Car un IPBX n’est pas un boîtier télécom. C’est en effet un serveur, avec un système d’exploitation, des mises à jour, des sauvegardes et une exposition permanente sur Internet. Choisir son emplacement revient donc à décider où vivent vos données et qui les administre.

Notre guide sur la téléphonie IP en entreprise posait les trois questions du projet. Celle-ci en est le cœur. Voici donc les trois scénarios possibles, ce qu’ils coûtent réellement, et le critère qui départage.

Un IPBX, c’est un serveur avant d’être un standard

Derrière le mot « standard », il y a une machine. Elle héberge en effet un logiciel de commutation, une base d’utilisateurs, des règles d’appel, des messageries vocales et parfois des enregistrements de conversations. Elle dialogue en permanence avec Internet pour joindre votre opérateur en ToIP.

Cette machine tombe donc en panne comme les autres. Ainsi, elle se met à jour, se sauvegarde, se supervise et se sécurise comme les autres. La différence tient à la visibilité de l’incident : quand le standard s’arrête, plus personne ne peut vous joindre. Le raisonnement est exactement celui de notre comparatif cloud public, privé ou hybride.

Trois façons de faire vivre son standard

L’IPBX sur site : la maîtrise, et tout ce qui va avec

L’IPBX sur site garde la main sur tout : plan de numérotation, intégrations métier, raccordement direct des équipements analogiques encore présents. Ainsi, pour un site industriel, un hôtel ou une entreprise au câblage historique, c’est parfois la seule option raisonnable.

La contrepartie est rarement chiffrée au moment de l’achat. Il faut en effet un onduleur, un local qui tient la chaleur en été, un contrat de maintenance, une supervision, des sauvegardes testées et quelqu’un capable d’intervenir un vendredi à 18 heures. Ajoutez le renouvellement matériel tous les cinq à sept ans : le coût d’un IPBX sur site est un coût d’exploitation déguisé en investissement.

L’IPBX hébergé sur serveur dédié : le compromis

Ici, la machine reste la vôtre, mais elle vit dans un datacenter. Vous conservez ainsi la configuration fine et les intégrations, vous abandonnez l’électricité, la climatisation, la redondance réseau et la surveillance matérielle. C’est donc la logique du serveur professionnel IPBX : un standard dédié hébergé en France, administré et supervisé par l’opérateur.

C’est aussi le scénario qui vieillit le mieux. En pratique, le jour où l’entreprise ouvre un second site, les postes distants rejoignent le même standard sans nouvelle machine ni nouveau contrat de maintenance.

Le centrex mutualisé : le standard comme abonnement

Dernière option : ne plus rien héberger. En centrex, votre standard n’est qu’une part d’une plateforme partagée, facturée par utilisateur et par mois. Autrement dit, plus de serveur, plus de mise à jour, plus de renouvellement matériel. Net Telecom démarre par exemple à 19,90 € HT par utilisateur en centrex mutualisé, contre 119,90 € HT pour un IPBX dédié hébergé, sur des datacenters situés en France.

Le centrex convient donc très bien tant que vos besoins restent standards. Trois limites apparaissent néanmoins avec le temps :

• les intégrations métier profondes, comme le couplage avec un CRM ou un logiciel de caisse, ne sont pas toujours possibles ;
• les équipements analogiques résiduels imposent des passerelles supplémentaires, à chiffrer dès le départ ;
• la réversibilité dépend entièrement du fournisseur : récupérer une configuration exportable n’a rien d’automatique.

IPBX sur site ou hébergé : le comparatif

Entre un IPBX sur site ou hébergé, le seuil se situe le plus souvent autour d’une dizaine de postes : en dessous, le centrex l’emporte presque toujours ; au-delà, la question devient celle de vos intégrations. En revanche, les postes ne dépendent pas du scénario : un téléphone Yealink ou Snom se reprovisionne d’un standard à l’autre. Pour situer les ordres de grandeur, consultez la grille tarifaire avant de comparer les devis.

Ce que l’hébergement change pour votre continuité

Externaliser son IPBX déplace le risque, il ne le supprime pas. La panne mondiale d’octobre 2025 l’a rappelé : la dépendance à un hébergeur devient une dépendance de votre activité. En téléphonie, par conséquent, l’impact est immédiat et parfaitement visible de vos clients.

