ROMAIN HENNION HUBERT TOURNIER ÉRIC BOURGEOIS Cloud computing Décider Concevoir Piloter Améliorer Groupe Eyrolles, 2012, ISBN : 978-2-212-13404-9
Avant-propos Cloud computing : du buzz aux perspectives métier On parle beaucoup du cloud computing, ce concept qui consiste à déporter sur des serveurs distants des traitements informatiques habituellement effectués en local, en les gérant via un navigateur web. Mais peut-on réellement le considérer comme une solution d avenir? Ou n est-ce qu une supercherie marketing, comme l a affirmé Richard Stallman, le pape du logiciel libre? Pour être sincères, nous pensions au début que le cloud n était qu un nouveau terrain de jeu pour les décideurs et consultants informatiques que nous sommes. C est lorsque nous avons compris qu il s inscrivait dans une démarche de services (moyen de créer de la valeur pour le client) et qu il était en passe de modifier tout l écosystème informatique, que nous avons décidé d écrire cet ouvrage. À nos yeux, il s agit en réalité d un changement radical de paradigme dans la manière dont la puissance de calcul est produite et consommée. Cette transition est profonde, inévitable et irréversible. Beaucoup d acteurs seront perturbés et entraveront cette évolution, par ignorance ou par crainte de perdre leurs acquis. D autres sauront en saisir les opportunités. Certes, ils devront essuyer les plâtres et s accommoder des services proposés par les fournisseurs de cloud, mais ils détiendront un avantage concurrentiel indéniable. Dans le contexte actuel d incertitude économique, la stratégie des entreprises oscille entre recherche de croissance et efficience opérationnelle. Bien entendu, cette stratégie concerne également les systèmes d information, ce qui amène les DSI à se lancer dans des opérations de réduction des coûts de production informatique. Mais en fin de compte, les décideurs attendent des technologies, dont l informatique, qu elles contribuent à relever les défis précités (croissance, efficience), notamment par la conquête de nouveaux clients et la fidélisation des clients existants. Nous allons vous montrer dans cet ouvrage que le cloud computing répond favorablement à ces perspectives. VII
Cloud computing Le cloud, oui mais comment? 1. Gartner, «Executive Summary: Amplifying the Enterprise: The 2012 CIO Agenda» 2. Gartner, «Executive Summary: New Skills for the New IT» Pour répondre à l ensemble des attentes du métier, les DSI doivent en priorité contribuer à la croissance de l entreprise, à l expérience utilisateur et à la réduction des coûts de production 1. C est pourquoi ils se tournent vers les solutions d analyse et de business intelligence, les technologies mobiles et les solutions de cloud computing. Selon une étude du Gartner parue en novembre 2011 2, la moitié des DSI envisagent ainsi de migrer leurs applications et leur infrastructure vers le cloud computing au cours des quatre prochaines années. La question «Pourquoi le cloud?» ne se pose donc plus pour tout le monde. D autant que le cloud computing touche tous les domaines : solutions de collaboration, de gestion de la relation client, de gestion des finances et des ressources humaines, d accès, d analyse et de fourniture des données, d applications de productivité bureautique et de gestion de la chaîne logistique La véritable question serait alors plutôt : «Comment gérer un projet de cloud pour que le métier en tire toute la valeur attendue?» De nouveaux business models Par sa portée et les enjeux associés, l impact du cloud computing sur l entreprise et les services informatiques est très significatif. Tout comme les modèles de fourniture et de tarification de ces services, les usages technologiques évoluent et de nouveaux business models apparaissent. Comme le prédisait Nicholas Carr dans son article «IT Doesn t Matter» (Harvard Business Review, 2003), nous assistons à une «commoditisation» des services informatiques, au même titre que l eau, le gaz, l électricité ou le téléphone. Illustrons ce concept par une image très simple : supposez que pour vous fournir en électricité, vous deviez construire une centrale nucléaire et que chaque foyer doive construire sa propre centrale. Il est beaucoup plus commode de construire une centrale pour des milliers de foyers, que chacun d entre eux s y raccorde et ne paie qu en fonction de sa consommation. C est tout simplement le but du cloud computing : réduire les barrières à l entrée pour les services informatiques, en les démocratisant et en les rendant accessibles à un maximum d utilisateurs et de clients. De cette manière, le client dispose d un accès rapide à des services jusqu à présent réservés aux grandes entreprises, et contrôle mieux ses dépenses informatiques, puisqu il n a plus besoin d acheter une infrastructure complète, des serveurs ou des services de stockage. Il accède à des ressources partagées et ne paie que ce qu il consomme. Certains qualifient le cloud de simple évolution technologique : nous pensons que d un point de vue métier, il s agit bien d une petite révolution. VIII
Avant-propos Périmètre de l ouvrage Ce livre, qui s appuie sur nos retours d expérience, notamment au Groupement des Mousquetaires Intermarché, met l accent sur les problématiques de décision, conception et gouvernance (pilotage, création de valeur et conformité) des solutions de cloud computing. Il ne s agit donc pas d un ouvrage technique. Nous utiliserons le cadre méthodologique développé par Pierre-Frédéric Rouberties du Ceisar (http://www.ceisar.fr) pour la formation diplômante «Executive Certificate Architecture et Cloud Computing» de l École Centrale Paris (http://www.cf.ecp.fr). Au sein de ce modèle, nous examinerons les meilleures pratiques de gouvernance IT, de gestion de projets et de services. L ouvrage se compose de quatre parties. La première définit ce qu est le cloud computing en décrivant son contexte et ses enjeux. La deuxième présente un modèle d évaluation et de décision. La troisième apporte des réponses à propos de la conception et du déploiement des services de cloud