Technologies

Cloud : savoir faire le bon choix

Damien Gillery (Syndex), lors de la Matinée Stratégique « Cloud : de l'achat à la mise en oeuvre » le 5 février 2015 - Photo : Bruno Lévy

Retrouvez cet article dans le CIO FOCUS n°94 !

Cloud : de l'achat à la mise en oeuvre

Si le cloud est devenu une réalité quotidienne dans les entreprises, sa généralisation entraîne de nouvelles problématiques. Tout ne peut pas être externalisé, les besoins en matière de niveaux de service peuvent varier et l'administration des multiples clouds déployés doit être industrialisée....

Découvrir

CIO a organisé une conférence « Cloud : de l'achat à la mise en oeuvre » le 5 février 2015. Sur la table ronde « Mettre en oeuvre le bon cloud au juste prix », deux témoins se sont exprimés : Hubert Tournier, Adjoint DOSI du Groupement des Mousquetaires (STIME), et Damien Gillery, Responsable Systèmes d'Information chez Syndex.

PublicitéLe cloud est certes devenu incontournable dans beaucoup d'entreprises mais il faut toujours se poser la question de sa pertinence. Faut-il vraiment adopter une architecture de type cloud dans son contexte à soi ? Et si oui, quel type de cloud pour quelle partie du système d'information ? C'était le sens des témoignages d'Hubert Tournier, Adjoint DOSI du Groupement des Mousquetaires (STIME) et de Damien Gillery, Responsable Systèmes d'Information chez Syndex. Ils se sont exprimés sur table ronde intitulée Mettre en oeuvre le bon cloud au juste prix sur la Matinée Stratégique Cloud : de l'achat à la mise en oeuvre organisée par CIO à Paris le 5 février 2015.
L'un et l'autre ont fait le choix d'architectures de type cloud dans des contextes et à des moments très différents. Ainsi, la STIME a mis en oeuvre depuis plusieurs années mais avec une obligation de résultat très forte. Le Groupement des Mousquetaires est en effet une fédération de commerçants indépendants sous diverses enseignes et filiales (Intermarché, Bricomarché, Poivre Rouge, 65 usines agroalimentaires...). Les 1000 collaborateurs de la DSI filialisée, la STIME, servent les 150 000 personnes du groupe. Les outils développés à leur bénéfice doivent avoir leur coût justifié. Ils doivent aussi répondre à des problématiques métier totalement critiques, comme absorber les pics de sollicitation de jours chargés comme le samedi.

De droite à gauche : Hubert Tournier (Groupement des Mousquetaires) et Damien Gillery (Syndex), lors de la Matinée Stratégique « Cloud : de l'achat à la mise en oeuvre » le 5 février 2015 - Photo : Bruno Lévy

Bientôt six ans d'expérience en cloud

« Notre première solution de type cloud a été opérationnelle en août 2009 » s'est souvenu Hubert Tournier lors de son témoignage. La STIME a comme particularité une culture de la réalisation interne en ayant des effectifs propres assez élevés : dans le millier de collaborateurs, le cinquième se consacre à l'exploitation. Le groupe dispose de deux datacenters en propre, de deux datacenters loués et de deux autres propres en construction.
Bien entendu, le groupement évite de recourir à des ressources externes puisqu'il dispose en interne de ressources importantes. Mais en 2009, la capacité installée s'est retrouvée saturée face aux besoins. Hubert Tournier précise : « nous n'avions plus de serveurs, de mètres carrés au sol, de capacités énergétiques, etc. » Or les clients internes réclamaient de disposer d'offres « ultra low-cost » à la hauteur des meilleures offres du marché. « Nous devions donc adopter les meilleures pratiques présentes sur le marché voire faire mieux » en déduit Hubert Tournier.
Mais, à cette époque, le cloud n'existait guère. Hubert Tournier soupire : « on en parlait dans la presse, il y avait quelques débuts d'offres de cloudware par-ci par-là, pas grand'chose en open-source... Bref, rien d'opérationnel. » La plupart des projets de l'époque n'ont d'ailleurs pas perduré, même ceux financés partiellement sur fonds publics. Mais les concepts du cloud computing n'étaient pas si compliqués que cela à mettre en oeuvre. La première solution utilisée par la STIME a donc été construite par ses propres équipes. « Notre première solution a été opérationnelle en deux mois de développement, quatre mois après les débuts de définition du projet » pointe Hubert Tournier. Les développements ont ensuite continué jusqu'à l'actuelle quatrième génération. Et les dernières machines virtuelles fonctionnant sous la première génération viennent juste d'être décommissionnées.

