Résilience et souveraineté par l'exemple

Voilà une mésaventure – certes survenue loin de l'Europe et dans des circonstances spécifiques – qui illustre tout de même les risques encourus par les entreprises internationales qui dépendent très fortement de services fournis par des acteurs, en l'occurrence américains, soumis à des contraintes qui peuvent devenir arbitraires.

La victime de l'affaire est une société indienne, Nayara Energy, récemment placée dans la liste des sanctions de l'Union Européenne en raison de ses liens directs avec la Russie. Sur la foi de cette désignation, l'éditeur lui a purement et simplement verrouillé du jour au lendemain l'accès à ses applications de productivité et de collaboration, critiques pour le fonctionnement de nombreuses organisations, sans aucune information préalable et en dépit de licences régulièrement acquises et dûment payées.

Les dirigeants de Nayara ont immédiatement engagé un recours judiciaire et, apparemment, Microsoft est maintenant revenue en arrière et a finalement rétabli les connexions. Quoi qu'il en soit, cette anecdote illustre comment une décision intempestive plus ou moins justifiée – et la conjoncture politique actuelle nous offre quotidiennement l'occasion de craindre un événement de ce genre – peut soudainement paralyser une firme qui exploite des outils d'origines diverses sans y réfléchir.

Dans le cas d'espèce, ce sont toutes les communications des collaborateurs, entre eux et avec leurs clients et partenaires, qui disparaissent de la sorte. Pour des structures qui recourent aux infrastructures infonuagiques des géants technologiques, l'impact pourrait également s'étendre aux logiciels et aux données opérationnels, jusqu'à, potentiellement, effacer toute la mémoire de l'entreprise. Imaginez, par exemple, une banque qui n'aurait plus aucun contrôle sur les comptes de ses clients !

Encore une fois, nous n'en sommes (heureusement) pas encore à devoir s'inquiéter de tels blocages affectant des grands groupes respectables. Mais les lubies de certain chef d'état peuvent facilement créer des situations dans lesquelles la menace prendrait forme plus concrète. Or l'absence de parade dans les plans de résilience des institutions financières vis-à-vis de l'emprise de quelques fournisseurs impose, du fait des conséquences graves d'un incident, de prendre en compte ce risque, même faible.

La réglementation DORA, entrée en vigueur au début de l'année, requiert une vigilance particulière sur ces dangers. Mais, au-delà de ses exigences, il faut peut-être commencer aussi à imaginer des plans de remédiation pour les crises improbables mais pas totalement impossibles, dont l'exécution sera probablement très lourde.

Coût de l'IA : risque ou opportunité ?

Selon une étude du cabinet spécialisé Canalys, les dépenses d'infonuagique des entreprises grimpent en flèche (de 21% sur un an, au début de 2025) et les applications de l'intelligence artificielle sont pour beaucoup dans cette hausse. Le réflexe de surveillance et de modération qui en découle constitue peut-être une bonne nouvelle.

Selon l'analyse des experts, la forte croissance observée est en effet imputable à un croisement de deux facteurs, entre, d'une part, les velléités d'exploiter le potentiel de l'IA, pour laquelle le « cloud » représente généralement le support optimal, et, d'autre part, la résurgence des projets de migration des applications hébergées dans les centres de production internes… qui profite elle-même de la vague de l'intelligence artificielle, celle-ci ayant besoin de se nourrir des données du système d'information.

Or la consommation de puissance informatique des modèles mis en œuvre commence à inquiéter les décideurs. S'ils parviennent à maîtriser les étapes de mise au point, relativement bien cernées, avant le déploiement, ils se sentent rapidement dépassés sur les phases d'exploitation, avec une facturation à l'usage des infrastructures qui non seulement peut devenir hors de contrôle mais est est en outre extrêmement volatile, limitant leur faculté à anticiper les capacités requises et le budget qu'elles requerront.

Face à cette situation, les fournisseurs (dont les trois principaux restent Microsoft, Google et Amazon) s'évertuent à proposer des matériels plus efficaces et performants, de manière à améliorer l'équation économique de leurs clients. Mais, l'exercice ayant ses limites, ces derniers ont désormais tendance à prendre des mesures restrictives, entre simplifications des modèles, resserrement des critères d'utilisation et, surtout, sélection rigoureuse des scénarios de mise en œuvre, par la valeur générée.

Voilà, selon moi, une évolution bienvenue ! Alors que les expérimentations partent dans tous les sens, souvent sans la moindre réflexion préalable sur la véritable pertinence des cas d'usage envisagés… ni considération pour les coûts (des tests eux-mêmes mais également, et de façon plus critique, de fonctionnement opérationnel en production, ce qui devrait conditionner n'importe quelle initiative), la surveillance des factures d'infonuagique peut constituer un garde-fou utile, même s'il est tardif.

Il faut espérer que ce qui arrive ainsi par le contrainte retrouve un jour – aussi proche que possible – sa place normale de critère de bon sens, avec un filtrage en amont des projets IA, à la fois par des éléments financiers complets… et, idéalement, par les impacts environnementaux, que personne ne semble malheureusement prendre en compte dans la chaîne de décision. Il est vrai que les vendeurs de « cloud », qui parfois n'hésitent pas à rendre leurs offres opaques à dessein, ne facilitent pas la tâche.

Scoop : le cloud n'est pas une solution magique !

Consternation dans les institutions financières : selon le rapport mondial de l'infonuagique élaboré par l'institut de recherche de Capgemini, les bénéfices attendus du « cloud » ne sont pas au rendez-vous pour 6 responsables sur 10. Mais leurs espoirs étaient-ils bien placés ? Ou ont-ils cru à un mirage technologique de plus ?

