Mis à jour le · Rédaction Pixel’IT
La sécurité d’un service cloud dépend du fournisseur, de la configuration et de l’usage qu’en fait l’entreprise. Une plateforme bien protégée ne supprime pas les risques liés aux comptes, aux droits ou aux erreurs. Pour une PME, il faut savoir qui réalise chaque contrôle et comment son résultat est vérifié.
Comprendre la responsabilité partagée
En IaaS, le client administre notamment ses systèmes et applications dans une infrastructure fournie. En PaaS, une partie supplémentaire de la plateforme est gérée par le fournisseur. En SaaS, l’entreprise utilise une application prête à l’emploi, tout en configurant ses comptes, ses accès et ses usages.
Le modèle Microsoft de responsabilité partagée illustre cette répartition. Pour votre contrat, vérifiez les tâches effectivement couvertes plutôt que déduire des obligations d’un schéma générique. Les services combinent parfois plusieurs modèles.
Les guides PaaS et SaaS expliquent les conséquences de ces choix sur l’exploitation.
Protéger les identités et les autorisations
Un compte compromis peut permettre d’accéder à des informations même lorsque la plateforme fonctionne normalement. Identifiez les administrateurs, les comptes techniques, les invités et les applications auxquelles des autorisations ont été accordées.
- Utiliser les méthodes d’authentification adaptées aux services.
- Limiter les privilèges et séparer les tâches d’administration.
- Préparer la récupération et l’accès d’urgence.
- Revoir les droits lors des départs et changements de rôle.
- Contrôler les liens et partages externes devenus inutiles.
La centralisation de l’authentification peut aider, mais elle doit s’accompagner d’un suivi des sessions, des rôles et des exceptions.
Contrôler les configurations et les services exposés
Les règles réseau, accès distants, interfaces d’administration et paramètres de partage doivent correspondre aux besoins. Une configuration ouverte pendant un test ne doit pas devenir permanente par oubli. Les changements sont documentés et validés selon leur impact.
Dans une infrastructure hébergée, les systèmes et applications peuvent rester sous votre responsabilité. Définissez qui suit les correctifs et les alertes. Pour un service managé, faites préciser les opérations couvertes et les limites du support.
Une option disponible ne signifie pas qu’elle est activée et testée. Les preuves utiles sont les paramètres effectifs, les événements attendus et les résultats des contrôles.
Vérifier les données et la reprise
| Sujet | Question à poser | Vérification |
|---|---|---|
| Localisation | Où sont traitées les données et par quels intervenants ? | Documents contractuels et périmètre de service |
| Récupération | Que peut-on restaurer après une suppression ou un incident ? | Test sur un périmètre représentatif |
| Accès | Qui peut administrer ou partager ? | Revue et test depuis un compte ordinaire |
| Sortie | Comment récupérer les données et configurations ? | Procédure et formats de restitution |
Les obligations de traitement et de transfert se valident avec les responsables compétents. Le PFPDT fournit les références relatives à la communication de données à l’étranger. Le seul nom du fournisseur ne décrit pas l’ensemble des flux.
Pour la continuité, définissez les objectifs de reprise et réalisez un exercice. La réplication ou la disponibilité de l’infrastructure ne résout pas automatiquement une erreur logique dans vos données.
Préparer l’incident et la relation avec le fournisseur
Identifiez les contacts et les informations que le support peut fournir : incidents de service, journaux, actions administratives et modalités de récupération. Les horaires et engagements doivent correspondre à votre activité.
Le plan doit permettre de distinguer une panne du fournisseur, une erreur de configuration et une compromission de compte. Ces situations peuvent demander des intervenants différents. Conservez une procédure accessible même si le service habituel de messagerie est indisponible.
Cas illustratif : un espace cloud de projet
Une PME genevoise utilise un service cloud pour échanger avec ses partenaires. Elle constate que plusieurs invités ont conservé leurs droits après la fin d’un projet. Le responsable fait revoir les accès, retire les liens inutiles et teste le parcours d’un destinataire encore autorisé.
La plateforme n’était pas nécessairement défaillante : l’organisation des droits devait être suivie. Le scénario illustre une responsabilité d’exploitation, à compléter par la protection des postes et la capacité de restauration.
Questions fréquentes
Un hébergement suisse garantit-il toute la sécurité ?
Il répond à un aspect de localisation, mais les accès, configurations, responsabilités et flux doivent aussi être examinés.
Le fournisseur sauvegarde-t-il forcément mes données ?
Les possibilités dépendent du service et du contrat. Vérifiez les éléments couverts, les durées, les droits et le processus de restauration.
Doit-on surveiller un service SaaS ?
Oui, selon le périmètre retenu : comptes, usages, alertes et changements de configuration peuvent demander un suivi même sans serveur à administrer.
Accompagner votre PME à Genève
Pixel’IT accompagne les entreprises de Genève dans leurs solutions cloud et leur sécurité informatique. Une revue du périmètre aide à attribuer les contrôles et à préparer la récupération.
Sources et documentation
Documentation consultée le 28 octobre 2026. Les fonctions et conditions des services peuvent évoluer.
à Genève. Copyright © 2026 Pixel IT Sàrl