PublicitéUne succession de générations de cloud computing

Dans les générations successives, certaines solutions ont été acquises auprès d'éditeurs, « parfois moins bien que ce que nous avions fait en interne » persifle Hubert Tournier. Mais l'automatisation des tâches d'exploitation ne s'est pas faite sans réticences. Or le propre du cloud est, justement, d'industrialiser l'exploitation pour en baisser le coût.
Avec la troisième génération de cloud interne, les dernières réticences ont été balayées par un discours très clair : les gains liés à l'industrialisation devaient être retrouvés. Donc, soit tout était cloudifié en interne, sur les infrastructures propres du groupement et avec le personnel de la STIME, soit le groupement recourrait à des prestations externes. L'heure est à la mise en place d'une quatrième génération. Celle-ci est clairement temporaire. « Ce n'est pas une solution idéale mais, vu les profils de compétences actuellement disponibles, c'est ce que nous pouvons faire de mieux » indique Hubert Tournier. Une cinquième génération est donc envisagée une fois les compétences nécessaires acquises.

Une gestion interne par principe

Si le groupement des Mousquetaires pratique l'intégration verticale dans son coeur de métier avec ses unités agro-alimentaires, la STIME n'est ni une SSII ni un éditeur de logiciels. Au début, la société n'avait guère de choix et, pour réaliser son cloud, elle a dû se débrouiller toute seule. Mais, ensuite, elle aurait objectivement pu basculer sur un mode externalisé.
« Pour réaliser des gains en externalisant, il aurait fallu pousser la logique au bout et se débarrasser des datacenters possédés en interne mais ceux-ci ne valent guère plus, à la revente, que le prix des murs » remarque Hubert Tournier. Et que faire des deux cents collaborateurs s'occupant de l'exploitation ? Enfin, au delà du coût complet de l'opération, il reste à prouver que l'externalisation permette un gain appréciable. Dans de très grandes entreprises, la différence entre les économies d'échelles réalisées en interne et celles d'opérateurs indépendants n'est pas nécessairement significative alors que les opérateurs externes se doivent de réaliser une marge opérationnelle. « En appliquant les mêmes recettes que les meilleurs, on peut faire moins cher, et même beaucoup moins cher, en interne qu'en externalisant, même pour du stockage » observe Hubert Tournier.
En 2009, la question était plutôt de virtualiser le système d'information à la marge mais, actuellement, la question n'est bien sûr plus là. Aujourd'hui, la virtualisation est généralisée avec un gain important en matière de coût. Un nouveau choc de productivité peut être constaté avec le passage au cloud puisque, à la différence de la virtualisation simple, le cloud est totalement industrialisé. Et les environnements ne sont pas nécessairement instanciés en permanence. Hubert Tournier donne l'exemple d'un environnement de recette : « si vous n'avez pas à faire de recette, vous n'êtes pas obligé de maintenir cet environnement instancié, ce qui vous permet de gagner des ressources pouvant être réaffectées à d'autres tâches. » Les ressources ne sont donc activées qu'en cas de nécessité, avec des gains qui ne sont pas seulement de gains sur l'emploi des serveurs mais aussi sur, par exemple, les licences logicielles (notamment les bases de données).

Des gains séduisants mais à prendre avec précautions

Des gains de cette nature ne pouvaient que séduire Syndex. Ce cabinet d'expertise comptable est spécialisé dans le conseil aux instances représentatives du personnel (Comités d'entreprises, CHSCT, etc.). « Nous facilitons le dialogue social dans les entreprises en apportant notre expertise tant économique que dans les conditions de travail, éventuellement lors des PSE [Plans de Sauvegarde de l'Emploi] » précise Damien Gillery, Responsable Systèmes d'Information chez Syndex. Les 420 collaborateurs du cabinet sont implantés dans divers pays européens (Roumanie, Pologne, Espagne...) et une vingtaine de sites en France. Les experts sont par nature mobiles, travaillant entre les agences et les établissements des clients. L'informatique doit donc s'adapter à l'environnement de travail de ces experts très mobiles.
A titre personnel, Damien Gillery s'intéressait au Cloud et a suivi en formation continue un master spécialisé à l'ISEP. Cette démarche s'inscrivait aussi dans une recherche de solution pour Syndex. « Je voulais comprendre vraiment ce qu'était le cloud avant d'y lancer mon entreprise » justifie Damien Gillery. La dimension marketing du concept de cloud n'a d'ailleurs pas échappé à ce DSI. Bien entendu, il est également bien conscient des technologies et bonnes pratiques associées à ce concept.
Autant une entreprise comme le Groupement des Mousquetaires a la dimension pour se poser mille questions autour du cloud externe ou interne, autant les choix pertinents pour une structure telle que Syndex sont beaucoup plus restreints. « Vue notre taille, sans les bâtiments et les équipes, disposer de notre propre cloud privé interne n'aurait tout simplement aucun sens » plaide Damien Gillery.
Bien entendu, Syndex dispose d'un ensemble de serveurs constituant un petit datacenter interne, virtualisé et avec un peu d'orchestration. Damien Gillery tempère : « virtualiser et mettre en oeuvre un minimum d'orchestration n'est tout de même pas créer un véritable cloud privé interne. »

