Administrations : une plus grande sécurité des données grâce aux solutions installées sur site

Pas plus tard qu’au mois d’avril de cette année, le Contrôleur européen de la protection des données (CEPD) a mis le holà à l’utilisation de Microsoft 365 au sein de la Commission européenne. Le Contrôle fédéral des finances (CDF) suisse lui emboîte à présent le pas en conseillant à la Confédération d’utiliser Microsoft Office sans connexion au cloud le plus longtemps possible.

Jusqu’alors, le projet clé de bureautique dématérialisée CEBA élaboré par le Secteur Transformation numérique et gouvernance de l’informatique (TNI) de la Chancellerie partait du principe que l’exploitation locale des produits Microsoft Office ne serait plus possible à partir de 2026. D’où la décision de passer au cloud. Dans son rapport, le CDF formule désormais de vives inquiétudes quant à la protection des données, estimant que l’utilisation du cloud présente des risques qui ne pouvaient pas être véritablement évalués et encore moins acceptés au moment de l’examen. Ces risques en lien avec l’utilisation du cloud sont en partie extrêmement graves, y explique-t-on.

La critique du Contrôle fédéral des finances cible le fait que le passage à Microsoft Office 365 a fait tomber l’administration fédérale dans un rapport de dépendance vis-à-vis de l’éditeur logiciel, avec tous les risques que cela comporte en matière de sécurité des données. Le CDF recommande donc que d’autres solutions soient passées au crible pour minimiser la dépendance. Cependant, ses critiques ne visent pas seulement la sécurité du cloud de Microsoft : pour la toute première fois, elle prend également à partie les responsables des achats, et ce, avec véhémence. C’est que beaucoup d’administrations adaptent encore leur stratégie informatique aux desiderata de Microsoft, alors même qu’il existe des règles strictes en matière de marchés publics et qu’il serait dans leur intérêt de prendre en compte la question de la maîtrise des données, du contrôle des coûts et des licences et de la répartition des risques de dépendance informatique.

N’acheter que ce dont on a besoin : une exigence oubliée
Il faut dire que les critiques du Contrôle fédéral des finances sont justifiées, puisque les pouvoirs publics sont soumis à l’obligation de prendre en compte les principes de sobriété et de rentabilité inscrits dans le droit budgétaire. Ces derniers sont dans leur intérêt et devraient guider leur action au moment de la passation de marchés.

Malheureusement, c’est bien souvent oublié par les parties prenantes, qui omettent d’étudier de très près les alternatives et trouvent des arguments fallacieux qui s’opposent à la passation de marchés répondant à leurs simples besoins. La Confédération est connue pour ce phénomène, elle qui a suivi les annonces de Microsoft sans trop se poser de questions et est passée au cloud sans ciller. Auparavant aussi, on a absolument tenu à avoir la Software Assurance, alors même qu’il était clair que les mises à jour étaient rarement utilisées – une assurance superflue qui limite la concurrence par-dessus le marché.

Miser sur les licences installées sur site du marché des logiciels d’occasion
En Europe, des licences de logiciels à hauteur de plusieurs milliards d’euros font l’objet d’appels d’offres et sont achetées directement auprès des éditeurs logiciels sans que soit vérifié si cela a un sens, économiquement, ni si c’est conforme au droit budgétaire et des marchés publics. Et c’est là un manquement synonyme d’importantes pertes financières. Pourtant, cette misère pourrait être évitée si l’on faisait appel à des logiciels installés sur site d’occasion, qui, s’ils sont nécessaires, sont bien souvent proposés dans la dernière version en date. Cela permettrait d’apaiser les craintes en matière de protection des données dues au cloud tout en renforçant la concurrence.

Autre argument : on n’a pas toujours besoin de toute la boîte à outils. La plupart des administrations ne nécessitent que l’un ou l’autre des outils du portefeuille Microsoft et pas toute la gamme, comme on a parfois besoin d’un marteau, mais pas de la pince, de la clé anglaise ET de la lime, pourtant disponibles elles aussi.

Et elles ont rarement besoin d’avoir la certitude que les outils superflus seront remplacés dans les temps contre d’autres outils plus récents dont elles n’auront pas plus besoin. Leur étendue rend bien souvent ces solutions plus chères que le problème d’origine qu’elles cherchaient à résoudre.

Repenser les habitudes de passation de marché
Les modes de passation de marché restent traditionnels, avec des revendeurs et des administrations peu critiques alors même qu’ils devraient l’être. Les pratiques commerciales des éditeurs et des grossistes contribuent elles aussi à mettre sous pression les administrations, qui voient leur sort comme une fatalité. Et c’est ainsi que l’on assiste à une répartition des fonds des administrations vers les éditeurs privés, dont les divisions engrangent des milliards de bénéfices chaque année ou décrochent même une position de monopole. Les distorsions qui en découlent font parfois l’objet de discussions houleuses, comme après le lancement de l’abonnement obligatoire de VMware et Citrix, qui a laissé sans voix les participants du Congrès de l’ITAM.

Compte tenu du contexte, on ne peut que se réjouir des critiques du Contrôle fédéral des finances vis-à-vis des passations de marché des administrations. Ce qu’il exige, à savoir de miser aussi longtemps que possible sur les solutions installées sur site (une demande qui fait d’ailleurs écho à des décisions similaires d’autorités de la concurrence) est une décision d’avenir pleine d’intelligence.