Il suffit d'entrer dans le détail des facteurs de déception exprimés pour comprendre que ces questions sont légitimes. Parmi les objectifs non atteints figure ainsi la réduction des coûts informatiques – alors que l'efficacité opérationnelle constitue justement un des principaux enjeux des mises en œuvre. Mais on peut également en citer quelques autres : la capacité à absorber les pics de charge (la « scalabilité » en bon franglais), l'accélération de l'innovation, l'amélioration de la sécurité et de la conformité…

Ce sont en fait tous les sujets épineux du secteur qui sont énumérés de la sorte, avec l'illusion qu'ils devaient disparaître grâce aux vertus quasiment magiques de l'infonuagique (comme le promettent d'ailleurs bien des fournisseurs…). Malheureusement, comme souvent avec les technologies à la mode, leurs adeptes aveuglés par le marketing oublient une réalité triviale : les outils ne sont que cela, des outils, et ils n'ont pas le pouvoir de transformer le monde par eux-mêmes.

En l'occurrence, nous avons ici affaire à un cas d'école de la mauvaise appropriation – sauf dans les 12% d'établissements en pointe identifiés par Capgemini – d'un concept qui ne peut procurer ses bénéfices qu'à travers une approche extensive. L'étude souligne par exemple les difficultés d'intégration avec les systèmes (pré)historiques qui opèrent toujours le cœur stratégique de la plupart des banques et compagnies d'assurance. Elles coûtent très cher et limitent la portée des avantages du « cloud ».

Plus généralement, le besoin de prendre en compte le patrimoine existant, avec toute son hétérogénéité, représente un obstacle à l'industrialisation, préalable à l'optimisation. Il en est de même pour les habitudes des équipes informatiques : si les pratiques en vigueur n'évoluent pas, le changement d'infrastructure seul n'aura guère d'impact. Pour ne prendre qu'une illustration : combien d'applications sont capables aujourd'hui de supporter un ajustement automatique à une brusque variation des sollicitations ?

Il faudrait également aborder la question des processus, qui, dans une large mesure, restent manuels et sur lesquels aucun gain direct n'est donc envisageable. Apparemment, les dirigeants misent sur les robots d'automatisation (« RPA ») et sur l'intelligence artificielle pour résoudre ce problème. Ou comment pallier les déficiences de l'organisation face à une technologie survendue par l'introduction de technologies supplémentaires, elles-mêmes appréhendées comme des remèdes miracles !

Ceux qui veulent dégager la véritable valeur de l'infonuagique ne se contentent pas d'implémenter un produit ou une plate-forme, qui ne va qu'ajouter de la complexité et des coûts à un édifice déjà fragile. Ils prennent d'abord le temps de comprendre les conditions nécessaires à la réalisation de leurs ambitions et ils s'efforcent de les reproduire avant toute autre action. Nous parlons ici d'écosystèmes (le « cloud » est un univers et pas une planète isolée), de méthodes et d'usages, de gouvernance…

BBVA poursuit ses tests quantiques

Largement éclipsée par l'intelligence artificielle, dont elle pourrait pourtant contribuer à décupler les performances, l'informatique quantique reste une tendance extrêmement importante à plus ou moins long terme. Il ne faut donc guère s'étonner qu'une banque telle que BBVA s'attache à en explorer les frontières avant sa maturité.

Pour l'instant, en 2024, le changement d'échelle dans les capacités de calcul que devraient autoriser ces futurs ordinateurs fonctionnant non plus sur la base de composants électroniques ordinaires mais à partir des principes de changements d'état de la matière reste une promesse théorique dont la concrétisation, si elle survient un jour, demandera encore plusieurs années de recherche. Le principal obstacle est l'instabilité des machines actuelles, qui nuit à la qualité des résultats produits.

Malgré tout, les perspectives sont si attractives, en particulier dans le secteur financier, que les tentatives d'apprivoiser au plus tôt la technologie se multiplient, à la fois dans le but d'apprendre à exploiter sa puissance, qui exige un ré-apprentissage complet des pratiques de développement logiciel, qu'afin de vérifier, autant que possible, que les bénéfices espérés seront bien au rendez-vous. C'est essentiellement sur ce second objectif que BBVA se focalise avec ses dernières expérimentations en date.

Les grands cas d'usage envisagés – en tous cas pour commencer – sont désormais stabilisés. Ils concernent, d'une part, la sécurisation des données et des communications, dont les mécanismes en vigueur sont menacés par l'informatique quantique, et, d'autre part, les simulations de risque, notamment sur des portefeuilles de banque d'investissement, qui sont les plus susceptibles de profiter des gains supposés des traitements parallélisés qui constituent le cœur du futur nouveau paradigme.

Or la difficulté rencontrée par les chercheurs en finance, surtout dans ce dernier domaine, consiste à vérifier les hypothèses qu'ils formulent à échelle réelle et non seulement sur des échantillons peu représentatifs. En d'autres termes, il leur faut démontrer que les infrastructures industrielles de demain offriront un avantage suffisant pour justifier les investissements à consentir, sans se contenter d'interpolations à partir de quelques tests réalisés sur des sortes de maquettes miniatures.

Or, avec les modèles de simulation disponibles aujourd'hui, la tâche est impossible à exécuter dans des délais raisonnables sur des composants traditionnels. C'est pourquoi BBVA, en collaboration avec le spécialiste VASS et l'opérateur infonuagique AWS, a mis au point un environnement distribué dont la dimension globale atteint l'équivalent d'un ordinateur quantique de 38 qubits. Il permet ainsi à l'établissement d'approcher des conditions opérationnelles pour les algorithmes dont il souhaite valider la pertinence.

Nul ne sait vraiment à quelle échéance, mais il est désormais quasiment certain que l'informatique quantique finira par s'imposer un jour et il ne fait alors aucun doute que son impact sera considérable sur toutes les organisations dont l'activité repose sur le traitement de l'information… donc une grande partie des économies modernes. Celles qui, comme BBVA, se préparent dès maintenant mettent toutes les chances de leur côté pour faire partie des premières à capitaliser sur ses opportunités.