computing. Nous nous référons aux meilleures pratiques de gestion de projets et de services informatiques. La quatrième et dernière partie porte sur le pilotage et l amélioration continue des services de cloud computing. Nous développerons notamment des tableaux de bord (Balanced Scorecards) adaptés au cloud. À propos des auteurs Romain Hennion Romain Hennion est directeur gouvernance chez Global Knowledge (Formation & Conseil). Il est par ailleurs coresponsable pédagogique de l Executive Certificate Architecture et Cloud Computing de l École Centrale Paris. Il enseigne également au Cnam et à l Edhec. Romain Hennion a accompagné plusieurs entreprises du CAC 40 dans la mise en œuvre des meilleures pratiques : gestion de services, gestion de projets, gouvernance IT, mesure et amélioration de la performance, tableaux de bord, etc. Il est ingénieur Arts & Métiers et titulaire du MBA de l université Paris Dauphine. Il est également certifié ITIL ExpertV3, Prince 2 Approved Trainer et CobiT. IX
Cloud computing Hubert Tournier Après une carrière dans le service et le conseil informatiques, dont dix ans passés au sein du Cabinet Deloitte à travailler sur les thématiques de sécurité et de gouvernance des systèmes d information, Hubert Tournier a rejoint en 2009 le Groupement des Mousquetaires, où il occupe les fonctions de directeur du conseil et d adjoint du directeur de l organisation et des systèmes d information. Il est par ailleurs impliqué dans de nombreuses associations professionnelles traitant des systèmes d information : vice-président de l AFAI (Association française d audit et de conseil informatiques), trésorier de l Ae-SCM (Association pour la promotion des bonnes pratiques de sourcing), membre du Cigref (Club informatique des grandes entreprises françaises). Il donne également des cours à l université Paris Dauphine, l IAE de Paris et l EICNAM. Au-delà des travaux sur le cloud computing menés avec ces trois associations, il a eu l occasion de concevoir et de mettre en œuvre pour ses clients métier une solution IaaS/SaaS open source dénommée HeV (http:// www.projet-hev.org/fr), de les accompagner sur l étude et parfois la mise en œuvre de multiples solutions SaaS, d accompagner les équipes d exploitation informatique dans la sélection et la mise en œuvre d une solution PaaS destinée aux fonctions d études. Il est enfin membre du comité consultatif du projet de cloud computing CompatibleOne (http://www.compatibleone. org), porté par le pôle de compétitivité Systematic Paris-Region. Éric Bourgeois Depuis 18 ans, Éric Bourgeois a participé à la mise en place de plans de reprise d activité pour de grands groupes financiers internationaux. Par ailleurs, il assiste ses clients dans la mise en place de projets PaaS et IaaS pour des projets nationaux et européens. Plusieurs de ces projets sont devenus des références internes chez ces clients. Après une première création d entreprise en 1997, il se lance en 2009 dans l activité de conseil et de formation sur les produits VMware. En 2011, il reçoit les VMware Education Awards pour la région EMEA pour la diversité des cours enseignés. Éric Bourgeois est également certifié ITIL V3, VMware VCP, VCI et VCAP-DA. X Hennion Livre.indb 10 14/08/12 07:42
Table des matières Partie I Concepts et enjeux du cloud computing Chapitre 1 Qu est-ce que le cloud computing?.............................. 3 D où viennent les nuages?..................................... 3 Comment définir le cloud computing?........................... 6 Trois modèles de services..................................... 13 Quatre modèles de déploiement............................... 17 Cinq caractéristiques fondamentales............................ 21 Chapitre 2 Quels sont les impacts du cloud computing sur les services informatiques?......................................................... 25 Une nouvelle perception des SI................................ 25 Un changement de paradigme pour les DSI...................... 27 Sur la route de la banalisation des SI?.......................... 31 Un mouvement vers le 100 % services........................... 35 En conclusion............................................... 37 Chapitre 3 Qu apporte le cloud computing à l entreprise?................... 39 Le contexte................................................. 39 Un mouvement d adoption progressif........................... 40 Quatre grands avantages pour l entreprise....................... 42 Trois sources de création de valeur.............................. 43 Chapitre 4 Quels sont les risques du cloud computing?..................... 53 Les grandes catégories de risques.............................. 54 La sécurité : le talon d Achille du cloud.......................... 59 XI
Cloud computing Partie II Décider Chapitre 5 La gestion de portefeuille de projets............................ 75 Le rôle d un portefeuille de projets............................. 76 Les questions à se poser pour tout projet de cloud................ 80 Le classement des projets de cloud............................. 85 Chapitre 6 Les critères d éligibilité d une solution de cloud computing......... 89 Six indicateurs de comparaison................................ 89 Quatre facteurs critiques de succès............................. 95 Les risques : positifs ou négatifs?.............................. 97 Chapitre 7 La gouvernance d un projet de cloud computing................. 103 La gouvernance informatique................................. 103 Quelle gouvernance pour le cloud computing?.................. 110 Gouvernance et sécurité...................................... 113 Chapitre 8 Quel fournisseur de cloud computing choisir?................... 117 La classification du Gartner................................... 117 La typologie de l OpenCrowd................................. 120 Panorama de l offre existante................................. 121 Partie III Concevoir Chapitre 9 Le business case d un projet de cloud computing................ 139 À quoi sert un business case?................................ 139 Le scénario métier.......................................... 141 Les bénéfices non financiers.................................. 145 Les bénéfices financiers...................................... 146 Les différentes méthodes de calcul des bénéfices financiers....... 150 Les risques................................................ 156 Chapitre 10 Les contrats de service de cloud computing.................... 163 La conception d un contrat................................... 163 La gestion d un contrat...................................... 164 Les différents types de contrats............................... 166 Un modèle de contrat type................................... 166 Les indicateurs de performance des contrats.................... 170 La conformité et le suivi des contrats.......................... 173 XII
