Stocker ses données, oui, mais à quel prix pour la sécurité ?

Le cloud s’est imposé comme un réflexe, et pourtant, les fuites de données, les rançongiciels, ainsi que les erreurs humaines continuent de frapper des organisations de toutes tailles. Entre durcissement réglementaire, tensions géopolitiques et dépendance à quelques géants mondiaux, la question n’est plus seulement « où stocker », mais « à quel coût global », financier, opérationnel et réputationnel. Derrière la promesse d’une donnée accessible partout, se cachent des arbitrages très concrets, et parfois des angles morts qui coûtent cher.

Le cloud low cost cache souvent l’addition

Tout commence par une facture qui semble imbattable, quelques centimes par gigaoctet, des options à la carte, une mise en route en quelques clics, et une promesse implicite : « tout est sécurisé par défaut ». En pratique, le prix affiché n’est que la première ligne. Les grands fournisseurs facturent souvent au-delà du stockage brut, avec des coûts d’egress (sortie de données), des paliers de performance, des sauvegardes, des snapshots, des clés de chiffrement gérées, et des journaux d’audit avancés; des postes qui, additionnés, transforment une estimation initiale en budget structurel. Selon les grilles tarifaires publiques des principaux hyperscalers, la sortie de données peut se chiffrer à plusieurs centimes par gigaoctet, et atteindre des centaines, voire des milliers de francs par mois dès que l’on restaure, migre, ou diffuse des volumes importants, un scénario fréquent après incident.

Le « prix sécurité » est aussi organisationnel. Un stockage objet mal configuré, un partage trop permissif, une clé API exposée, et l’incident bascule rapidement du côté des fuites. L’histoire récente l’a montré, les erreurs de configuration figurent parmi les causes récurrentes d’exposition de données dans le cloud, car la surface d’attaque s’élargit avec la multiplication des comptes, des accès, et des intégrations. À cela s’ajoute le coût d’expertise : sécuriser correctement un environnement demande du temps, des compétences, des audits, des tests de restauration, et une gouvernance des identités. Sans ces briques, on paie « moins cher » pour stocker, et plus cher pour corriger; et quand l’incident survient, la facture n’est plus une ligne IT mais une crise d’entreprise, avec pertes d’exploitation, mobilisation juridique, et dommages d’image.

Chiffrement, accès, sauvegardes : le trio décisif

Le stockage sécurisé ne se résume pas à « chiffrer ». La bonne question est : qui peut lire, modifier, ou effacer, et comment le prouver après coup ? Le chiffrement au repos protège surtout contre la compromission physique des supports, mais il ne compense pas un contrôle d’accès défaillant. Dans une architecture robuste, l’identité devient le périmètre : authentification multi-facteurs, gestion fine des rôles, séparation des environnements, rotation des secrets, et traçabilité. Les journaux d’accès doivent être exploitables, conservés suffisamment longtemps, et corrélés; sinon, on découvre l’intrusion trop tard, ou l’on ne peut pas démontrer ce qui a été consulté.

Deuxième pilier, les sauvegardes, souvent confondues avec la haute disponibilité. Un service « répliqué » n’est pas une sauvegarde : il peut répliquer une suppression, un chiffrement malveillant, ou une corruption logique. La discipline de sauvegarde impose des copies isolées, idéalement immuables, avec des politiques de rétention adaptées aux métiers, et surtout des tests réguliers de restauration. Les rançongiciels l’ont imposé comme standard : sans restauration éprouvée, la meilleure sauvegarde reste théorique. Enfin, le troisième pilier, trop négligé, est la capacité d’effacement maîtrisé. Dans certains cas, il faut prouver la suppression, et gérer des fins de contrat, des changements de prestataire, ou des demandes d’effacement; cela exige des processus et des garanties techniques, car la donnée ne doit pas « survivre » dans des copies orphelines.