L'ingénierie logicielle à l'aube d'une mutation

Comme à chaque automne, le cabinet Gartner livre sa traditionnelle vision des 10 tendances technologiques les plus importantes pour les trois prochaines années. Si l'omniprésence de l'intelligence artificielle dans la liste ne surprend pas, une autre thématique attire mon attention, esquissant une profonde transformation de l'ingénierie logicielle.

Honnêtement, je ne crois pas qu'il soit nécessaire de faire appel à des experts internationaux pour encourager les dirigeants d'entreprise à surveiller avec la plus grande attention, dans les mois qui viennent, la démocratisation de l'IA générative, les enjeux de confiance, de sécurité et de risques de l'IA ou l'émergence du collaborateur augmenté. Je ne pense même pas qu'ils aient besoin de stimulation alors que leur engouement pour ces sujets, souvent excessif, mériterait probablement plutôt d'être tempéré.

En revanche, les moyens requis afin de réaliser les promesses des nouvelles technologies, à l'intention, en priorité, des professionnels de l'informatique et des données, valent, eux, d'être mieux appréhendés. En effet, la pénurie actuelle de talents, fréquemment citée comme un frein, n'est pas le seul argument justifiant l'introduction de nouvelles approches : la sophistication croissante des solutions envisagées créera durablement une demande massive pour des compétences de très haut niveau.

Prenons l'exemple des « applications intelligentes », qui font aussi partie de la sélection de Gartner. Celles-ci embarqueront nativement des connexions à de multiples sources de données, des capacités d'analyse de l'information, des modèles d'intelligence artificielle… afin de délivrer une expérience qui s'adapte en temps réel à chaque individu et à son contexte. Or une telle perspective exigera naturellement l'intervention de spécialistes aguerris maîtrisant tous ces aspects et capables de les orchestrer à bon escient.

La première réponse à la crise qui sévit déjà aujourd'hui consiste à assister le travail des développeurs avec des outils équipés d'IA qui prennent en charge une partie des tâches de programmation et de test, libérant ainsi des ressources pour les phases plus structurantes, dont la conception et l'architecture. Ce n'est pas un hasard si la plupart des entreprises qui, ces derniers temps, explorent les possibilités de ChatGPT et ses équivalents incluent ce type de cas d'usage dans leurs départements informatiques.

Une autre évolution à considérer, beaucoup moins flagrante, est l'apparition de ce que Gartner qualifie d'« ingénierie des plates-formes », une discipline naissante qui porte l'ambition d'élaborer, mettre en place et opérer des plates-formes de développement accessibles en libre-service, offrant à ses utilisateurs (notamment les « développeurs citoyens ») des jeux de fonctions et de processus prêts à l'emploi, qu'il ne reste qu'à agencer pour produire rapidement de nouvelles solutions à valeur ajoutée.

Enfin, en embuscade, Gartner prédit que 70% des organisations adopteront des offres infonuagiques dédiées à leur secteur d'ici 2027. Aux côtés des approches génériques qui dominent en 2023, elles assembleront des composants, d'infrastructure ou relevant du métier, accompagnés de couches d'intégration facilitant leur prise en main. Incidemment, elles pourraient même contribuer à la souveraineté européenne en matière de cloud, si un acteur crédible parvenait à faire face aux géants américains dans un domaine majeur.

La synthèse de ces tendances apparemment hétéroclites pointe vers une informatique systématiquement et inconditionnellement modulaire, dont les éléments les moins différenciateurs seront mis en commun, à la fois en interne et via des fournisseurs tiers, les équipes informatiques se concentrant alors sur la création des briques stratégiques, qui génèrent un avantage concurrentiel, tandis qu'une population moins technique se chargera de les mettre en scène, en soignant, notamment, l'expérience utilisateur.

Sparx pilote les souscriptions de l'entreprise

En quelques années, les outils qui, à l'instar de celui du pionnier Minna Technologies, permettent aux consommateurs d'optimiser leurs abonnements se généralisent, entre autres au sein des plates-formes de banque à distance. Aux États-Unis, Sparx vient de lever 3,1 millions de dollars afin de décliner le principe à l'intention des entreprises.

Naturellement, quelques trublions, tels que Ramp, ont commencé à effleurer l'opportunité et intègrent déjà dans leurs offres globales, de gestion de frais professionnels, en l'occurrence, des facultés d'analyse intelligente des dépenses enregistrées afin de repérer des sources d'économies potentielles et des moyens d'aide à leur exploitation. La principale différence chez la nouvelle venue est sa spécialisation exclusive sur cet axe, qui lui donne l'occasion d'y déployer une couverture importante, depuis les coûts d'infonuagique aux primes d'assurance en passant par les services en ligne.

Afin de remplir sa mission, la solution se connecte à différents systèmes… et les comptes bancaires n'en font pas actuellement partie. Pour les plates-formes de « cloud computing », par exemple, c'est par l'intermédiaire d'un accès à l'administration des ressources qu'elle va ajuster en temps réel les capacités souscrites en fonction de la consommation effective. En ce qui concerne les outils web, ce sera le recours aux fonctions d'identité numérique qui autorisera le suivi, à la fois des contrats conclus au niveau de l'organisation et des achats réalisés directement par des employés.

Dans tous ces cas, le client de Sparx peut choisir un mode de fonctionnement autonome : avec cette option, les algorithmes régulent automatiquement les services placés sous sa surveillance, réduisant de la sorte les factures sans aucune intervention humaine… parfois au prix de possibles excès de zèle (notamment sur le blocage des utilisateurs d'informatique de l'ombre). Enfin, selon la startup, ces actions participent à la maîtrise des risques et donnent lieu à des rabais de la part de nombreux assureurs.