Table des matières Les précautions à prendre sur un contrat....................... 174 Cloud computing et externalisation............................ 176 Chapitre 11 Architecture et virtualisation................................ 179 Un empilement de couches spécifique au cloud.................. 179 La composition des services de cloud.......................... 180 Cloud et SOA............................................... 187 La virtualisation, le cœur du cloud computing................... 188 Comment fonctionne la virtualisation?......................... 190 Les applications de la virtualisation............................ 194 Les avantages de la virtualisation.............................. 197 Les limites de la virtualisation................................ 201 Partie IV Piloter et améliorer Chapitre 12 Le pilotage des services de cloud computing................... 205 Des indicateurs inappropriés.................................. 206 Des frais de pilotage élevés................................... 209 Un appel aux meilleures pratiques............................. 210 Tableaux de pilotage et indicateurs............................ 212 Chapitre 13 L optimisation des services de cloud computing................ 221 La notion de valeur.......................................... 221 Les tableaux de bord de la performance........................ 224 L échelle de maturité........................................ 227 Du BSC standard au BSC spécifique au cloud.................... 229 Index......................................................... 233 XIII
Chapitre 3 Qu apporte le cloud computing à l entreprise? la redéfinition du périmètre de la DSI : c est un point controversé, avec ses adeptes et ses détracteurs. La migration des services informatiques vers des prestataires de cloud permettrait-elle à l entreprise de se concentrer sur son cœur de métier? Figure 3-1 : Les principaux avantages du cloud pour l entreprise. Trois sources de création de valeur Pour présenter l ensemble des avantages d une démarche de cloud, nous allons nous appuyer sur les meilleures pratiques de BPM (Business Process Management), qui distingue trois dimensions. Figure 3-2 : Le BPM nous sert de base pour apprécier la valeur des solutions de cloud. 43
Partie I Concepts et enjeux du cloud computing La dimension métier : le métier s inscrit dans une démarche pure de création de valeur, pour l ensemble des parties prenantes, notamment les clients. Chaque projet doit soutenir les buts et objectifs de l entreprise : croissance, amélioration de la performance (efficience et efficacité), recherche de l innovation, satisfaction des clients, etc. Cette approche favorise également l adaptation rapide de l entreprise et l agilité nécessaire pour répondre aux demandes des clients, voire les créer. La dimension transformation : elle contribue au principe de création de valeur grâce à des activités appelées processus. Un processus est un ensemble structuré d activités, avec des objectifs de transformation d entrées en sorties, qui est mesuré par des indicateurs de suivi et de performance. Pour définir, gérer et exécuter ces activités, des rôles sont attribués. La transformation constitue le savoir-faire d une entreprise, son «élixir magique». Plus elle est efficace, plus la valeur est grande. Cette démarche fait référence à des auteurs phares du management et de la qualité comme Deming, Juran, Shingo Crosby et Peters, ou encore à des méthodes comme Lean et Six Sigma. La dimension opérationnelle, ou management : c est la mise en œuvre des hommes et des ressources. C est le travail au quotidien. Avantages au niveau de la stratégie Au niveau de la stratégie, de nombreuses entreprises s appuient sur le cloud pour alimenter de nouvelles stratégies commerciales et chercher des sources d avantage concurrentiel. L optimisation des ressources et les économies d échelle augmentent en théorie les marges. L impact du cloud sur la stratégie se manifeste notamment par la création de nouveaux business models, qui affectent tout l écosystème de l entreprise. L enjeu consiste à disposer des bonnes informations pour prendre les bonnes décisions. Cela passe par la mise en relation, le partage et la combinaison de l ensemble des actifs stratégiques de l organisation. Pour l heure, les DSI sont limitées par les capacités techniques des solutions de cloud, notamment en termes de sécurité des informations et de portabilité des données. Néanmoins, la direction générale s interroge sur l ensemble des opportunités stratégiques que les solutions de cloud pourraient apporter à l entreprise. Qui aurait pu penser qu un grand transporteur aérien migre sa solution de gestion de la relation clientèle vers Salesforce (voir chapitre 5)? Comme souvent, ce sont les solutions à usage personnel qui permettent au marché de se façonner et de s orienter. Par exemple, les solutions de webmail, comme Gmail de Google ou Me d Apple, ont ouvert des perspectives très intéressantes pour les entreprises. Autre exemple autour de la musique en ligne, l offre icloud d Apple propose une fonction appelée 44