Trois garde-fous s’imposent donc, quel que soit le scénario retenu :

• un débordement automatique vers les mobiles, réellement testé, pour que les appels arrivent malgré l’incident ;
• un export régulier de la configuration du standard, stocké ailleurs que chez l’hébergeur : la logique de la sauvegarde 3-2-1 vaut aussi pour la téléphonie ;
• un accès d’administration protégé par authentification multifacteur, car l’interface d’un IPBX hébergé est publique, donc scannée en permanence.

Ces engagements se lisent dans le contrat, jamais dans la plaquette. Demandez donc le délai de rétablissement garanti, ce qu’il couvre exactement, et où la téléphonie se place dans votre plan de reprise d’activité.

En résumé

Trancher entre un IPBX sur site ou hébergé, c’est en réalité choisir un mode d’hébergement, pas un équipement. Ainsi, en dessous d’une dizaine de postes et sans intégration particulière, le centrex mutualisé suffit largement. Au-delà, ou dès que la téléphonie touche à vos outils métier, le serveur dédié hébergé offre le meilleur compromis entre maîtrise et tranquillité. L’IPBX sur site, enfin, garde du sens quand le site impose ses contraintes. Dans les trois cas, exigez par écrit qui sauvegarde la configuration et comment vous récupérez vos numéros le jour où vous partez.

IPBX sur site ou hébergé : questions fréquentes

Ne manquez pas le prochain article

Recevez nos conseils cybersécurité et informatique directement dans votre boîte mail. Pas de spam, désinscription en un clic.

L’article IPBX sur site ou hébergé : où faire vivre son standard est apparu en premier sur Blog Cybersécurité et IT - EISN.

Les pirates ont changé de stratégie. Chiffrer vos fichiers de production ne leur suffit plus : ils s’attaquent désormais d’abord à vos sauvegardes. Selon le rapport Veeam Ransomware Trends 2025, 89 % des organisations attaquées ont vu leurs sauvegardes ciblées, et seules 32 % utilisent des sauvegardes réellement immuables.

⚠️ Le chiffre qui alarme : seules 10 % des entreprises récupèrent plus de 90 % de leurs données après une attaque par ransomware, et 57 % en récupèrent moins de la moitié. (Rapport Veeam, 2025)

Pour une PME française, l’équation devient vitale. Le coût moyen d’une cyberattaque atteint 466 000 € (BPI France, 2026), et une PME sur cinq ne s’en relève jamais. La sauvegarde externalisée Veeam, déployée par EISN dans ses datacenters français, n’est plus une option de confort : c’est votre dernière ligne de défense.

Pourquoi votre sauvegarde « classique » ne vous sauvera pas en 2026

Le NAS branché sur le réseau, le disque externe que personne ne vérifie, la sauvegarde stockée chez le même hébergeur que la production : ce sont précisément les cibles que les ransomwares chiffrent en premier. Plusieurs organisations françaises l’ont appris à leurs dépens en 2025.

• Wibaie, fabricant de fenêtres et portes à Cholet (600 salariés) : production paralysée pendant des semaines après un ransomware en juillet 2025.
• Lycées des Hauts-de-France : 60 000 ordinateurs hors service, plusieurs semaines de blocage après une attaque du groupe Qilin en octobre 2025.
• France Travail : 31 000 comptes compromis, 30 Go de données exfiltrées en octobre 2025.

Le point commun ? Quand l’attaque réussit, c’est la qualité de la sauvegarde qui décide tout. L’ANSSI le confirme : 48 % des victimes de ransomware en France sont des PME, TPE et ETI. Vous n’êtes pas trop petit pour être ciblé, vous êtes la cible idéale.

💡 À retenir : aucune barrière préventive n’est infaillible. La vraie question n’est plus de savoir si vous serez attaqué, mais ce qu’il restera de vos données après. C’est là qu’intervient votre dernier rempart : une stratégie de sauvegarde résiliente, immuable et pensée contre le ransomware.

Veeam, la dernière ligne de défense déployée par EISN

Veeam est le leader mondial de la résilience des données, classé n°1 du Magic Quadrant Gartner pour la huitième année consécutive. EISN est partenaire VCSP (Veeam Cloud Service Provider) : nous exploitons notre propre infrastructure de stockage en France, dédiée à la sauvegarde externalisée de nos clients. Concrètement, vous bénéficiez de trois protections combinées.

