Quatre jours après l’invasion de l’Ukraine, je ne veux pas prendre une guerre comme prétexte pour parler de technologie. Les personnes qui la subissent restent le sujet principal. Mais nos réseaux, fournisseurs et données ne vivent pas en dehors du monde politique.

NotPetya avait déjà servi d’avertissement en 2017. Une mise à jour compromise d’un logiciel utilisé en Ukraine a contribué à diffuser un code destructeur qui s’est ensuite propagé dans des réseaux d’entreprises à l’étranger. Une organisation n’avait pas besoin d’être la cible politique pour subir la chaîne technique.

Je cartographierais une dépendance à plusieurs niveaux :

service métier
  → fournisseur SaaS
      → région d'hébergement et opérateur cloud
      → sous-traitants de soutien
      → fournisseur d'identité / DNS / paiement
      → bibliothèques et mécanisme de mise à jour
  → réseau de notre organisation
  → export et procédure de remplacement

Deux fournisseurs peuvent partager le même cloud, le même DNS ou le même sous-traitant et tomber ensemble. Deux régions dans un pays peuvent partager une autorité juridique ou un réseau. La diversification se mesure par les domaines de panne réels, pas par le nombre de logos.

Pour chaque service critique, je noterais :

1. lieux de stockage, traitement et soutien;
2. entité contractante et lois applicables;
3. identités et réseaux requis pour l’administrer;
4. composants logiciels et canal de mise à jour;
5. RPO, RTO et durée acceptable du mode manuel;
6. format, débit et coût d’un export complet;
7. alternative déjà qualifiée ou procédure de fermeture;
8. contact utilisable si le courriel principal est indisponible.

Une sauvegarde dans une deuxième zone protège contre une panne de centre de données, pas nécessairement contre la suspension du compte, une identité compromise ou une décision qui touche toute la région. Une copie sous un autre compte, avec clés et accès séparés, réduit une partie du risque. Pour les données essentielles, je teste l’export sur un environnement distinct au lieu de me contenter de la clause contractuelle.

Le logiciel de mise à jour demande une confiance particulière. Un agent d’administration signé peut exécuter du code sur des milliers de postes; sa clé et son pipeline sont des actifs critiques. Je limite les sorties réseau, vérifie les signatures, déploie par anneaux et garde un bouton d’arrêt. Une signature valide prouve l’éditeur de la mise à jour, pas que son infrastructure n’a jamais été compromise; le comportement et la portée restent surveillés.

Les accès anciens deviennent urgents pendant une crise. Un compte de consultant, une clé VPN ou un service exposé pour un projet terminé donne encore un chemin. L’authentification multifacteur, la rotation des secrets, le moindre privilège et les journaux centralisés sont des contrôles ordinaires qui résistent mieux que des réactions improvisées à chaque nouvelle.

Je ferais un exercice simple : le fournisseur principal et notre canal de courriel sont indisponibles pendant 72 heures. L’équipe doit trouver les dernières données exportées, activer le mode manuel, joindre les personnes, traiter une opération critique et réconcilier au retour. Si la procédure exige une console ou une clé hébergée chez le fournisseur absent, le plan de sortie est circulaire.

Les faits changent vite cette semaine, donc je ne vais pas attribuer chaque panne étrange à un État. Ma pratique comme directeur TI est plus sobre : rendre la géographie, les sous-traitants et les concentrations visibles, puis tester une perte de service sans attendre de connaître la cause. Un abonnement mensuel reste une architecture avec des frontières et un rapport de force.