Souveraineté, loi, contrôle : la donnée n’est jamais neutre

Où se trouve la donnée, et sous quelle juridiction tombe-t-elle ? La question dépasse le symbole, car elle conditionne l’accès potentiel par des autorités, les obligations de conservation, et la capacité de contestation. Pour une entreprise genevoise, une association, un cabinet médical, ou une structure manipulant des données sensibles, l’emplacement du stockage et les clauses contractuelles deviennent des enjeux de gouvernance. Le droit suisse, et notamment la Loi fédérale sur la protection des données (nLPD), impose des principes de proportionnalité, de sécurité, et de transparence, et encadre les transferts à l’étranger. Dans la pratique, dès qu’une donnée sort de Suisse, il faut s’assurer d’un niveau de protection adéquat, ou mettre en place des garanties, ce qui alourdit la conformité et les contrôles.

Au-delà des textes, la souveraineté est un sujet de maîtrise opérationnelle. Un incident majeur, une fermeture de compte, un litige, ou une modification unilatérale de conditions, et l’entreprise se retrouve dépendante d’un acteur lointain, parfois avec un support standardisé. La capacité à auditer, à obtenir des preuves, à organiser un plan de sortie, et à dialoguer rapidement avec un interlocuteur devient un facteur de résilience. C’est aussi ici que l’on mesure la valeur d’une approche locale, quand le besoin porte sur un périmètre clair, un niveau de service contractualisé, et une relation plus directe. Dans ce contexte, certaines organisations privilégient une solution de stockage à Genève, afin de garder un ancrage géographique, de simplifier certains volets de conformité, et de réduire les zones d’incertitude liées aux transferts internationaux.

Combien coûte vraiment un incident, en Suisse ?

Le prix de la sécurité se lit souvent après coup, et les chiffres donnent le vertige. Selon le rapport « Cost of a Data Breach 2024 » d’IBM, le coût moyen mondial d’une violation de données atteint 4,88 millions de dollars, un record, porté par l’interruption d’activité, la réponse à incident, et les conséquences sur les clients. Les ordres de grandeur varient selon les secteurs, santé et finance restant parmi les plus exposés, mais la mécanique est la même : plus la détection est tardive, plus la facture grimpe. IBM souligne aussi l’effet du rançongiciel, et la difficulté à contenir rapidement l’attaque; même sans paiement de rançon, les coûts de remédiation, de restauration, et de communication pèsent lourd.

Pour une structure en Suisse romande, le coût ne se limite pas à la technique. Il faut souvent mobiliser des prestataires de cybersécurité, du conseil juridique, parfois des notifications, des échanges avec les partenaires, et une réassurance du marché, quand il existe des contrats impliquant des garanties de confidentialité. S’ajoutent les heures perdues, les services indisponibles, et la baisse de confiance, qui se mesure parfois sur des mois. La sécurité devient alors un calcul de risque : investir en amont dans des contrôles, des sauvegardes testées, et des audits, ou payer en aval une crise, avec l’incertitude sur la reprise. Dans cette équation, le stockage n’est qu’une brique, mais une brique structurante : c’est là que résident les archives, les documents sensibles, les données clients, et les preuves, et c’est souvent là que l’attaquant cherche à frapper pour maximiser la pression.

Ce qu’il faut vérifier avant de signer

Avant de choisir une offre, les organisations gagnent à exiger des éléments concrets, et pas seulement des promesses marketing. Où sont localisées les données, y compris les sauvegardes, et quelles sont les conditions de transfert ? Quel modèle de responsabilité s’applique, et quelles options sont réellement activées par défaut ? Le prestataire fournit-il des journaux d’audit, des mécanismes de chiffrement et de gestion des clés, des procédures de restauration, et un support en cas d’incident; et surtout, ces dispositifs sont-ils testés, documentés, et contractualisés ? Un bon contrat détaille aussi un plan de sortie, les délais de restitution, et les modalités d’effacement.

Réserver, budgéter, profiter des aides possibles

Pour avancer sans se perdre, fixez un périmètre, puis demandez un devis incluant stockage, sauvegardes, restauration et support, et réservez un budget pour un audit initial ainsi que des tests de reprise. Certaines PME peuvent aussi se renseigner sur les dispositifs cantonaux ou fédéraux de soutien à la numérisation et à la cybersécurité, selon leur secteur et leur taille, afin d’amortir une partie de l’investissement.