Corrigé — Attaché territorial 2022 : note sur le cloud dans les collectivités

Proposition de corrigé — non officielle. Concours externe d’attaché territorial, spécialité analyste, session 2022. La note répond à la commande du sujet officiel exclusivement à partir des quinze documents du dossier. Retrouver les annales d’attaché territorial.

Note proposée

À l’attention du directeur des systèmes d’information
Objet : le recours à l’informatique en nuage dans les collectivités territoriales

Les pannes de serveurs et les lenteurs du réseau d’Admiville, commune de 80 000 habitants, rendent nécessaire une réflexion sur l’avenir de sa salle informatique. L’informatique en nuage, ou cloud, permet d’utiliser à distance des capacités de stockage et de calcul, des plateformes techniques ou des logiciels exploités par un prestataire. Elle peut améliorer la disponibilité de certains services et réduire la charge de maintenance locale. Elle déplace cependant une partie des risques et des responsabilités vers des contrats, des réseaux et des fournisseurs que la collectivité doit savoir piloter. Le recours au cloud doit donc être apprécié traitement par traitement, au regard du service rendu, de la protection des données, du coût complet et de l’impact environnemental.

Une réponse possible aux limites d’une infrastructure locale

Le cloud offre plusieurs formes de service. Le modèle IaaS fournit une infrastructure de calcul et de stockage ; le PaaS, une plateforme de développement ; le SaaS, un logiciel accessible en ligne. Un environnement peut être partagé entre clients, dédié ou combiné avec des ressources internes. Ces distinctions sont essentielles pour Admiville : remplacer des serveurs vieillissants n’implique pas de confier toutes les applications métiers au même prestataire ni selon le même modèle. La CNIL recommande d’identifier d’abord les traitements, les catégories de données et les exigences de chaque service. Une messagerie, un site public et un dossier social ne présentent ni les mêmes besoins de disponibilité ni les mêmes conséquences en cas d’incident.

La mutualisation peut donner accès à des capacités ajustables, à une maintenance spécialisée et à des services collaboratifs plus rapides à déployer. Elle peut alléger certaines opérations assurées par la DSI et faciliter le travail à distance. Les documents consacrés à la stratégie publique du cloud soulignent l’intérêt de cette souplesse pour les administrations dont les applications se multiplient. Mais la seule externalisation n’élimine ni les interruptions ni la nécessité de superviser les systèmes. Admiville resterait dépendante de la qualité de sa connexion, des interfaces avec les logiciels conservés sur place et de la capacité du fournisseur à rétablir un service après panne.

L’incendie du centre de données d’OVH à Strasbourg en 2021 illustre cette limite. Des clients ont perdu l’accès à leurs services et, pour certains, des données. Le dossier montre que l’hébergement simple, la sauvegarde et le plan de reprise peuvent relever d’options contractuelles distinctes ; leur portée ne doit pas être supposée. La disponibilité annoncée par un fournisseur ne dispense donc pas d’examiner où se trouvent les copies, comment elles sont restaurées et dans quels délais. Le choix du cloud doit s’inscrire dans un plan de continuité et de reprise d’activité adapté aux services municipaux essentiels.

Des données et des contrats à garder sous contrôle

La collectivité demeure responsable des données qu’elle traite. Les recommandations de la CNIL jointes au dossier proposent de cartographier les données personnelles, sensibles et stratégiques avant toute migration, puis d’évaluer les risques propres à chaque offre. Le lieu d’hébergement, les transferts éventuels hors de l’Espace économique européen, les sous-traitants et les demandes d’accès d’autorités étrangères doivent être connus. Le dossier rappelle également que des documents produits par une collectivité relèvent des archives publiques. Ces enjeux de souveraineté conduisent à examiner la localisation et le cadre juridique réel du fournisseur, au-delà de son adresse commerciale ou de la seule présence d’un centre de données en France. La doctrine « cloud au centre » exposée pour les services de l’État en 2021 fournit un repère de confiance ; elle ne vaut pas, à elle seule, obligation identique pour chaque application municipale.