1. La sauvegarde externalisée, hors de portée

Quoi qu’il arrive dans vos locaux (incendie, inondation, vol, ransomware), vos données sont en sécurité dans nos datacenters français, à moins de 24 h de fraîcheur. Vous redémarrez votre activité en heures, pas en semaines.

2. La sauvegarde immuable, anti-ransomware par conception

Une fois écrites, vos données ne peuvent plus être modifiées, chiffrées ni supprimées, même par un attaquant ayant volé vos accès administrateur. C’est la technologie que seules 32 % des entreprises utilisent aujourd’hui, alors qu’elle est la seule véritable parade contre les ransomwares modernes.

3. La restauration vérifiée, sans réinfection

Une sauvegarde qui ne se restaure pas ne sert à rien. Veeam vérifie automatiquement chaque sauvegarde et détecte les malwares dormants avant restauration, pour éviter qu’un attaquant ne réinfecte votre système au moment où vous redémarrez.

L’angle souvent oublié : vos données Microsoft 365

Si vous utilisez Microsoft 365 (Outlook, Teams, SharePoint, OneDrive), vous pensez probablement que Microsoft sauvegarde tout. Faux. Microsoft applique un modèle de responsabilité partagée : il garantit l’infrastructure, mais pas la récupération de vos fichiers en cas de suppression accidentelle, de chiffrement par ransomware ou de salarié malveillant. Au-delà de la rétention par défaut, vos e-mails et documents sont définitivement perdus.

EISN déploie Veeam Backup for Microsoft 365 pour archiver l’intégralité de vos données M365 sur de longues durées, dans nos datacenters français, pas chez Microsoft et pas aux États-Unis. Une protection vitale le jour où l’incident arrive.

Pourquoi choisir EISN pour votre sauvegarde externalisée Veeam

La technologie ne suffit pas : la différence se joue dans le déploiement et l’accompagnement. Prestataire informatique des Yvelines depuis 1998, référencé par Cybermalveillance.gouv.fr, EISN propose une chaîne complète.

• Audit de votre infrastructure et identification de vos données critiques.
• Définition de votre stratégie de sauvegarde selon la règle 3-2-1-1-0.
• Hébergement de vos sauvegardes dans nos datacenters français (VCSP).
• Surveillance proactive et tests de restauration réguliers.
• Restauration assistée par notre équipe technique en cas d’incident.

Engagés dans une démarche de souveraineté européenne, nous garantissons que vos données restent en France, soumises au droit français, à l’abri des juridictions étrangères et des lois extraterritoriales.

Conclusion : ne laissez pas le hasard décider

Le ransomware n’est plus une question de « si » mais de « quand ». La seule certitude, c’est qu’au moment où l’attaque arrive, votre sauvegarde fera la différence entre une coupure de quelques heures et une mise en péril de votre entreprise. La sauvegarde externalisée Veeam, déployée par EISN, vous offre cette dernière ligne de défense : souveraine, immuable et prête à redémarrer.

Questions fréquentes

Ne manquez pas le prochain article

Recevez nos conseils cybersécurité et informatique directement dans votre boîte mail. Pas de spam, désinscription en un clic.

L’article Dites adieu au chantage du ransomware avec Veeam. est apparu en premier sur Blog Cybersécurité et IT - EISN.

Chaque fin d’année, les équipes se concentrent d’abord sur la clôture des projets et les derniers paiements. Or cette situation augmente naturellement la probabilité d’erreur humaine ou de mauvaise manipulation ; par conséquent, les attaquants adaptent leurs méthodes en conséquence.

Selon Cybermalveillance.gouv.fr, les campagnes de phishing augmentent généralement en décembre, en raison du volume d’emails liés aux livraisons et aux activités commerciales. De son côté, l’ANSSI rappelle que les pics d’activité et la baisse de vigilance sont des facteurs aggravants. L’objectif de cet article est donc simple : identifier les cinq risques majeurs de cette période, puis proposer des mesures accessibles pour réduire leur impact.