La valeur d'usage peut justifier le cloud

Il ne faut donc pas s'interdire, dans ce cas, de recourir à du SaaS/Paas externe. Syndex a ainsi mis en oeuvre en SaaS des solutions RH et une messagerie collaborative. « Les bénéfices attendus, en termes de valeur d'usage plus qu'en tant que DSI, ont bien été là » relève Damien Gillery. Il poursuit : « avec une DSI de huit personnes, on ne peut pas offrir le même service que les géants du web. Alors, on peut critiquer les contrats ou se préoccuper de la réversibilité, mais il faut surtout parler de valeur d'usage pour les utilisateurs finaux. »
Une petite DSI ne peut, par exemple, pas assurer un service vingt quatre sur vingt quatre, sept jours sur sept. Or, si un serveur de messagerie a besoin d'être redémarré un dimanche, c'est une tâche qui doit être menée sans délais. Lorsqu'un conflit social est en cours, à cause de contraintes de délais réglementaires, les experts peuvent en effet travailler même le week-end pour répondre à la demande des clients.

Distinguer sécurité et confidentialité

Mais les PSE comportent des données très confidentielles. « Mettre des données sensibles dans le cloud est extrêmement gênant » juge Damien Gillery. Mais il précise : « il ne faut pas confondre la confidentialité et la sécurité. Chez les grands acteurs du web, la sécurité est infiniment supérieure à ce qu'une entreprise de taille moyenne peut assurer. » « Cela n'est vrai que pour les grands acteurs du SaaS, les autres sont actuellement plutôt nuls » tempère Hubert Tournier. Par contre, la confidentialité peut poser des soucis.
« Mais seuls 5%, peut-être, des données d'un système d'information sont réellement confidentielles » relève le DSI. Et il en déduit : « imposer un niveau de confidentialité maximal sur l'ensemble des données alors qu'il ne se justifie que pour 5%, c'est mettre des freins à l'utilisateur. » Et celui-ci pourrait ne pas comprendre, voire contourner les interdictions posées par la DSI pour regagner en valeur d'usage ou en ergonomie. Hubert Tournier rappelle cependant : « cela n'est pas vrai avec le IaaS car, dans ce cas, c'est l'entreprise cliente qui doit gérer sa sécurité applicative ».
Les dossiers sensibles, comme les projets de fermeture de sites, susceptibles d'avoir un impact fort, par exemple, sur le cours de bourse, ne doivent donc pas être traités comme des dossiers ordinaires. Une révision annuelle des comptes, notamment, n'a pas besoin d'un haut niveau de confidentialité. « Mais c'est plus une question de pratiques que d'outils » affirme Damien Gillery. Il faut donc éduquer l'utilisateur pour qu'il adopte les bonnes pratiques. Et, bien entendu, proposer le bon service. « Mais il ne faut pas avoir peur d'utiliser les bons outils à condition d'être bien conscient de ce que l'on fait, exactement comme il ne faut pas s'interdire de se déplacer en voiture sous prétexte qu'il y a des accidents mais il faut conduire prudemment » résume le DSI de Syndex.

Le shadow IT encouragé et combattu par le cloud

Pour des utilisateurs brimés, un refuge peut être le shadow IT. Toute DSI va vouloir remettre en place un certain contrôle sur des outils qui, justement, mettent en péril la sécurité et la confidentialité des données. Sans compter que les commanditaires de shadow IT ne se posent en général pas les bonnes questions, notamment la réversibilité. Hubert Tournier insiste : « le bien de l'entreprise suppose que la DSI combatte le shadow IT ».
« La première chose à faire est de mesurer ce qui est parti » recommande Hubert Tournier. Il utilise pour cela trois méthodes complémentaires. La première est de monter une veille des dépôts de noms de domaines comprenant une combinaison de termes autour des marques ou des suffixes des marques du groupe. Les services ouverts sur ces domaines peuvent ensuite être examinés. Le coût d'une telle veille est de 150 euros par an. Des utilisateurs peuvent aussi dénoncer le shadow IT en appelant le support interne au sujet d'une application qui n'est pas répertoriée. Enfin, un suivi des flux IP persistants vers les grands hébergeurs de services aux adresses IP bien répertoriées permet de détecter des applications mises en oeuvre sans contrôle de la DSI.
Une fois que le diagnostic de shadow IT est posé, il faut ensuite comprendre le pourquoi. Hubert Tournier pose l'alternative : « soit vous ne proposez pas de service équivalent et il faut alors se demander si cela ne serait pas pertinent de créer un tel service, soit vous le proposez et il faut alors comprendre pourquoi un utilisateur a préféré un service extérieur. » Un niveau de réactivité ou de coût peut être une explication. En tel cas, la DSI doit réagir et améliorer son service.