3 À l’aube du 1er mars 2026, des drones iraniens ont frappé trois sites d’AWS (en anglais) : deux data centers aux Émirats arabes unis touchés directement, et un troisième à Bahreïn affecté par une frappe à proximité. L’entreprise a conseillé à ses clients de migrer leurs charges vers d’autres régions. Les services bancaires, de paiement, de livraison et les logiciels d’entreprise se sont arrêtés dans tout le Golfe. Le 23 mars 2026, puis le 2 avril, la région AWS de Bahreïn a de nouveau été officiellement déclarée « perturbée » en raison de nouvelles attaques de drones. C’est la première fois dans l’histoire qu’une puissance militaire détruit délibérément une infrastructure cloud hyperscale. Ce n’est pas un incident de sécurité ; c’est un risque d’infrastructure majeur pour les entreprises et les organisations. Vous aussi, vous êtes une cible Téhéran a prétendu justifier ses frappes en affirmant que le data center de Bahreïn soutenait des opérations militaires — ce qu’AWS a démenti. Que ce soit vrai ou non, la logique de l’attaquant est implacable : les mêmes serveurs qui hébergent vos données RH, vos applications métier et vos fichiers clients pourraient aussi traiter des données militaires. Vous ne le savez pas. Vous ne pouvez pas le savoir. Et cette ignorance ne vous protégera pas. Aucun comité exécutif n’avait inscrit la « destruction physique d’un data center » dans sa cartographie des risques. Il est temps de l’y ajouter. Après 36 ans d’opérations, une règle tient toujours Je n’aborderai pas de sujets classifiés. Mais la première règle que tout chef militaire apprend, avant même l’École de guerre, est la suivante : ne jamais concentrer les fonctions critiques sur un seul nœud. Un adversaire compétent le trouvera. Et le frappera. AWS, Microsoft Azure et Google Cloud détiennent ensemble plus de 70 % du marché mondial du cloud (en anglais). Collectivement, les organisations ont construit exactement ce que toute doctrine de résilience, militaire ou civile, interdit. Et nous l’avons fait en courant après les économies. Les pannes ignorent les frontières Nul besoin d’invoquer la guerre pour que ce raisonnement s’applique à votre prochain conseil d’administration. Le 20 octobre 2025, une panne d’AWS a contraint des hôpitaux à revenir aux procédures papier. Neuf jours plus tard, une erreur de configuration d’Azure a paralysé Alaska Airlines, Starbucks, Costco et des opérateurs télécoms pendant huit heures. L’impact économique s’est chiffré en milliards. Entre juin et décembre 2025, chacun des trois grands hyperscalers a subi au moins une panne majeure. Quelle est la durée d’interruption maximale tolérable pour vos systèmes critiques ? Votre architecture actuelle vous garantit-elle de respecter ce seuil lorsque votre hyperscaler tombe en panne ? Si vous n’avez pas ces réponses, vous avez un problème de gouvernance, et probablement un problème technologique. Les régulateurs signalent déjà le risque Les régulateurs n’attendent pas. En Europe, NIS2 et DORA imposent des plans de continuité et une gestion explicite des risques de concentration sur les fournisseurs cloud pour les entités critiques et les institutions financières. Aux États-Unis, la SEC et la CISA ont publié des recommandations similaires. En Asie-Pacifique, la MAS de Singapour et l’APRA australienne vont dans le même sens. Le signal réglementaire est mondial et convergent. Je pèse mes mots : toute organisation qui a migré ses systèmes critiques vers un seul hyperscaler sans plan de reprise alternatif n’est pas en conformité avec son cadre réglementaire. Et le responsable informatique le sait souvent parfaitement ; il n’avait simplement pas le budget pour faire autrement. Le coût caché du cloud, c’est la dépendance La promesse était simple : moins de capital immobilisé, moins de complexité opérationnelle, plus d’agilité. La réalité du coût total de possession est plus sombre. Frais d’egress (en anglais), abonnements cumulés, hausses de prix unilatérales imposées à des clients dont les coûts de sortie sont prohibitifs. Plusieurs études du secteur concordent : plus de la moitié des responsables informatiques interrogés réduisent d’autres postes budgétaires pour absorber la hausse des coûts du cloud. Une croissance portée non par de nouveaux usages, mais par des fournisseurs qui savent que vous