1. L’explosion des emails frauduleux en période de fêtes

Pourquoi les emails malveillants sont plus nombreux en décembre

Chaque fin d’année, la quantité de messages frauduleux augmente nettement. En effet, Cybermalveillance.gouv.fr met régulièrement en garde contre les vagues d’emails évoquant des colis à récupérer, des factures à valider ou des mises à jour de compte. Ainsi, ces messages cherchent à pousser les collaborateurs à cliquer rapidement, en profitant du contexte saisonnier.

Par ailleurs, les attaquants utilisent aussi de faux messages liés à des comptes professionnels : un simple clic peut alors conduire à la saisie d’identifiants sur une page qui imite parfaitement une interface Microsoft 365.

Comment ces attaques ciblent les collaborateurs

Les campagnes de phishing reposent sur des techniques simples : un ton urgent, des promesses ou des menaces implicites. Ainsi, un email de « confirmation de livraison », un message RH inattendu ou un courrier prétendant venir d’un fournisseur suffisent à faire baisser la vigilance. Les collaborateurs non techniques sont d’ailleurs les premières cibles, car ils reçoivent une grande quantité d’emails opérationnels au quotidien.

Réduire ce risque facilement

• Mettre en place un filtre anti-phishing robuste pour bloquer les emails suspects.
• Rappeler régulièrement les signaux d’alerte d’un email frauduleux.
• Encourager les collaborateurs à signaler tout message inhabituel.
• Renforcer la protection de la messagerie en centralisant la surveillance.

💡 À retenir : concrètement, une solution spécialisée comme Mailinblack filtre les messages douteux avant qu’ils n’atteignent les équipes, ce qui réduit considérablement l’exposition aux attaques et les risques d’erreur humaine. Nous détaillons cette approche dans notre article sur la protection de la messagerie professionnelle.

2. Les accès non sécurisés avant les congés

Comptes dormants et MFA absent : des portes d’entrée idéales

À l’approche des congés, beaucoup d’organisations laissent des comptes inutilisés, des accès non révoqués ou des mots de passe faibles. Or ces négligences constituent une porte d’entrée privilégiée pour les cyberattaquants ; de plus, l’absence d’authentification multifactorielle (MFA) renforce encore cette vulnérabilité. Dans son guide « Recommandations de sécurité pour les accès », l’ANSSI rappelle en effet que le vol d’identifiants est l’une des principales sources d’incident.

Ce que les organisations oublient souvent avant de partir

• Désactiver les comptes de collaborateurs partis récemment.
• Vérifier les droits administrateurs.
• Contrôler les accès aux fichiers sensibles.
• Mettre à jour les mots de passe partagés.

Renforcer les accès de manière simple et rapide

L’activation du MFA est d’abord le premier levier. Ensuite, des solutions physiques comme les clés Yubico ou la clé biométrique OFFPAD sécurisent les comptes critiques en ajoutant une étape d’authentification impossible à contourner pour un attaquant. De plus, le déploiement peut se faire progressivement et améliore immédiatement la sécurité. Enfin, un passage en revue des comptes et des permissions avant les congés garantit que seuls les utilisateurs actifs conservent un accès aux outils essentiels.

💡 Données clés : selon la CNIL, une part importante des incidents impliquant des données personnelles résulte d’erreurs humaines ou d’accès insuffisamment protégés. Par ailleurs, les analyses Veeam montrent que de nombreuses organisations n’effectuent jamais de test de restauration.

3. Les erreurs humaines liées à la fatigue ou à la surcharge

Pourquoi décembre est un mois propice aux erreurs

Les collaborateurs sont souvent davantage sollicités. En effet, entre les objectifs à finaliser, les réunions de clôture et la préparation des congés, l’attention est parfois réduite. Or la CNIL souligne que les erreurs humaines sont la première cause d’incidents déclarés, ce qui rend cette période particulièrement sensible.

Les erreurs courantes et comment les éviter

On constate ainsi régulièrement des erreurs classiques : envoi de fichiers aux mauvais destinataires, ouverture de liens malveillants par manque de vigilance, partage imprudent de documents confidentiels ou attribution d’accès sans contrôle strict. Ces situations, bien que courantes, suffisent pourtant à entraîner des incidents graves.

La réduction de ces risques passe d’abord par une communication claire sur les bonnes pratiques, puis par la sensibilisation continue des équipes. Il est également essentiel de désigner un interlocuteur dédié à la sécurité et de formaliser les procédures en cas de demande suspecte. Enfin, pour renforcer cette démarche, l’infogérance EISN vous accompagne au quotidien avec un support réactif et un pilotage technique rigoureux.