La jeune pousse est en pleine phase d'émergence et son logiciel est aujourd'hui encore en version beta, 6 mois après son premier lancement. Son périmètre d'intervention reste d'ailleurs limité à ce jour, ne prenant en compte que quelques fournisseurs d'identité numérique (Google, Microsoft et Okta) et un seul socle infonuagique (AWS) pour ses deux fonctions phares. Pourtant, elle attire l'attention de plusieurs enseignes prestigieuses (BMW, Zillow…) et affirme avoir atteint le seuil de profitabilité depuis cet été.

Il faut admettre que Sparx a idéalement choisi son moment, alors que l'époque est, dans la plupart des grands groupes, à la baisse des coûts. Nul doute que la gratuité de son offre (son modèle d'affaires reposant vraisemblablement sur des courtages) encourage les directeurs financiers à vérifier sa promesse de gains de plus de 50% sur son domaine de compétences. Notons au passage que la solution se veut aussi utile aux structures de toutes dimensions… sur des besoins variés, pas toujours informatiques.

Bien que n'étant pas nécessairement pertinente telle quelle pour les institutions financières, la démarche de Sparx pourrait tout de même probablement inspirer ces dernières, moyennant un croisement avec leurs initiatives à destination du grand public, et déboucher sur une solution de recherche des économies à réaliser adaptée aux entreprises, évidemment basée sur l'observation de leurs flux de trésorerie…

L'avenir de la banque digitale selon Gartner

À l'occasion du lancement, en Australie, de sa saison 2022 de symposiums IT, le cabinet Gartner partage sa vision des tendances technologiques essentielles pour le secteur bancaire et met en exergue celles qui devraient arriver rapidement à maturité… dans un étonnant élan d'optimisme que les réalités du terrain risquent de contrarier.

Il est vrai que le positionnement des « chatbots » parmi les catégories de solutions proches du « plateau de productivité », donc quasiment prêtes à l'industrialisation, n'est pas particulièrement surprenant, d'autant plus que les analystes soulignent la grande diversité de contextes dans lesquels ils sont exploités, avec des niveaux de complexité variables, bien que les implémentations les plus fréquentes interviennent dans les départements de support, en interne et en externe, ou de ressources humaines.

Présentés comme une des principales sources de projets mettant en œuvre l'intelligence artificielle, celle-ci concerne avant tout le traitement du langage. Leur contribution à la transformation des relations entre humain et machine a le vent en poupe, notamment dans les applications mobiles, où l'approche imposant à l'utilisateur d'apprendre l'interface laisse place au « chatbot » qui s'adapte à son interlocuteur. Enfin, leur progression est favorisée par une programmation de plus en plus accessible aux non informaticiens.

Dans un registre plus technique, Gartner place dans la même zone de son échelle, à court terme, l'adoption de l'infonuagique public, ce qui me laisse plutôt perplexe. Les arguments invoqués de flexibilité et d'efficacité sont indiscutables et l'impact potentiel sur les coûts d'infrastructure devrait être un puissant facteur de séduction. Pourtant, les réticences persistantes, motivées entre autres par des craintes pour la sécurité, ne laissent guère entrevoir d'évolution majeure au-delà de l'usage marginal actuel.

Puis vient le concept de « banque en services » (« BaaS »). Celui-ci occupe très justement le sommet du « pic des attentes excessives » : omniprésent dans les plans stratégiques, il répond à une double préoccupation de recherche de relais de croissance dans des marchés saturés (où, de surcroît, une nouvelle concurrence émerge) et de rebond sur les opportunités offertes par l'ouverture des données, jusqu'à maintenant abordée (presque) exclusivement par l'angle de la contrainte réglementaire.

Dans une brutale accélération vers la généralisation, Gartner affirme que 30% des institutions financières (de taille respectable) engageront des initiatives en la matière d'ici à la fin de 2024… tout en estimant que la moitié d'entre elles ne parviendront pas à en tirer les revenus supplémentaires espérés. En l'occurrence, l'obsession des responsables pour l'identification des modèles d'affaires possibles et la quantification du retour sur investissement associé me semble hélas plus propice à la temporisation.

En effet, l'emballement universel qui entoure le sujet masque mal l'impréparation des banques à un chantier d'une ampleur considérable. Il ne peut « simplement » être question de proposer les services existants sous forme d'API, ce qui, incidemment, entraîne déjà souvent des difficultés insondables. Il faut également comprendre à qui ces offres s'adressent, mettre en place des dispositifs contractuels inédits, créer des parcours client spécifiques… en un mot, concevoir et déployer un métier totalement nouveau.

Imaginer que l'ensemble de ces transformations surviendra sous deux ans paraît d'autant plus illusoire que, outre l'inertie et la prudence traditionnelles du secteur, d'autres impératifs mobilisent les énergies, dont certains (la rénovation des cœurs de système, par exemple) constituent un préalable indispensable. Dans l'intervalle, il faut s'attendre à une accumulation d'échecs… dont la conséquence sera de décourager les acteurs moins audacieux et de retarder encore la transition vers la banque vraiment « digitale ».

Au fait, notre blockchain ne servait à rien

En 2014, MonetaGo, comme d'innombrables jeunes pousses à la même époque, surfait sur les promesses mirobolantes de la blockchain pour le développement de sa solution de protection contre la fraude sur le financement des échanges commerciaux (« trade finance »). Aujourd'hui, elle revient à des technologies plus classiques.

Avec sa plate-forme, l'entreprise vise à détecter et éliminer une des catégories de malversations les plus courantes du domaine, à savoir les demandes de crédit multiples pour une même opération, réelle ou fictive, auprès de différents établissements, ignorant naturellement ce que font leurs concurrents. La riposte qu'elle propose relève de l'évidence, puisqu'il s'agit de créer un référentiel partagé des dossiers pris en charge que chaque participant peut consulter pour contrôle avant de conclure un contrat.

