiffre les fichiers synchronisés ou un départ malveillant relèvent de votre responsabilité.
La configuration du service également. Un espace de partage ouvert publiquement, un lien de partage sans mot de passe ni date d'expiration, une règle de transfert automatique de messagerie créée par un attaquant, tout cela vous incombe.
Les comptes, enfin. Le fournisseur propose l'authentification à deux facteurs, il ne l'active pas à votre place, et le compte administrateur global de votre abonnement est une cible de première valeur.
La sauvegarde, l'angle mort le plus fréquent
Les principales suites bureautiques en ligne conservent les éléments supprimés pendant quelques semaines seulement. Au-delà, la donnée est perdue, définitivement.
Ce délai suffit pour une suppression remarquée le lendemain. Il ne suffit pas pour un fichier effacé il y a quatre mois, ni pour un départ dont on découvre tardivement qu'il s'est accompagné d'un nettoyage.
Une sauvegarde tierce des données hébergées se souscrit à un coût modeste et se pose en quelques heures. C'est probablement la dépense la mieux employée pour une PME qui a basculé sa bureautique en ligne.
Le partage vers l'extérieur, qui échappe à tout le monde
Les outils en ligne facilitent le partage, c'est leur intérêt et c'est aussi leur risque. Un lien créé pour un client reste actif indéfiniment si personne ne le referme, et il circule ensuite par messagerie bien au-delà du destinataire prévu.
Deux réglages changent la situation sans gêner personne. Une date d'expiration par défaut sur les liens de partage externes, et l'interdiction des liens accessibles à toute personne les détenant pour les espaces contenant des données sensibles.
Une revue annuelle des partages externes actifs complète le dispositif et révèle presque toujours des documents partagés avec d'anciens partenaires.
Les règles de messagerie créées par un attaquant
C'est un mécanisme discret et fréquent. Après avoir pris le contrôle d'une boîte, l'attaquant crée une règle qui transfère silencieusement les messages vers l'extérieur, ou qui déplace les réponses vers un dossier que l'utilisateur ne consulte pas.
La personne continue de travailler sans rien remarquer, pendant que ses échanges sont lus. C'est le préambule habituel des fraudes au virement, qui reposent sur la connaissance précise des relations commerciales en cours.
Les administrations de messagerie professionnelle permettent d'alerter sur la création de telles règles. C'est un réglage à activer, et un signal à traiter sérieusement quand il se déclenche.
L'hébergement des données et la question réglementaire
Pour la plupart des données d'une PME, l'hébergement au sein de l'Union européenne suffit à traiter la question. Pour les données sensibles, notamment de santé, des exigences particulières s'appliquent et le choix du prestataire n'est plus libre.
La question à poser à votre fournisseur ou à votre intégrateur est double, où sont stockées les données et sous quel droit se trouve l'entité qui les exploite. La seconde partie surprend souvent, une filiale européenne d'un groupe extra-européen ne place pas les données dans la même situation juridique.
La réversibilité, à vérifier avant de signer
Récupérer ses données quand on quitte un fournisseur est un exercice qui se prépare. La question n'est pas seulement de savoir si l'export est possible, mais dans quel format, avec quelle exhaustivité et à quel coût.
Un export qui restitue les fichiers mais perd les métadonnées, les droits et l'historique n'est pas une réversibilité utile. C'est un point à traiter au moment du choix, quand vous avez encore un pouvoir de négociation.
Ce qui suffit dans une petite structure
Une revue annuelle convient, à condition d'être réellement conduite. Elle porte sur quatre points, l'existence et le test d'une sauvegarde tierce, la liste des partages externes actifs, la protection par second facteur des comptes d'administration, et la présence de règles de transfert de messagerie inattendues.
Le départ d'un collaborateur et la fin d'un contrat de prestation se traitent, eux, immédiatement.
Questions fréquentes
Faut-il sauvegarder des données déjà hébergées dans le cloud ?
Oui, c'est même l'oubli le plus fréquent et le plus coûteux. Votre fournisseur garantit la disponibilité de son service, pas la récupération de données supprimées, corrompues ou chiffrées par un rançongiciel. Les corbeilles conservent les éléments quelques semaines seulement, après quoi la perte est définitive.
Le cloud est-il plus sûr que des serveurs internes ?
L'infrastructure l'est presque toujours, car aucun fournisseur ne peut se permettre les défaillances qu'une PME tolère sur ses propres serveurs. En revanche, la surface d'exposition change de nature. Vos comptes deviennent accessibles depuis le monde entier, ce qui rend l'authentification à deux facteurs indispensable là où un serveur interne était protégé par son isolement.
Comment repérer une boîte de messagerie compromise ?
Le signal le plus fiable est l'apparition d'une règle de transfert ou de déplacement que l'utilisateur n'a pas créée. Activez l'alerte correspondante dans l'administration de votre messagerie. Les connexions depuis des pays où vous n'avez aucune activité constituent le second indicateur utile.
Nos données doivent-elles être hébergées en France ?
Pour la plupart des données d'une PME, un hébergement dans l'Union européenne suffit. Des exigences spécifiques existent pour certaines catégories, notamment les données de santé. Au-delà de la localisation, demandez sous quel droit se trouve l'entité qui exploite le service, car une filiale européenne d'un groupe extra-européen ne place pas vos données dans la même situation juridique.