Le contrat est l’instrument principal de maîtrise. Il doit préciser les données confiées, les lieux de traitement, les prestataires secondaires, les mesures de sécurité, les droits d’audit, la remontée des incidents et les engagements de disponibilité. Il doit surtout rendre la réversibilité effective : formats de restitution utilisables, récupération des données et de leur structure, délais, coûts, assistance au transfert et effacement vérifiable en fin de prestation. Le dossier sénatorial et les articles sur l’achat de cloud décrivent la difficulté de changer de fournisseur lorsque les outils, les données et les licences sont liés à un environnement propriétaire. Cette dépendance ne se corrige pas au moment de la rupture du contrat ; elle doit être prise en compte dès le choix de l’architecture et testée pendant la prestation.

La sécurité est partagée entre fournisseur et collectivité. Le prestataire peut protéger ses centres de données et maintenir la plateforme ; la DSI doit gérer les habilitations, les terminaux, les configurations et les usages de ses agents. L’authentification multifacteur, le chiffrement, la séparation des comptes administrateurs, les mises à jour, la surveillance des configurations et des sauvegardes indépendantes répondent aux risques décrits dans le dossier. Les outils doivent rester assez simples pour éviter que les agents utilisent, faute de solution adaptée, des services personnels non maîtrisés. L’analyse des risques devra être revue lorsqu’un service, un sous-traitant ou un lieu d’hébergement change.

Un arbitrage financier et environnemental, non une économie automatique

La facturation à l’usage donne de la souplesse, mais peut augmenter la dépense. Le cloud évite certains investissements dans les machines et leur entretien. En contrepartie, les abonnements, le stockage, les transferts de données, la migration des applications, les sauvegardes, l’assistance et la sortie du contrat composent le coût réel. Un service dimensionné trop largement ou laissé actif sans utilité peut continuer à être facturé. Les études reproduites dans le dossier montrent que des économies initiales peuvent être absorbées par les coûts de transformation puis par la hausse de la consommation. La DSI doit pouvoir suivre les volumes, affecter les coûts aux services et arrêter les ressources inutiles. Le fonds de compensation pour la TVA ne saurait être utilisé comme hypothèse générale de financement : la réponse ministérielle de 2021 jointe au dossier limite l’éligibilité évoquée aux prestations IaaS définies par les textes, et non à tous les services PaaS ou SaaS.

Le bilan environnemental doit également porter sur l’ensemble du service. Le cloud repose sur des centres de données, des réseaux, des équipements et des consommations d’énergie et d’eau bien réels. La mutualisation et la valorisation de la chaleur peuvent améliorer l’efficacité d’un centre, mais une capacité plus facile à obtenir peut aussi accroître les volumes stockés : c’est l’effet rebond souligné dans le dossier. Le choix entre salle locale rénovée et hébergement externe ne se déduit donc ni d’une promesse de « neutralité carbone » ni d’un indicateur d’efficacité énergétique isolé. Il exige d’examiner le besoin de stockage, la durée de conservation, la fabrication des équipements, les usages réseau et les engagements vérifiables des prestataires. Pour une ville de la taille d’Admiville, la loi de 2021 sur la réduction de l’empreinte environnementale du numérique inscrit en outre le numérique responsable dans les responsabilités territoriales à préparer.

En définitive, les incidents de la salle informatique justifient une étude sérieuse du cloud, mais pas une migration indistincte. L’intérêt du dispositif sera établi si chaque application trouve un niveau adapté de disponibilité, de protection et de réversibilité, à un coût maîtrisé et avec une charge environnementale examinée. La DSI conserve dans tous les cas une fonction centrale : choisir les services, organiser leur continuité et contrôler ce que la collectivité confie à autrui.