Exportation de données : quasiment tous les services du cloud précisent qu’ils
peuvent exporter des données liées à l’utilisation du service, dans le but généralement
avancé « d’améliorer le service ». Si cet usage peut paraître acceptable, il est
important de vérifier dans les CGU que cette exploitation de données en reste là et ne
va pas plus loin.
Toutes ces clauses non contrôlées peuvent conduire à un risque important sur le SI. Pour
résumer, l’acceptation de certaines CGU peut conduire à un détournement de l’usage
nominal des ressources du SI à l’insu de la DSI, au profit du fournisseur.
Un autre argument contre les infrastructures spontanées est le caractère amateur des
installations. Généralement, dans de telles infrastructures, les procédures ne sont pas
documentées et ne sont connues que d’une ou deux personnes. Rien n’est prévu en cas
d’incident. Lorsque les personnes concernées quittent l’entreprise, plus personne ne sait
exploiter l’infrastructure en question.
Si tous les risques évoqués ici ne concernent pas la sécurité des SI, nous voyons bien
qu’une grande majorité y est liée. Il est donc parfaitement légitime que ce soit le RSSI
qui intervienne dans ces cas.