4. Les sauvegardes non testées et les PRA incomplets

Pourquoi ce risque devient critique avant les congés

Un incident survenant quelques jours avant la fermeture est particulièrement difficile à gérer. En effet, si les sauvegardes ne sont pas validées ou si le Plan de Reprise d’Activité (PRA) n’est pas opérationnel, la reprise en janvier peut être fortement perturbée. Or les ransomwares profitent justement des périodes où les équipes sont moins disponibles. Veeam indique d’ailleurs que de nombreuses organisations ne testent pas suffisamment leurs restaurations : nous expliquons pourquoi dans notre article sur les sauvegardes immuables face au ransomware.

La différence entre croyance et réalité

Beaucoup d’organisations vivent pourtant dans une illusion de sécurité, alors que des failles critiques persistent en coulisses : par exemple des sauvegardes incomplètes ou mal configurées, des copies non isolées du réseau, des droits d’accès trop ouverts. Cependant, la lacune la plus grave reste l’absence de tests de restauration récents.

⚠️ Le piège : en matière de sauvegarde, la confiance ne se décrète pas. Autrement dit, elle ne se justifie que par la réalisation de tests concrets, seule preuve que vos données sont réellement récupérables.

Valider son niveau de protection rapidement

• Tester la restauration de fichiers récents.
• Vérifier l’intégrité des sauvegardes.
• S’assurer que les copies sont isolées.
• Revoir le PRA avec un expert.

5. Le télétravail et la mobilité de fin d’année

Anticiper les risques liés aux connexions nomades

Durant les fêtes, la frontière entre congés et travail s’amincit : de nombreux collaborateurs se connectent en effet à distance depuis des environnements non maîtrisés. Par conséquent, cette mobilité accrue multiplie les vulnérabilités : réseaux Wi-Fi publics, appareils personnels non mis à jour, partage de documents sensibles sans chiffrement, usage d’outils non autorisés par l’entreprise. Même logique côté téléphonie : si vos équipes basculent leurs appels sur leur mobile personnel pendant les congés, c’est le signe qu’il faut regarder du côté de la téléphonie IP en entreprise.

Pour sécuriser ces accès distants, il faut d’abord vérifier en amont que tous les outils professionnels disposent des dernières mises à jour, puis imposer systématiquement l’usage d’un VPN pour chiffrer les connexions. Ensuite, au-delà de la technique, la prévention passe par un rappel des bonnes pratiques, notamment la stricte séparation entre usages personnels et documents internes. Enfin, des solutions de protection réseau robustes comme le firewall européen Clavister, couplées à des politiques d’accès rigoureuses, garantissent un niveau de sécurité optimal où que soient vos équipes.

À retenir

• Les campagnes d’emails frauduleux augmentent sensiblement en décembre.
• Les accès non sécurisés sont un vecteur d’attaque courant.
• La fatigue et la surcharge augmentent le risque d’erreur.
• Les sauvegardes non testées entraînent des risques élevés.
• Le télétravail nécessite des mesures adaptées.

Questions fréquentes

Ne manquez pas le prochain article

Recevez nos conseils cybersécurité et informatique directement dans votre boîte mail. Pas de spam, désinscription en un clic.

L’article Protéger mon entreprise avant 2026 : 5 risques clés est apparu en premier sur Blog Cybersécurité et IT - EISN.

Pendant plusieurs heures, le dysfonctionnement a provoqué des blocages en cascade : connexions impossibles, sauvegardes interrompues, formulaires figés. Ainsi, des applications grand public jusqu’aux outils métiers des entreprises, une bonne partie du web a vacillé. Le service a certes été rétabli dans la soirée ; néanmoins, l’incident laisse un arrière-goût d’inquiétude.

Panne AWS : un incident technique aux répercussions mondiales

Selon Amazon, la panne AWS provenait d’un problème de routage interne sur l’un des principaux centres de données nord-américains. En quelques minutes, le dysfonctionnement s’est ensuite propagé : les serveurs hébergeant messagerie, sites e-commerce, outils de gestion et plateformes de paiement sont devenus inaccessibles.