Le principe est très populaire pour toutes les problématiques similaires, où la mise à disposition d'information à une communauté permet de mieux repérer les indélicatesses. Sa seule vraie complexité réside dans la nécessité de protéger la confidentialité des données sensibles, passant ici par le recours à une empreinte codée. Il est proche de celui qui régit les applications de gestion de la traçabilité, dans lesquelles une signature unique est créée pour chaque produit, autorisant son suivi au fil de ses mouvements.

Or, donc, MonetaGo expose quelques-unes des difficultés rencontrées dans la mise en œuvre technique de son projet, reposant initialement sur le socle Hyperledger (de la fondation Linux) avant de basculer sur celui de R3, favori (ruineux) de l'industrie financière. Il est question, sans surprise, d'immaturité des logiciels, de manque d'expertise interne, de limitations dans la capacité à absorber la charge (devenant critique avec la croissance des transactions), ainsi que de réticences de certains régulateurs.

Le plus savoureux dans le revirement de MonetaGo est son admission explicite que la blockchain n'apporte aucune valeur ajoutée à son modèle de fonctionnement, expliquant même que l'adoption de méthodes traditionnelles est beaucoup plus simple et aussi efficace. Elle essaie bien de justifier sa prise de conscience tardive par le temps qu'il aurait fallu à ses clients institutionnels pour accepter l'infonuagique sur laquelle elle déploie désormais sa plate-forme, mais l'argument paraît pour le moins fallacieux.

La réalité que « découvre » la startup aurait dû être une évidence depuis longtemps. Car les principaux obstacles dans les types d'applications considérées (traçabilité comprise) sont, d'une part, l'instauration d'une coopération entre les acteurs impliqués, et d'autre part, la définition d'un système d'échange de données sans compromis sur leur confidentialité. La blockchain n'offre aucun avantage pour aucun de ces deux aspects… et il en est de même pour la (quasi ?) totalité des implémentations actuelles.

Capital One devient éditeur de logiciel

Pour de nombreux observateurs, l'idée que les institutions financières pourraient devenir des firmes technologiques est une absurdité. Pour quelques-unes d'entre elles, il s'agit désormais d'une ambition. Pour Capital One, c'est une réalité qui prend corps, avec la création d'une filiale dédiée à la commercialisation de logiciels aux entreprises.

Comme quand ING lançait SAIO l'année passée pour distribuer son expertise en matière de robotisation de processus (RPA), c'est bien parce qu'elle estime posséder un avantage déterminant dans un domaine spécifique (purement informatique) que Capital One s'engage dans une telle démarche. En l'occurrence, elle joue sur son exceptionnelle maturité dans l'infonuagique (avec sa rare stratégie d'adoption universelle du cloud public), plus particulièrement autour de la donnée et de l'intelligence artificielle.

Le premier produit qu'elle propose, essentiellement à des grands groupes, est une plate-forme (SaaS) de pilotage des entrepôts de données Snowflake, une solution populaire de « datawarehouse as a service ». Sans entrer dans des détails sordides, Slingshot permet aux équipes de la DSI de centraliser et automatiser les allocations de ressources nécessaires au stockage et aux calculs, sous le contrôle d'une gouvernance rigoureuse, afin d'optimiser les coûts tout en offrant un maximum de flexibilité aux utilisateurs.

Une originalité du modèle d'éditeur de Capital One Software est que son outil est directement issu des besoins et des réalisations de sa maison mère. Avant d'avoir conquis un client externe, elle peut ainsi mettre en avant, preuves à l'appui, le cas d'usage auquel il répond (en insistant ici sur l'absence d'équivalent sur le marché) et les bénéfices concrets qui en sont retirés (à savoir l'économie de 50 000 heures d'efforts manuels et la réduction – projetée – de 27% de la facture globale de services infonuagiques).

Naturellement, un deuxième argument de vente puissant de Capital One Software est son intransigeance vis-à-vis de la sécurité (entre autres sur la protection des données et la gestion des accès), d'autant plus critique quand il est question de déploiements dans des infrastructures cloud publiques sur lesquels ses clients potentiels ne disposent généralement pas de sa longue expérience. S'y ajoute peut-être, pour certains, la confiance distinctive accordée à un pair (plutôt qu'à un spécialiste du logiciel).

L'initiative méritera d'être surveillée, car rien ne dit qu'elle sera couronnée de succès. Un obstacle prévisible est notamment la difficulté, souvent mal anticipée, que rencontrera la banque à concilier ses habitudes de développement « à façon » avec la mise en place d'une approche standardisée (externalisée de fait), dans laquelle, par exemple, les évolutions sont dictées par les demandes de l'ensemble des clients.

Quelques acteurs, dont la MAIF, considérant aussi avoir un patrimoine logiciel susceptible d'intéresser d'autres entreprises, font plutôt le choix du partage sous licence libre, en profitant au passage de ses opportunités de contributions et d'enrichissement. À l'opposé, l'option retenue par Capital One vise évidemment à créer une nouvelle source de revenus à partir d'une charge intrinsèque à son activité… au prix de la mise en place d'une lourde organisation (ventes, support…) : le jeu en vaudra-t-il la chandelle ?

Stratégie infonuagique ou évolution tactique ?

Les prémices d'un récent article de Bank Automation News m'incitent aujourd'hui à questionner, en en laissant de côté les considérations de spécialistes, les tactiques infonuagiques de nombreuses institutions financières qui tiennent (trop) fréquemment lieu de substituts à une véritable réflexion stratégique sur leurs orientations technologiques.