Chapitre 3 Qu apporte le cloud computing à l entreprise? «itunes Match», qui permet de stocker l ensemble de sa musique et de ses vidéos dans les nuages, et d y accéder à partir de n importe quelle plate-forme. Pour que ces services voient le jour et soient appréciés du marché professionnel, il faut donc qu ils s inscrivent dans une démarche de standardisation, d élasticité et d ubiquité (autrement dit qu ils soient accessibles à partir de tout type de plate-forme : PC, tablettes, smartphones...). L analyse des données (notamment à très grande échelle, voir le Big data) constitue également un domaine dans lequel les solutions de cloud sont très innovantes. Ainsi, Tetrapak, un fournisseur d emballages et de briques alimentaires, analyse des banques de données en provenance d ebay pour détecter les tendances de consommation. C est également l esprit de la solution Web Content Management d Adobe, classée comme leader par le Gartner dans ce domaine éponyme, qui propose tout un ensemble d outils d analyse marketing sur la fréquentation d un site web, pour mieux identifier et modéliser les comportements des visiteurs et des acheteurs. Avantages au niveau des fonctions et des processus métier Au niveau des processus et des fonctions métier, les entreprises cherchent avant tout la performance, le partage des ressources (afin d accéder à des services auxquels elles ne pouvaient pas prétendre auparavant), une collaboration plus étroite, davantage d intégration, ainsi qu une meilleure coordination interprocessus. Or les solutions de cloud computing favorisent la coordination des processus et des fonctions du métier. D ailleurs, certains des plus grands succès du cloud computing concernent à ce jour des solutions de collaboration, qui permettent aux groupes et aux communautés de travailler ensemble de manière innovante. On peut citer l exemple des entreprises qui ouvrent leurs systèmes à leur clientèle en proposant des services de calendriers en ligne : le client d une banque peut ainsi fixer un rendez-vous avec son conseiller clientèle en fonction des plages disponibles. Les solutions de Social Business Software, ou de collaboration pour l ensemble des acteurs de l entreprise, offrent également des perspectives intéressantes. Le cabinet de conseil CSC a par exemple déployé ce genre de solution pour ses 90 000 collaborateurs. Lors de la première expérience qui a duré 20 semaines, plus de 25 000 personnes se sont inscrites à cette solution de collaboration cloud, appelée C3 et éditée par Jive. Ils ont créé plus de 2 100 groupes et géré jusqu à 150 000 activités par mois. Ces résultats encourageants ont convaincu l entreprise d adopter la solution C3 de façon permanente. Autre exemple, Expensify est une solution de cloud SaaS qui permet de gérer les dépenses et les tickets de caisse de toute une entreprise. Ce service est accessible depuis tous les types de plates-formes (tablettes, smartphones, client léger, etc.). 45
Partie I Concepts et enjeux du cloud computing Nous ne disposons pas d étude fiable sur l impact de la mise en œuvre de solutions de cloud sur la performance des processus. Les éditeurs avancent des délais de commercialisation qui peuvent être réduits de 30 à 50 %. Lorsque nous évoquons les avantages que procurent les solutions de cloud computing, nous pensons immédiatement aux aspects opérationnels de réduction des coûts ou d espace. Mais les DSI perçoivent également des bénéfices au niveau de la transformation des processus. Il existe notamment sur le marché des solutions de messagerie ou de communication cloud très performantes. D autres services permettent également de conduire des transactions financières de manière très rapide, de développer des modèles informatiques plus agiles ou encore de proposer des solutions de vente qui s adressent de manière beaucoup plus directe au client. Quelques réserves Toutefois, la transformation des processus reste un point critique pour de nombreuses entreprises. Par expérience, nous savons que les entreprises éprouvent des difficultés à améliorer leurs processus car elles peinent à les définir. En outre, en dépit des efforts conjoints du métier et de la direction informatique, beaucoup sont encore pénalisées par des technologies vieillissantes ou des structures de données qui sont incompatibles entre elles. Grâce au cloud computing, les entreprises pourront désormais s inscrire dans une démarche de standardisation des applications, des formats de données, des plates-formes de développement et d exploitation, ce qui contribuera à la mise en œuvre de processus métier efficaces. Ceux-ci favoriseront le partage d information, l accès universel depuis tout type de plate-forme (notamment les tablettes et les smartphones) et la collaboration. Pour aller dans le sens de cette démarche, nous vous conseillons l approche de type catalogue de services, comme celle du référentiel ITIL. Ainsi, l entreprise dispose de toute une panoplie de composants prêts à l emploi pour mettre en place et améliorer rapidement ses processus métier. Retour d expérience Vers des solutions SaaS intégrées Dans le secteur de la grande distribution, la DSI du Groupement des Mousquetaires a constaté, contre toute attente, un taux de recouvrement de près de 95 % entre sa cartographie fonctionnelle et les offres SaaS du marché. Certes, ces différentes offres ne sont pas toutes adaptées au marché français et ne sont pas intégrées les unes aux autres, mais leurs fournisseurs annoncent y travailler pour se présenter comme point de contact unique aux yeux du client en couvrant des processus entiers de l entreprise. 46
