La panne AWS met en évidence l’importance du risque de concentration

AWS, quatrième panne majeure en cinq ans. Pour Brent Ellis, Principal Analyst, Forrester, il est grand temps de tirer les leçons des dangers liés à une dépendance excessive à un seul fournisseur de cloud.

Dépendre d’un seul fournisseur de cloud et, plus précisément, d’une seule région couverte par ce fournisseur, constitue un risque est systémique. Or, il est souvent négligé.

« Le recours aux géants de la technologie est très attrayant, mais supposer qu’ils sont trop importants pour faire faillite ou intrinsèquement résilients est une erreur », rappelle Brent Ellis. Concernant les promesses de résilience, AWS oriente ses clients vers son modèle de responsabilité partagée afin de mettre en évidence la responsabilité de la disponibilité des services et les responsabilités des clients. Mais lorsque des services essentiels comme le DNS tombent en panne, même des applications bien conçues peuvent devenir instables. AWS s’efforce de réparer son infrastructure, mais de nombreuses entreprises doivent attendre que cela soit fait, même si elles ont suivi les modèles de conception recommandés. Ce problème ne se limite pas à AWS, il est devenu récurrent.

Concentration et problèmes en cascade

La commodité éclipse souvent la gestion des dépendances complexes et imbriquées dans des environnements hautement concentrés. Malgré les pannes passées, les organisations qui n’ont pas su gérer cette complexité ont été aux premières loges lorsque les problèmes en cascade ont perturbé les systèmes, les processus et les opérations.

Brent Ellis ne mâche pas ses mots : « L’enracinement du cloud, et notamment d’AWS, dans les entreprises modernes, associé à un écosystème imbriqué de services SaaS, à l’externalisation du développement logiciel et à une visibilité quasi nulle sur les dépendances, n’est pas un bug : c’est la caractéristique d’un risque hautement concentré où même de petites pannes de service peuvent avoir des répercussions sur l’économie mondiale. »

Pour Forrester, il est temps d’ouvrir le dossier de la résilience du cloud, sous ses aspects techniques évidemment, mais aussi réglementaires et stratégiques. « Commencez par aborder les zones d’ombre contractuelles liées aux modèles de responsabilité partagée avec les fournisseurs ! »

La conformité, oui, mais sans négliger la résilience

Première action, cartographier les dépendances critiques. « Concentrez-vous sur les applications orientées client, les points de défaillance uniques et les connexions cachées susceptibles d’amplifier les impacts des pannes. Ne vous contentez pas d’une documentation web : exigez que vos responsables de compte techniques cloud vous expliquent les spécificités de votre environnement. »

Pour Brent Ellis, on voit trop la question des risques sous l’angle de la conformité, pas assez sous l’angle de la résilience. « C’est passer à côté d’événements importants comme cette dernière panne, qui impactent même les fournisseurs conformes. Les responsables technologiques ne peuvent se permettre de négliger l’évaluation du fournisseur par rapport à de multiples domaines de risque, tels que la continuité des activités et la résilience opérationnelle, et pas seulement la cybersécurité. »

Dans cette perspective, le contrat peut être utilisé comme un outil d’atténuation des risques. Les pannes technologiques majeures étant de plus en plus fréquentes, il est important de collaborer avec les services des achats et du service juridique pour mettre à jour ou ajouter des clauses qui attribuent la responsabilité en cas d’événements perturbateurs et définissent clairement les délais impartis aux fournisseurs pour appliquer les correctifs et les mesures correctives.

Tester les plans de résilience des fournisseurs

« Envisagez d’utiliser ces incidents et leurs impacts comme base pour la mise en œuvre de mesures dans les contrats ou les accords de niveau de service, conseille Brent Ellis. Si vous souhaitez une compensation financière ou des remises pour les temps d’arrêt, soyez prêt à négocier. Si les fournisseurs s’y opposent, vérifiez si le prix négocié est toujours pertinent et, éventuellement, s’il est judicieux de faire affaire avec eux… »

Bref, c’est une surveillance continue qu’il s’agit de mettre en œuvre.  « Vos tiers sont des entités dynamiques, leur niveau de risque, de conformité et de résilience évolue au fil du temps. Complétez vos évaluations annuelles par des outils de surveillance continue capables d’identifier les changements de fournisseurs en temps réel. Bouclez la boucle avec des plateformes TPRM qui automatisent la création de problèmes, lancent des plans de remédiation et déclenchent les notifications nécessaires à l’approbation et à la vérification que le risque a été traité conformément à l’appétence au risque ou aux exigences réglementaires, conclut Brent Ellis. Testez les plans de résilience des fournisseurs. Exigez la validation des plans de reprise et de continuité de vos fournisseurs par le biais d’exercices théoriques et de simulations