Elles sont faciles à reconnaître, ces banques et (plus rarement, car le secteur a du retard sur ce terrain) compagnies d'assurance qui présentent les progrès fulgurants de leur modernisation technologique en affirmant que 80 ou 90% de leurs applications sont désormais déployées dans le « cloud ». Les curieux notent que, dans l'immense majorité des cas, il s'agit d'une implémentation interne du concept, mais ne nous affirme-t-on pas que cette option est essentielle afin d'assurer la sécurité des données sensibles ?

Malheureusement, il existe une autre réalité, discrètement évacuée car beaucoup moins reluisante. En effet, si les infrastructures mises en place dans les centres de production des entreprises adoptent une partie des principes fondamentaux de l'infonuagique, permettant par exemple d'allouer dynamiquement des ressources de calcul ou de stockage en fonction des besoins, les logiciels qu'elles hébergent, bâtis pour un modèle d'une autre ère, ne profitent pas pleinement de leurs capacités sous-jacentes.

Entre les applications monolithiques, qui ne peuvent, par conséquent, supporter aucune facilité de montée en charge automatique, et les adhérences avec des systèmes (tels que les cœurs bancaires) impossibles à migrer, qui limitent fortement la flexibilité, les traditionnelles promesses d'agilité, de résilience, d'adaptation aux fluctuations d'activité, de réduction des coûts… du « cloud » ne sont qu'une illusion lointaine. La croyance qu'une innovation à la mode peut résoudre tous les problèmes a encore frappé !

Sans grande surprise, le déploiement des logiciels historiques sur un autre type de socle apporte quelques avantages mais ne résout en rien les principales difficultés rencontrées. Seule une remise à plat des architectures, à tous les niveaux (du fonctionnel au technique), est susceptible de dégager tous les bénéfices rêvés. Or nous parlons ici d'une révolution en profondeur, qui impliquerait nécessairement une réécriture quasiment complète du patrimoine existant. Autant dire qu'elle n'est pas pour demain.

Le corollaire direct de cet état de fait est que les annonces tonitruantes sur le thème de la « cloudification » ne reflètent en rien un quelconque progrès sur le chemin de la rénovation des systèmes d'information. Tout au plus peut-on en conclure qu'une première étape (la plus simple !) a peut-être été enclenchée. Encore celle-ci n'a-t-elle de vraie valeur que si elle s'accompagne d'une volonté énergique de changer les pratiques de conception et de développement logiciel afin d'exploiter les opportunités ainsi ouvertes.

Oui, c'est exactement ce que devrait recouvrir l'idée de « cloud first » qui commence maintenant à fleurir dans toutes les directions informatiques. Mais il suffit d'y regarder de près pour se rendre compte que, outre qu'elles ne concernent que les nouvelles réalisations, les ambitions de ces initiatives ne sont pas toujours à la hauteur des enjeux. Question de réalisme ? Il faut en effet garder en mémoire que les équipes en place n'ont généralement pas les compétences requises pour les paradigmes modernes… et qu'il devient de plus en plus difficile de recruter des personnes déjà formées…

En conclusion, il faudra retenir, encore une fois, que les technologies émergentes ne sont que des moyens au service des stratégies des entreprises. En aucun cas l'infonuagique ne constitue une cible en soi, elle offre seulement un support aux désirs de disposer d'un système d'information aussi performant et efficient que celui d'un géant du web (pour placer la barre haut). Et les efforts qu'il faudra consentir pour concrétiser la vision, probablement à un horizon de plusieurs décennies, seront autrement plus lourds.

Lloyds s'inquiète de son informatique

Quand les plus hauts responsables d'institutions financières restent muets ou se veulent rassurants sur l'état (généralement) vieillissant de leur informatique, je me demande toujours s'ils ont véritablement conscience de la poudrière qu'elle représente. Grâce à une indiscrétion, nous avons maintenant une réponse pour le cas de Lloyds Bank.

Naturellement, le renouvellement récent de l'état-major de l'établissement, incluant l'arrivée d'un nouveau directeur général en août dernier, est propice à la mise à nu des difficultés identifiées, en préparation d'un virage stratégique. Ce n'est donc peut-être pas tout à fait un hasard si, au hasard d'une fuite, émerge quelques mois plus tard cette vidéo interne dans laquelle son directeur de la transformation, Nick Williams, lui-même promu au printemps, déclare que son informatique est inadéquate et préoccupante.

À travers les retranscriptions du discours, il est facile de percevoir l'ampleur du problème tel qu'il est appréhendé. Certes, il est d'abord question de l'anachronisme que constitue le fait pour un grand groupe, qui sert 17 millions de clients au Royaume-Uni, d'héberger 99% de ses applications dans ses propres centres de données. Mais cette anomalie n'est que la partie émergée de l'iceberg, surtout quand il s'avère qu'une transition vers l'infonuagique est matériellement impossible, pour l'essentiel du patrimoine.

Le défi à relever, pour maintenir le niveau de compétitivité mais également résister aux cyberattaques et autres risques de défaillances, ne consiste pas seulement à changer d'infrastructure. Il se situe dans toutes les composantes technologiques qui motorisent les métiers de l'entreprise, leur défaut principal étant leur ancienneté (pour ne pas dire leur obsolescence). L'indispensable modernisation imposera une remise à niveau de l'ensemble de l'architecture du système d'information, probablement douloureuse.

C'est justement là que devrait intervenir le changement de cap attendu avec la présentation de la nouvelle stratégie prévue au début de 2022. Alors que la génération précédente avait plutôt concentré son attention sur la réduction des coûts (comme tant d'autres…), l'équipe dirigeante actuelle pourrait (devrait ?) adopter une politique d'investissement agressive, permettant de repartir sur des bases, notamment informatiques, saines. Il se suffira cependant pas d'injecter des milliards de livres.