Ensuite, médias, éditeurs de logiciels et institutions publiques ont signalé des interruptions partielles. En Europe également, plusieurs plateformes cloud dépendantes d’AWS ont subi le contrecoup. Rien de catastrophique à long terme, certes, mais un rappel brutal de la centralisation d’Internet : autrement dit, quand un géant éternue, la planète numérique tousse.

Le paradoxe du cloud : robustesse théorique, dépendance pratique

Le cloud est censé garantir disponibilité, redondance et continuité de service. Pourtant, une panne d’envergure peut survenir ; et quand elle vient du fournisseur lui-même, le client n’a aucune prise dessus.

Beaucoup d’entreprises, surtout les PME, misent sur le cloud d’Amazon en pensant s’affranchir des risques matériels. En pratique, elles déplacent pourtant le risque : moins de pannes locales, mais davantage de dépendance à un fournisseur mondial. Un système distribué, certes, mais piloté depuis un même cœur. C’est d’ailleurs l’un des arguments en faveur de solutions souveraines, comme un firewall européen maîtrisé de bout en bout.

Les pannes massives du cloud montrent que la question n’est plus de savoir si elles arriveront, mais comment s’y préparer.

Agence européenne pour la cybersécurité (ENISA)

Un signal d’alarme pour toutes les organisations

Contrairement aux grandes structures, les PME n’ont souvent ni cellule IT dédiée ni plan de continuité formalisé. Or un incident comme cette panne AWS peut bloquer un CRM, une comptabilité ou un outil de production.

De plus, l’impact n’est pas toujours visible immédiatement : formulaires non envoyés, sauvegardes incomplètes, pertes de données temporaires, interruptions dans les flux métiers. Et si la panne dure plusieurs heures, c’est parfois toute une journée de travail qui s’évapore. C’est précisément pourquoi une stratégie de sauvegarde indépendante du fournisseur reste indispensable.

⚠️ Le piège : externaliser dans le cloud ne délègue pas pour autant la vigilance. En effet, le cloud n’exonère jamais de la responsabilité de son propre système d’information.

Comment réduire la dépendance au cloud sans y renoncer

Il ne s’agit donc pas de se détourner du cloud, mais d’en mieux maîtriser les contours. Le modèle retenu — cloud public, privé ou hybride — pèse d’ailleurs autant que le choix du fournisseur lui-même. Le standard téléphonique n’échappe pas à la règle : garder son IPBX en interne ou le confier à un datacenter décide de ce qui reste joignable le jour où un fournisseur tombe. En effet, quelques bonnes pratiques transforment une dépendance risquée en architecture résiliente :

• Diversifier les fournisseurs : ne pas concentrer hébergement, sauvegardes et messagerie sur une seule plateforme.
• Prévoir des redondances locales : sauvegardes automatisées sur un NAS ou un serveur interne, pour garantir la continuité hors ligne.
• Superviser les performances : un outil de monitoring indépendant qui alerte en cas de défaillance externe.
• Évaluer la criticité de chaque service : tout n’a pas besoin d’être dans le cloud ; certaines briques métiers peuvent rester internes.

Ces mesures n’éliminent pas le risque ; en revanche, elles rendent les pannes absorbables plutôt que paralysantes. Elles rejoignent les chantiers à traiter pour protéger son entreprise.

Comment réagir intelligemment (sans exploser le budget)

Amazon a rétabli ses services après plusieurs heures et promis un rapport détaillé. Mais au-delà du problème technique, cette panne AWS envoie un signal fort : les grands acteurs concentrent la puissance et, par conséquent, la fragilité.

• Ont-elles identifié leurs points de dépendance ?
• Ont-elles prévu un plan B en cas d’indisponibilité d’un fournisseur ?
• Savent-elles communiquer avec leurs clients si leurs services deviennent inaccessibles ?

💡 À retenir : finalement, les entreprises les mieux préparées ne sont pas celles qui évitent les pannes, mais bien celles qui continuent à fonctionner pendant qu’elles surviennent.

À retenir

• La panne AWS du 21 octobre 2025 a touché des milliers de services dans le monde.
• L’incident souligne la dépendance des entreprises à quelques géants du cloud.
• Pour les PME, il est temps d’adopter une approche multi-cloud ou hybride.
• La sauvegarde locale et la supervision indépendante restent des filets de sécurité indispensables.
• L’enjeu n’est pas d’éviter les pannes, mais de préserver la continuité d’activité.