Chapitre 3 Qu apporte le cloud computing à l entreprise? Avantages opérationnels Les principaux avantages opérationnels qu offre une solution de cloud computing concernent la baisse des coûts de production des services informatiques, grâce à la disponibilité et l élasticité des ressources informatiques, ainsi qu à des systèmes de facturation portant sur la consommation réelle de services, par opposition aux systèmes de forfaits (pour lequel le client paie, même s il ne consomme rien). Les DSI estiment qu ils pourraient réaliser des économies de 10 à 50 % sur ces coûts de production. Il s agit en outre de commercialiser plus rapidement de nouvelles applications et d accélérer leur mise à jour. Les petites et moyennes entreprises, de même que les start-ups, ont très vite adopté les solutions de cloud computing. Elles ont rapidement compris les avantages qu elles pouvaient en tirer en termes d économies d échelle et d agilité : le cloud leur offre l accès à des prestations en libreservice et le partage d équipements et de ressources, ce qui leur permet d utiliser des services réservés jusqu à présent aux grandes entreprises. Les grandes entreprises, elles, sont toujours plus réticentes dès qu il s agit d adopter des nouvelles technologies. Mais elles commencent à entrevoir l avantage concurrentiel qu elles peuvent tirer des solutions de cloud, notamment en termes de performance, d efficacité et d efficience. Les entreprises industrielles traditionnelles s appuient sur des modèles scientifiques de l organisation du travail. Ces modèles sont optimaux lorsqu il s agit de faire fonctionner des machines ensemble. Or, les sociétés de services reposent sur la production de prestations par les hommes et pour les hommes. Dans ce contexte, l organisation scientifique du travail ne peut plus s appliquer. Mais rappelons que Taylor considérait l être humain comme le prolongement de la machine. Il s agit donc de remettre l homme au centre de la production de services et de prendre en compte les dimensions sociales, psychologiques et culturelles des entreprises. Différents types d avantages Nous avons synthétisé dans le tableau suivant les différents types d avantages opérationnels qu apporte le cloud : réduction des coûts opérationnels, des logiciels, du matériel et optimisation de la puissance de calcul. La réduction des coûts de production : la grande promesse des fournisseurs L argument phare des fournisseurs de services de cloud est la réduction des dépenses d investissement. Cette démarche est particulièrement significative pour les petites et moyennes entreprises qui doivent dégager le maximum de liquidités pour leurs opérations quotidiennes, et où toute 47
Partie I Concepts et enjeux du cloud computing réduction des dépenses d investissement est donc la bienvenue. Il s agit de passer d un modèle de services de type Capex à un modèle de type Opex. Tableau 3-1 : Synthèse des avantages opérationnels Réduction des coûts opérationnels Réduction des coûts logiciels Réduction des coûts matériels Optimisation de la puissance de calcul Dans un environnement de cloud computing, les ressources nécessaires pour le MCOP (Maintien en Conditions OPérationnelles, ou simplement la maintenance) sont fortement réduites. Au lieu de perdre son temps à poser des rustines, le personnel informatique peut mieux se concentrer sur la conception et l amélioration des fonctionnalités des solutions informatiques, tandis que le DSI peut davantage se pencher sur la transformation de l entreprise. En adoptant cette attitude, les organisations informatiques deviennent plus stratégiques pour le métier. Le cloud favorise le développement de solutions applicatives de collaboration, de messagerie ou de réseaux sociaux. Il propose des déploiements de nouvelles applications plus rapides, en les ajustant à la hausse ou à la baisse en fonction de la consommation ou du nombre d utilisateurs. En outre, la maintenance et les mises à jour sont gérées par le fournisseur, ce qui contribue en théorie à la réduction des coûts d exploitation. La plupart des entreprises clientes souhaitent bénéficier de l efficacité des services de cloud, mais il n est pas toujours aisé de comparer leurs différentes offres car les indicateurs de performance ne sont pas les mêmes d un fournisseur à l autre. En jouant sur la standardisation et les économies d échelle, les fournisseurs de services de cloud atteindront plus rapidement un meilleur équilibre entre les exigences des clients et la production de services à faibles coûts. Des technologies comme la virtualisation des serveurs apportent beaucoup dans ce contexte. Bien qu il s agisse d une promesse, restez par expérience vigilants à propos des contrats que vous signez avec un prestataire. Il faudra veiller aux indicateurs de performance utilisés, afin de ne surtout pas payer des ressources matérielles que vous ne consommez pas. De même, il ne faudra pas vous laisser imposer des contrats à trop long terme qui vous «verrouilleraient» avec un fournisseur. Les fournisseurs de IaaS disposent de ressources et de centres de calcul qu ils mettent à disposition de leurs clients. Un client seul n a pas forcément intérêt à acheter autant de ressources, car celles-ci sont très onéreuses et ne sont pas toujours utilisées à 100% de leur capacité. Cette approche permet d absorber les pics de consommation. 48
Chapitre 3 Qu apporte le cloud computing à l entreprise? Autre argument avancé par les fournisseurs : la mise en œuvre plus rapide des services, qui offre trois grands avantages. Elle permet de réduire les coûts de concession et de programmation, mais aussi de tester le déploiement, puisque le client achète une solution prête à l emploi et disponible quasi immédiatement. Le temps gagné en conception, test et déploiement se traduit par une réalisation plus rapide des projets et de leurs résultats. Pour l heure, nous ne pouvons dire si ce gain de temps contribue à l augmentation de la valeur totale d un projet. Mais cette démarche permet de diminuer les délais de réalisation et d augmenter ce que les Anglais appellent le Time To Value, c est-à-dire la contribution à la valeur globale pour l entreprise grâce à des temps de conception réduits. La mise en œuvre plus rapide des services réduit le Time To Market, c està-dire le délai de mise en place sur le marché. Toutefois, si tous les concurrents ont accès aux mêmes services cloud, l hypothèse de cet avantage concurrentiel n est plus valable Figure 3-3 : Le simulateur SizingLounge montre qu ici, moins de 20 % de la capacité de calcul des serveurs est utilisée. Donc autant ne payer que la capacité réellement utilisée. D où l intérêt des solutions de cloud qui fonctionne selon le modèle Pay As You Go : vous n achetez que ce dont vous avez besoin, quand vous en avez besoin. 49