Le plus difficile sera de mettre sur pied un projet cohérent, à la hauteur des enjeux, c'est-à-dire capable de propulser les fondations et les applications à l'état de l'art. Une telle ambition devra nécessairement passer par l'élimination et le remplacement pur et simple de nombreux éléments existants, donc beaucoup paraissent pourtant parfaitement remplir leur rôle. En conséquence, il faudra une extraordinaire clairvoyance aux décideurs chargés d'en dessiner les contours, suivie d'une impeccable rigueur dans l'exécution.

Il est rassurant de constater qu'un personnage haut placé de la hiérarchie d'une banque (sans expérience technologique directe, d'ailleurs) ne se laisse pas abuser par les apparences d'un fonctionnement sans incident. Il est rafraîchissant de voir le même partager son inquiétude avec les employés, qui sont concernés au premier chef, même s'ils ne le réalisent pas immédiatement. D'ici à quelques années, il restera à voir si, avec tant de transparence, Lloyds Bank réussit une transformation exemplaire…

IBM dans le collimateur d'Amazon

Amazon annonce une avalanche de nouveautés à l'occasion du dixième anniversaire de sa conférence AWS Re:Invent, parmi lesquelles je retiens plus particulièrement le lancement d'une solution dédiée à la modernisation des « mainframes » historiques, encore si souvent présents dans les infrastructures des grandes institutions financières.

Naturellement, la tentation est irrésistible pour les géants de l'infonuagique de capturer un immense marché qui leur échappe totalement, en partie parce que leurs utilisateurs refusent d'admettre que leurs vieux systèmes informatiques, dont seul IBM (je crois) persiste à les produire, handicapent leur développement et méritent d'être remplacés, mais aussi, dans des cas de plus en plus fréquents, parce que la décision d'une mise à la retraite est trop lourde de conséquences, entraînant une procrastination délétère.

C'est à ces deniers que s'adresse donc aujourd'hui Amazon, en leur promettant d'aplanir les difficultés, de réduire les risques et de modérer les coûts d'une transition vers ses plates-formes, qui leur permettront de bénéficier, pour une des parties les plus critiques de leur système d'information, des avantages connus du « cloud computing », à savoir l'agilité (l'accès instantané aux ressources), l'élasticité (l'adaptation dynamique des capacités aux sollicitations) et la maîtrise budgétaire (grâce à la facturation à l'usage).

Pour convaincre et séduire un maximum de décideurs, l'offre « AWS Mainframe Modernization » se décline en deux paliers distincts. Les plus hésitants pourront ainsi se contenter d'un portage direct de leurs applications sur les infrastructures d'Amazon, sans (presque) aucune intervention à prévoir sur le code. En amont, un assistant propose d'établir un diagnostic afin de vérifier la compatibilité et, en aval, des facilités de test sont mises à la disposition des équipes pour automatiser la recherche de régressions.

Puis, pour les responsables qui ont déjà choisi d'engager une vraie modernisation de leur patrimoine (ou d'une partie de celui-ci), qui souhaitent non seulement abandonner les anciennes générations de matériel mais également réaligner leurs catalogues de logiciels sur les pratiques d'architecture modernes, s'ajoutent à ces briques de base une batterie d'outils destinés à préparer, guider, accompagner et industrialiser la réorganisation des composants vers un modèle de services élémentaires flexibles à l'état de l'art.

Disponible en avant-première dans une poignée de régions, pour un déploiement généralisé progressif dans les prochains mois, la solution a été mise en œuvre avec succès par la brésilienne Banco Inter. Bien que née en 1994, ses activités de paiement par carte opéraient sur un « mainframe », jusqu'à cette bascule sur la plate-forme d'Amazon, d'abord à travers un transfert « en l'état », les moyens de développement évolués étant pour l'instant réservés à la création de fonctions supplémentaires.

Si Amazon est loin d'être la première entreprise à s'engager sur le terrain de la migration des grands systèmes (comme on les appelait autrefois), elle est certainement une des plus importantes et elle peut faire valoir un modèle économique attractif, puisque l'ensemble du dispositif de conversion est gratuit, seule la puissance de calcul consommée étant facturée. En face, IBM, coincée entre ses désirs de préserver une niche juteuse et ses velléités de se positionner sur l'infonuagique, incapable par conséquent de présenter une vision d'avenir équivalente, risque de souffrir doublement…

Google Cloud se paye une référence

Si quelques banques de par le monde se laissent tenter par l'aventure infonuagique de Google, les initiatives restent généralement trop timorées au goût du géant californien. Sa conclusion d'un partenariat aux contours assez particuliers avec CME Group lui offrira donc une opportunité de démontrer à l'industrie son avantage technologique.

Pour la plupart des institutions financières, le maintien de leurs systèmes informatiques au sein des murs de l'organisation reste la norme, au moins pour les plus critiques d'entre eux, face aux risques inacceptables – en matière de sécurité, de confidentialité, de résilience, de performance… – que persistent à représenter selon elles les solutions telles que Google Cloud, AWS ou Microsoft Azure. Même celles qui se laissent tenter ont tendance à ne leur confier que des composants relativement peu sensibles.

Visiblement, CME Group, une des entreprises boursières les plus importantes de la planète, notamment pour les échanges de produits dérivés, pense différemment. En effet, aux termes de son accord avec Google, elle vise à migrer l'essentiel de ses opérations vers les infrastructures de ce dernier, de manière à, entre autres, disposer d'une plus grande flexibilité, qui lui permettra d'accueillir plus de participants, et optimiser son efficacité sur tous les plans imaginables (analyse de l'information, innovation, coûts…).