Questions fréquentes

Ne manquez pas le prochain article

Recevez nos conseils cybersécurité et informatique directement dans votre boîte mail. Pas de spam, désinscription en un clic.

L’article Panne AWS : quelles leçons pour les entreprises françaises ? est apparu en premier sur Blog Cybersécurité et IT - EISN.

Mutualisé ou dédié : la frontière qui change tout

Le mot « cloud » ne désigne aucune technologie précise. Il désigne un ordinateur installé chez quelqu’un d’autre, dans un bâtiment que vous n’avez jamais visité, sous une juridiction que vous n’avez pas choisie. Tant que ce quelqu’un tient ses engagements, la nuance paraît théorique. Elle cesse de l’être le jour où il faut répondre à trois questions précises : où sont physiquement mes données, qui peut légalement les consulter sans mon accord, et combien de temps me faudrait-il pour les récupérer intégralement ?

Ces trois questions n’ont pas la même réponse selon que vos ressources sont mutualisées ou dédiées. En environnement partagé, vous héritez des choix de votre fournisseur : sa localisation, ses conditions contractuelles, son calendrier de maintenance, son droit applicable. Sur des ressources dédiées, vous imposez les vôtres. Ce n’est pas d’abord une question de performance, c’est une question de levier : dans un cas vous subissez une politique, dans l’autre vous l’écrivez.

La conséquence est stratégique. Concentrer bureautique, applications métier et sauvegardes chez un seul hébergeur, c’est faire reposer toute l’activité sur un contrat unique — un scénario dont nous avons tiré les leçons lors de la panne AWS d’octobre 2025. Le sujet de cet article n’est pas l’incident, mais la décision qui le précède : ce que vous acceptez de mutualiser, ce que vous gardez dédié, et ce que vous exigez au contrat avant de signer.

La vraie question n’est donc pas de savoir si le cloud est fiable, mais de décider ce que vous acceptez de ne plus contrôler.

Cloud public, privé ou hybride : les vraies définitions

Derrière trois mots devenus des arguments commerciaux se cache une différence simple et structurante : partagez-vous vos ressources avec d’autres locataires, ou les gardez-vous pour vous seul ? Par conséquent, tout le reste en découle, de la sécurité à la facture.

Le cloud public : la souplesse, mais deux pièges

Sa force est réelle : mise en service immédiate, aucun investissement matériel, une dépense qui suit l’usage. Pour la bureautique collaborative, Microsoft 365 en est la meilleure illustration, et nous le déployons tous les jours. Deux pièges méritent cependant d’être posés sur la table avant de signer.

Le premier est financier. L’entrée des données est gratuite, leur sortie se facture au gigaoctet : ce sont les frais de sortie, les fameux egress fees. Le jour où vous souhaitez changer de fournisseur, l’extraction de vos volumes peut coûter davantage que l’hébergement lui-même, et la réversibilité devient purement théorique.

Le second est juridique. Le Cloud Act, adopté en 2018, oblige toute entreprise relevant du droit américain à communiquer aux autorités des États-Unis les données qu’elle héberge, sur mandat, même lorsque les serveurs se trouvent physiquement en France ou en Europe. La localisation du datacenter ne règle donc pas, à elle seule, la question de la souveraineté.

Le cloud privé : des ressources dédiées et une adresse connue

À l’inverse, vous ne partagez vos ressources avec personne. Ainsi, vous savez dans quel datacenter vos machines tournent, sous quel droit, et vous imposez vos propres règles de sécurité, de cloisonnement et de conservation. C’est ce qui rend l’exercice de conformité possible : on ne documente bien que ce que l’on maîtrise.

L’avantage est aussi budgétaire. En effet, le coût total de possession se calcule sur trois à cinq ans et ne dépend pas d’un pic de bande passante ou d’un volume de sauvegarde imprévu. C’est pourquoi nous réservons le cloud privé à ce qui ne doit jamais disparaître : l’ERP, la donnée client, la propriété intellectuelle et les bases de production.

Le cloud hybride : le pragmatisme, entre public et privé

Dans la pratique, presque aucune organisation ne tient entièrement dans un seul modèle. L’architecture que nous installons le plus souvent est une interconnexion raisonnée : la bureautique et la messagerie restent dans le cloud public, le cœur métier vit sur des ressources dédiées, et nous chiffrons puis contrôlons les échanges entre les deux. L’hybride n’est donc pas un compromis mou, c’est du pragmatisme.