Partie I Concepts et enjeux du cloud computing Le troisième argument mis en avant par les fournisseurs est la réduction des coûts de maintenance et de mise à jour. Comme nous le verrons dans le chapitre 9 consacré au business case, cet argument n est pas d une solidité à toute épreuve. Les études sont contradictoires et, avouons-le, nous manquons encore de retour d expérience sur ce sujet. Le dernier argument est un meilleur contrôle du budget informatique. En ces temps de crise, cet argument fait mouche à tous les coups. Lorsque le client migre vers une solution de cloud, il réduit en effet ses investissements en matériels, logiciels, maintenance, etc. Par ailleurs, il optimise l utilisation des actifs informatiques existants. En résumé Le cloud computing offre ainsi des possibilités de création de valeur sur les trois niveaux : métier, processus, opérationnel. Jusqu à peu, la création de valeur s effectuait principalement au niveau opérationnel et portait essentiellement sur la transformation des dépenses d investissement en dépenses opérationnelles, sur la réduction des coûts de production et sur le déploiement plus rapide des solutions. Aujourd hui, les entreprises s intéressent à l impact du cloud sur les deux autres niveaux. Figure 3-4 : Avantages des solutions de cloud sur les trois niveaux : métier, processus et management. 50
Chapitre 3 Qu apporte le cloud computing à l entreprise? Retour d expérience Comment une DSI intègre-t-elle les offres cloud du marché? Les dirigeants des supermarchés tombent encore rarement sur des articles traitant du cloud computing dans leur presse spécialisée. Ce sont les fournisseurs qui viennent leur parler du sujet en essayant de leur vendre des solutions SaaS : ils préfèrent en effet s adresser directement aux dirigeants et aux métiers, plutôt qu aux DSI, toujours susceptibles de poser des questions dérangeantes. Ainsi, les DSI se retrouvent en concurrence avec des fournisseurs externes sur l hébergement, l administration et le support des applications. Ils sont alors interpellés par leurs clients internes sur la rapidité de mise à disposition des solutions et la justification de leurs coûts. Le cloud computing : une opportunité ou une menace pour les DSI? Le cloud, étudié et proposé par la DSI, est une opportunité pour aider les métiers à mettre encore plus rapidement sur le marché leurs produits et leurs offres. En revanche, mis en œuvre par les métiers en court-circuitant la DSI, c est une menace à la fois pour la DSI, qui voit son activité décroître du fait de cette concurrence externe, et pour les métiers, qui se privent de son expérience pour traiter avec des fournisseurs qu ils n ont pas l habitude de pratiquer. La standardisation par le cloud computing? Pour les besoins de gestion où les entreprises ont un potentiel de différenciation faible, la standardisation apportée par les solutions SaaS est perçue comme une opportunité intéressante par les DSI. En effet, le modèle économique des éditeurs, qui repose sur la massification (coût/volume), les conduit à ne pas accepter de développements spécifiques pour leurs clients au-delà des possibilités de paramétrage embarquées. C est un réel contraste avec la personnalisation à outrance des progiciels de gestion intégrés (ERP), dont beaucoup de DSI ont subi les effets pervers : dépendance par rapport aux fournisseurs et intégrateurs, transplantation (à prix d or!) des spécifiques dans les nouvelles versions des progiciels sans réelle valeur ajoutée pour les métiers, etc. Dans un monde où les mouvements de cession ou d acquisition d entreprises ou d activités sont devenus permanents, cette standardisation est devenue un gage d agilité particulièrement précieux! 51
Partie I Concepts et enjeux du cloud computing Les offres externes de cloud computing sont-elles plus performantes en termes de rapidité, de mise à disposition et de coûts? Les solutions SaaS sont indéniablement plus rapides à mettre à disposition que des solutions maison reposant sur un développement spécifique ou une intégration (sans parler des travers de la personnalisation des progiciels évoqués ci-dessus). En effet, entre acquérir une solution déjà prête et y migrer ses données, ou bien se lancer dans l aventure d un projet SI dont la durée se chiffrera classiquement en (dizaines de) mois, avec tous les risques de dérapages associés (fonctionnels, budgétaires et surtout en termes de délais), comme on dit, «il n y a pas photo»! C est un peu moins vrai avec les solutions IaaS/PaaS, qui sont beaucoup plus rapides que les circuits d approvisionnement, d architecture et d installation traditionnels de la DSI, mais que cette dernière peut également adopter (cloud computing privé) pour faire au moins aussi bien que les offreurs externes. En d autres termes, il n y a pas de barrière à l entrée pour redevenir compétitif face aux solutions IaaS/PaaS. En revanche, avec le SaaS, celui qui dispose de la solution «sur étagère» dont les métiers ont besoin aura toujours une longueur d avance sur celui qui devra bâtir une solution. Concernant les coûts, d après notre expérience, les choses sont beaucoup moins favorables au cloud computing qu on ne le dit. Avec le Saas, tout dépend du degré de mutualisation atteint par le fournisseur. Sur des solutions métier, nous avons pu mesurer un rapport de 1 à 4 entre le coût complet d une solution spécifique et celui d une solution SaaS, en faveur de la solution spécifique! Cela s explique simplement par le fait que la solution spécifique propose le «juste nécessaire», là où un progiciel (rapport 2) valorise des fonctionnalités supplémentaires que l entreprise pourrait potentiellement utiliser, et où la solution SaaS est souvent la même solution progicielle avec un travail supplémentaire d hébergement et d exploitation à la charge de l éditeur (rapport 4). Plus ce dernier aura de clients, plus il pourra écraser ces coûts, mais l ensemble des traitements à gérer par notre DSI est souvent plus élevé que l ensemble des références cumulées de certains éditeurs reconvertis au SaaS. Avec le IaaS, on trouve des ressources informatiques peu chères, à condition de les utiliser de façon transitoire. Lorsqu on multiplie les microscopiques unités de facturation proposées par des quantités annuelles, on est souvent surpris du résultat! Il faut croire que tout le monde ne fait pas encore ces multiplications. 52