ne pouvez pas partir. À l’enfermement technique s’ajoute désormais l’enfermement tarifaire. Pour un directeur financier, cela crée un risque budgétaire structurel et non maîtrisé, qui a sa place dans le registre des risques fournisseurs, au même titre que la dépendance à une matière première à source unique. Le CLOUD Act n’est pas une clause contractuelle Les données hébergées par des fournisseurs soumis à la juridiction américaine peuvent être accessibles en vertu d’injonctions légales américaines, même lorsqu’elles sont stockées à l’étranger. Le CLOUD Act permet aux autorités, par voie légale, de demander ces données quel que soit leur lieu de stockage. Pour les organisations internationales, cela peut créer des tensions avec les cadres locaux de protection des données, notamment le RGPD en Europe, la PDPA en Asie ou des réglementations sectorielles américaines comme HIPAA ou GLBA. Les mesures contractuelles seules ne suffisent pas toujours à éliminer totalement ces conflits. Dans un contexte géopolitique où les priorités nationales s’affirment de plus en plus, ce n’est pas une préoccupation théorique. C’est un risque de contrepartie qui doit être évalué comme tel. Une solution technique existe : le chiffrement avec des clés sous le contrôle exclusif du client. Elle suppose de garder le contrôle de son infrastructure. Malheureusement, de nombreuses organisations y ont déjà renoncé. La réponse n’est pas un autre hyperscaler Je dois être honnête : j’ai longtemps sous-estimé les forces opérationnelles des hyperscalers américains. Leur évolutivité, leurs services avancés et leur disponibilité mondiale sont réels. Le problème n’est pas leur compétence ; c’est notre dépendance exclusive. La réponse résiliente ne viendra pas de la duplication des hyperscalers. Aucun nouvel entrant ne deviendra un hyperscaler mondial en dix ans. La voie crédible est différente : des spécialistes indépendants — leaders dans des domaines comme le stockage objet, la sécurité et la gestion des données critiques — peuvent être assemblés en alternatives cohérentes à un fournisseur dominant. Ces acteurs existent. Sur l’infrastructure et le stockage objet (la couche qui porte les données critiques, les sauvegardes et les archives réglementaires), des fournisseurs indépendants servent aujourd’hui les plus grands médias mondiaux, des opérateurs télécoms de premier plan et des institutions financières très réglementées sur plusieurs continents. Ils ont des preuves d’usage. Les certifications de sécurité les plus strictes — américaines, européennes, asiatiques — couvrent la chaîne de valeur. La technologie est là. Ce qui manque, c’est la doctrine d’achat qui la rende lisible pour un décideur pressé face à un commercial d’hyperscaler bien préparé. Les organisations publiques et privées financent leur propre dépendance numérique par leurs décisions d’achat. Ce n’est pas une fatalité ; c’est un choix. La plupart des cadres juridiques nationaux autorisent des critères de préférence liés à la résilience et à la sécurité dans les appels d’offres technologiques. Ils sont sous-utilisés faute de doctrine claire. Nous devons produire cette doctrine et protéger juridiquement ceux qui l’appliquent. L’heure de la décision : attendre fait désormais partie du risque Trois avertissements en vingt mois. Le sabotage ferroviaire des Jeux olympiques de Paris en juillet 2024. La cascade de pannes des hyperscalers à l’automne 2025. Les data centers du Golfe au printemps 2026. Chaque fois, le même schéma : un point de défaillance unique, et des organisations prises de court, sans véritable plan de secours. Chaque euro, dollar ou dirham investi dans un cloud dont vous ne maîtrisez ni la localisation réelle ni la résilience physique est un risque non valorisé à votre bilan. Vos régulateurs le voient. Vos assureurs commencent à le tarifer. Vos conseils d’administration vous le demanderont bientôt. Les dirigeants qui attendent un quatrième signal pour inscrire la résilience numérique dans leur stratégie s’exposent à une responsabilité réglementaire, fiduciaire et humaine que les actionnaires, les régulateurs ou les équipes ne leur pardonneront pas. Les compétences existent. Les solutions existent. Que manque-t-il ? J’hésite à dire « la décision », car c’est trop simple. Mais c’est exactement cela : la décision.