💡 À retenir : le découpage se décide donnée par donnée, jamais fournisseur par fournisseur. La bureautique collaborative s’accommode très bien du mutualisé ; l’ERP, la donnée client et la propriété intellectuelle méritent du dédié.

Comparatif cloud public, privé ou hybride : les critères qui décident

Entre cloud public, privé ou hybride, les arguments commerciaux se ressemblent tous ; les obligations, elles, ne se négocient pas. Le RGPD exige de savoir où vous stockez et traitez les données personnelles. De plus, la directive NIS2 impose une gestion documentée des risques liés aux prestataires, et vos clients concernés vous la répercuteront par contrat. Quant au référentiel SecNumCloud de l’ANSSI, il fixe le repère : un cloud de confiance échappe aux lois extraterritoriales. Voici, critère par critère, ce que cela change concrètement.

Comment nous déployons un cloud privé, de l’audit à l’exploitation

Un projet cloud échoue rarement pour des raisons techniques : il déraille parce qu’on a migré avant d’avoir cartographié. Nous procédons donc toujours dans le même ordre.

Le point aveugle : non, vous n’êtes pas sauvegardé

« Je suis chez Microsoft, donc je suis sauvegardé » : c’est la phrase que nous entendons le plus souvent, et elle est fausse. En réalité, les grands hébergeurs appliquent un modèle de responsabilité partagée. Ils garantissent que l’infrastructure tourne ; vous restez responsable de vos données. Si un collaborateur vide un dossier partagé, ou si un rançongiciel chiffre vos fichiers synchronisés, l’hébergeur n’a rien à restaurer pour vous. La sauvegarde figurait d’ailleurs déjà parmi les cinq risques à verrouiller en priorité.

La réponse tient en trois éléments. D’abord la règle du 3-2-1 : trois copies, deux supports, une copie externalisée. Ensuite une sauvegarde que Veeam pilote sur un stockage robuste, de type Synology. Enfin, et surtout, l’immuabilité : une sauvegarde en lecture seule qu’un attaquant, même devenu administrateur, ne peut ni chiffrer ni supprimer. C’est ce qui sépare l’incident de la catastrophe, comme nous le détaillons à propos du chantage au rançongiciel.

Un cloud privé ne s’expose jamais nu sur internet

Les échanges entre vos sites et le datacenter ne circulent jamais en clair sur internet : des pare-feux et des tunnels stricts les encadrent, et nous nous appuyons pour cela sur des équipements Clavister. En outre, l’authentification multifacteur verrouille l’accès aux consoles d’administration : c’est la porte la plus convoitée d’une infrastructure hébergée.

⚠️ Le piège à éviter : signer un contrat sans lire la clause de sortie. Le jour où vous voudrez récupérer vos données, le coût d’extraction et le format de restitution décideront à votre place. La réversibilité se négocie à l’entrée, jamais à la sortie.

En résumé : le public pour collaborer, le cloud privé ou hybride pour le cœur métier

Aucun modèle de cloud public, privé ou hybride ne convient à tout le monde : seul compte celui qui reste cohérent avec la sensibilité de vos données et vos obligations. Dans la pratique, l’architecture que nous recommandons le plus souvent est hybride, avec un cœur privé : la bureautique reste dans le public, tandis que l’ERP, la donnée client et la propriété intellectuelle vivent sur des ressources dédiées, localisées et sauvegardées de façon immuable. Et le jour où quelque chose se passe mal, vous n’ouvrez pas un ticket en anglais auprès d’un support délocalisé : vous appelez un ingénieur qui connaît votre infrastructure. Le même raisonnement s’applique à votre standard téléphonique : décider où faire vivre son IPBX revient exactement à choisir où vit un serveur. Pour le cadrage complet, voir téléphonie IP en entreprise, par où commencer.

Questions fréquentes

Ne manquez pas le prochain article

Recevez nos conseils cybersécurité et informatique directement dans votre boîte mail. Pas de spam, désinscription en un clic.

L’article Cloud public, privé ou hybride : quel modèle choisir pour une entreprise sécurisée et performante ? est apparu en premier sur Blog Cybersécurité et IT - EISN.