Partie III Concevoir Les différents types de contrats ITIL propose trois catégories de contrats : SLA orienté service, SLA orienté client et SLA multiniveau. Ce classement est important, car il permet de faire la distinction entre le même service (ou contrat) proposé à plusieurs clients, et le cas du client qui rassemble au sein du même contrat différents services. SLA orienté service Dans ce contrat, le même service est proposé à tous les clients. Par exemple, un service de messagerie ou de voix sur IP. Ce type de contrat est très fréquent dans le cloud computing, car les fournisseurs proposent des services standards à leurs différents clients. SLA orienté client Le fournisseur signe un seul et unique contrat avec son client, qui couvre tous les services qu il utilise. Certains clients apprécient ce type d accord, car toutes leurs exigences sont ainsi consignées dans un seul document. SLA multiniveau Il s agit d un contrat complexe qui comprend aussi bien la description des services à fournir que le système de gestion des services. Ce type de contrat est privilégié lors des partenariats stratégiques entre le client et le fournisseur, par exemple dans le cadre d un GIE (Groupement d intérêt économique). Un modèle de contrat type Nous vous présentons ici un modèle de contrat pour un service de cloud computing. Voici tous les points qui doivent être mentionnés au sein du contrat. Le périmètre Le service X consiste à... (description complète incluant les fonctions métier, les livrables et toutes les informations décrivant le service et son périmètre, son impact, ses priorités pour les métiers). Les horaires du service Il s agit de définir des horaires pendant lesquels le service est disponible pour les utilisateurs (par exemple, 7 j/7, 24 h/24, 365 j/an, de 8 h à 18 h, du lundi au vendredi, etc.), ainsi que les conditions spéciales (week-ends, jours fériés, vacances, etc.). 166
Chapitre 10 Les contrats de service de cloud computing La disponibilité du service Le fournisseur s engage sur un taux de disponibilité du service pendant les horaires du service définis (par exemple, le service est disponible à 99,5 % pendant les horaires d ouverture du service). Il convient de préciser les méthodes de mesure et de reporting retenues. Ne confondez pas le MTTR (Mean Time to Repair, délai moyen de réparation) d un composant et le MTBF (Mean Time Between Failure, délai moyen de fonctionnement) d un service (voir le tableau 10-1 plus loin). Par exemple, si le serveur est réparé en trente min, mais a besoin de 3 h pour se reconnecter à toutes les bases de données, le service sera alors considéré comme indisponible durant 3 h 30 par l utilisateur. La fiabilité Il s agit du nombre maximal de ruptures de services qui sont tolérées sur la plage de service (par exemple, 4 par an). Certains fournisseurs proposent des contrats dont la disponibilité est exprimée sous forme de MTBF. Par exemple, le fournisseur s engage à 4 h de MTBF par mois, pendant les horaires du service définis précédemment. Il convient de bien définir en quoi consiste une rupture de service (totale ou en mode dégradé), ainsi que les méthodes d enregistrement et de reporting. La capacité La capacité s exprime selon les indicateurs du métier. Par exemple, le nombre de bulletins de paie à imprimer par mois, le nombre de connexions simultanées à un ERP, etc. Le support client Dans le modèle, il faut décrire la manière dont le centre de support (Service Desk) peut être contacté, et préciser ses horaires d ouverture. Il faut également mentionner comment le joindre en dehors de ces horaires d ouverture (e-mail, assistance tiers). Vous pouvez indiquer les systèmes d assistance en ligne, de base de connaissances, etc., ainsi que la manière dont l utilisateur peut enregistrer une demande ou la déclaration d un dysfonctionnement depuis un logiciel d assistance en ligne. D autres éléments, tels que le type de demande traitée, le temps d attente maximal avant qu une personne prenne en charge l appel, les moyens de suivi (appel de l utilisateur, passage sur site, etc.) peuvent enfin être définis. Les objectifs de délai de résolution des incidents Les délais de résolution d incidents dépendent de la classification de ces derniers en termes de priorité, d impact et d urgence. Pour définir les objectifs en termes de délais, décrivez précisément les dysfonctionnements qui affectent partiellement ou complètement le service, ainsi que les niveaux de criticité, la fréquence et le contenu du reporting. 167
Partie III Concevoir L efficacité et la performance des services Il s agit de la réactivité des services (temps de réponse, seuils de validation ou d invalidation des objectifs), exprimée en millisecondes, en nombre de transactions par heure, etc. Évitez les contrats vaporeux du type «Le fournisseur s engage à livrer des services de hautes performances», car cela ne veut rien dire. Soyez factuel dans les contrats : tout temps de réponse de plus de n secondes, sur une période de n minutes, doit être reporté immédiatement au centre de support. Vous pouvez également faire appel au processus de gestion des événements d ITIL (Request Fulfilment), qui génère automatiquement des tickets dès qu un seuil de performance n est pas respecté. La gestion des changements Le fournisseur de services de cloud computing est en charge des logiciels, des plates-formes et des infrastructures. Il est responsable des mises à jour et de la mise en production de nouvelles versions si elles s avèrent nécessaires. Comment communique-t-il l indisponibilité des services due à des opérations de maintenance (PSO, Projected Service Outage)? Quand peut-il le faire? Quelle est sa responsabilité si le changement et la mise en production qui en résulte impactent votre business? La continuité du service Quels sont les plans de restauration et de reprise (DRP, Disaster Recovery Plan)? À quel moment et sous quelles conditions sont-ils lancés? Qui donne l ordre de lancer le plan? Quelles sont les responsabilités spécifiques de chacun des acteurs (sauvegarde de données, stockage séparé du site de production)? Tous ces points doivent être abordés par le contrat. La sécurité De même, ces questions de sécurité doivent être posées : quelles sont les politiques de sécurité? comment les accès (mots de passe, intrusions, autorisations, etc.) sont-ils gérés? L évolution des contrats Le contrat doit également inclure une mention sur la manière dont l engagement client-fournisseur peut évoluer. Si le client souhaite modifier le contrat (passer de 300 à 600 utilisateurs, par exemple), il doit savoir qui contacter, comment s y prendre, et sous quelles conditions. Les tarifs Le contrat doit détailler les formules, les politiques et les méthodes de facturation. En outre, même si ce n est pas une obligation mais une pratique courante, il peut mentionner les pénalités et les bonus, leur mode de calcul et de versement. 168
Chapitre 10 Les contrats de service de cloud computing Le monitoring et le reporting Enfin, le contrat fait l objet d un suivi. Comment sont effectués le monitoring et le reporting? Quel est le contenu des rapports? Quels sont les indicateurs de performance et de résultats (Key Performance Indicators ou KPI, Key Goal Indicators ou KGI)? Qui effectue les mesures? Comment les décisions d amélioration sont-elles prises suite aux informations produites par le reporting? Comment sont-elles mises en œuvre? Glossaire, sigles et abréviations Pour favoriser l échange entre le client et le fournisseur et apporter plus de clarté, le contrat pourra contenir un glossaire, ainsi qu une liste explicative d acronymes et d abréviations. Par exemple, l indicateur MTTR signifie-t-il Mean Time to Repair (soit le délai nécessaire pour réparer un composant en panne, du point de vue du fournisseur), ou bien Mean Time To Restore (le délai nécessaire pour que le service soit à nouveau disponible, du point de vue du client)? Retour d expérience Les petites surprises du cloud computing Pas de négociation Les clients qui espèrent pouvoir négocier un contrat avec un fournisseur SaaS comme s il s agissait d un contrat traditionnel se trompent lourdement. Le modèle économique de ces fournisseurs repose sur la massification : le service est vendu tel quel et rarement négociable, notamment avec les géants américains. Mais cela reste possible avec les petits fournisseurs n ayant pas encore beaucoup de clients. Des coûts surprenants Les coûts à l unité d œuvre du IaaS paraissent très attractifs : ils sont présentés sur la base de quelques centimes pour des unités de temps ou de consommation limitées. Mais il faut toujours étudier les coûts sur le moyen terme, car ils peuvent vite devenir exorbitants. Dans le cas d une machine virtuelle (VM), par exemple, pour laquelle l allocation des ressources est établie à son démarrage, celle-ci peut revenir aussi cher qu une machine physique sur le moyen terme. Contrairement à ce qu on pourrait croire, la facturation dépend moins de l usage que des ressources initialement allouées. La seule unité d œuvre réellement dynamique est la consommation de bande passante, mais elle n est pas toujours le fait d utilisateurs légitimes : on paiera aussi pour le spam et les tentatives d attaques! 169
Partie III Concevoir Des indicateurs de performance incomplets Les fournisseurs de services IaaS ne proposent pas encore les bons indicateurs de performance. Savoir combien on disposera de cœurs de CPU, de mémoire vive et d espace disque est nécessaire mais insuffisant pour garantir la performance d une application hébergée dans le nuage. En multitenancy, pour que l application ne soit pas pénalisée par le comportement de ses voisines, il faudrait que les fournisseurs puissent s engager sur les entréessorties disque et la bande passante réseau mises à disposition. Une sécurité folklorique Pour l heure, les réponses des fournisseurs SaaS sont franchement inquiétantes. Entre ceux qui expliquent que leur application est sécurisée parce que l on y accède en mode SSL, ceux qui disent protéger les données puisqu elles seront dispersées («façon puzzle») aux quatre coins de la planète dans des centres informatiques secrets devant lesquels patrouilleront des maîtreschiens, et ceux qui présentent des certifications de sécurité qui ne sont pas les leurs et sur des périmètres non pertinents, il y a de quoi se faire peur... En revanche, la territorialisation des données, dont parlent beaucoup les juristes, est relativement transparente et ne pose guère de problèmes. Une réversibilité impossible C est généralement un point sensible, les fournisseurs ne tenant pas à voir partir leurs clients. On devrait d ailleurs plutôt parler de transférabilité à un autre fournisseur que de réversibilité vers la DSI, celle-ci ne disposant généralement plus du personnel, des infrastructures, des logiciels et des savoir-faire après l externalisation dans le nuage. Une solution consisterait à obtenir de son fournisseur IaaS des machines virtuelles portables (pas de solution de virtualisation propriétaire) et emportables (récupérables en bloc, à volonté). Pour le Saas, les DSI souhaiteraient une interface en back-office permettant de réaliser l extraction, à n importe quel moment, de l ensemble de leurs données, ainsi que de toutes les informations relatives à leur format. Ce dernier point nécessitant une prestation de mise à jour permanente devrait être formalisé contractuellement. Les indicateurs de performance des contrats Le tableau 10-1 présente un ensemble d indicateurs de performance à intégrer dans les SLA. Il s inspire du livre blanc d IBM intitulé Performance Implications of Cloud Computing. 170