Naturellement, l'ambition paraît un peu démesurée. Aussi le programme de transition est-il élaboré pour une durée de 10 ans. Une première phase concernera d'abord les logiciels les moins complexes, suivie de la mise en place de capacités de traitement de données (commercialisables). Puis viendront les choses sérieuses, à savoir les outils de cœur de métier, pour lesquels il faudra prendre en compte leurs exigences extrêmes du point de vue de la sécurité, de la latence, de la redondance, des plans de secours…

La barre est placée tellement haut qu'elle constituera une référence décisive pour Google et la faculté de sa plate-forme à assumer les contraintes les plus strictes du secteur financier, tout en apportant les bénéfices intrinsèques de l'infonuagique. En l'occurrence, le plus attractif pour une place boursière à forte fréquentation est vraisemblablement son adaptabilité aux fluctuations intenses des sollicitations qui caractérisent les marchés, dans des conditions (surtout de prix) parfaitement maîtrisées.

Cet effet de démonstration espéré vaut bien un engagement fort de la part de Google. Voilà certainement pourquoi la collaboration s'accompagne également d'une prise de participation, à hauteur d'un milliard de dollars, dans CME Group. Un tel geste, inédit, matérialise autant sa volonté d'affirmer sa confiance en la réalisation du projet et son succès final qu'un investissement pour son propre avenir dans un monde de la finance encore très fermé et sur lequel il lui reste d'ailleurs beaucoup à apprendre.

Parmi les grands fournisseurs de cloud professionnel (avec Amazon, Microsoft et, dans un registre assez différent, IBM), Google est décidément le plus offensif en direction de la finance. Il est vrai que la taille du marché global, l'immensité (inégalée) de ses besoins en ressources informatiques, sa croissance potentielle dans les services « digitaux » et son immobilisme (jusqu'à présent) dessinent les contours d'une opportunité extraordinaire pour l'acteur qui saura vaincre leurs réticences et répondre à leurs attentes spécifiques.

Chase change de cœur… et d'ère

Au moment où elle entame une aventure au Royaume-Uni, dont le marché est pourtant déjà bien encombré, Chase, la plus grande banque de détail des États-Unis, avec 57 millions de clients actifs, révèle une information beaucoup plus importante : son changement de cœur informatique, pour la solution dans le cloud de Thought Machine.

Une série de déconvenues et quelques échecs retentissants ont mis fin, pendant un temps, à la vague de modernisation observée dans le secteur durant la première décennie de ce siècle. Malheureusement, pour l'immense majorité d'institutions qui n'ont pas franchi le pas et continuent à fonctionner sur leurs socles historiques, hébergés sur des machines plus récentes mais à l'architecture aussi ancienne, l'horloge n'a pas arrêté de tourner et les risques d'obsolescence n'ont fait que croître, exponentiellement.

Aujourd'hui, la pression devient telle qu'il n'est plus possible de reculer, quels que soient les dangers encourus, toujours plus élevés, à engager une transformation en profondeur. À tout le moins pour JPMorgan Chase, qui profite de l'occasion pour réaliser un véritable saut quantique et envisager sereinement son entrée dans le XXI^ème siècle. Voilà qui devrait tout de même conduire quelques dirigeants de banques, au quatre coins de la planète, à s'interroger sur la politique de l'autruche qu'ils assument depuis des années.

En effet, l'américaine ne se contente pas d'une remise à niveau technique. En adoptant une des plates-formes du marché les plus abouties du moment, flexible et modulaire, conçue nativement pour l'infonuagique, elle franchit simultanément plusieurs frontières inhabituelles pour un acteur de sa dimension. Et, à l'énumération des motivations du chef de produit porteur du projet, Rohan Amin, on ne peut s'empêcher d'y retrouver absolument tous les problèmes qui préoccupent ou guettent l'ensemble de l'industrie.

Il est ainsi question, en premier lieu, d'accélération de l'innovation : outre sa propre capacité à supporter les modifications et les ajouts rapides, un cœur évolué – dont le périmètre est relativement large selon la définition qu'en prend Thought Machine – facilite l'implémentation de fonctions additionnelles au-dessus de ses fondations et permet de la sorte de répondre au mieux et au plus tôt aux besoins et attentes mouvants des clients.

Viennent ensuite, sans surprise, les sujets de performance et de résilience. Une des manifestations les plus tristement répandues du vieillissement des systèmes existants est l'augmentation des incidents et des indisponibilités, extrêmement dommageables auprès des clients. Sans prétendre à la perfection, les constructions matérielles et logicielles atteignent de nos jours des niveaux de fiabilité et de disponibilité sans précédent. Et il en est de même pour la montée en charge avec des millions d'utilisateurs.

Les arguments suivants répondent plus directement à des enjeux métier, entre la nécessité d'abattre les cloisons entre silos fonctionnels afin d'améliorer l'expérience client (l'exemple cité, classique, se situant entre les dépôts et les crédits) et l'impératif du temps réel sur la totalité des opérations, en passant par l'anticipation de la transition vers la banque enfouie (grâce aux API généralisées), qui reflète une vraie vision d'avenir.

Naturellement, le coût et la durée prévue de l'initiative de Chase ne sont pas dévoilés officiellement et il est aisé d'imaginer qu'il ont de quoi faire peur. Mais, quand il en va de la survie de l'entreprise, comment hésiter ? Cependant, le plus difficile est probablement de faire les meilleurs choix, en évitant les ajustements à la petite semaine, qui paraissent prudents mais n'emmènent pas loin, et en optant au contraire pour une approche stratégique audacieuse, susceptible d'accompagner les ambitions à long terme.

Une assurance pour les services infonuagiques

L'activité des entreprises de toutes tailles et de tous secteurs dépend de plus en plus de leur informatique, dont une part croissante est hébergée dans le « nuage ». Afin de protéger leurs revenus en cas de défaillance, de nouveaux produits d'assurance émergent, qui profitent eux-mêmes des technologies pour renforcer leur efficacité.

Nous découvrions il y a quelques mois les efforts de Google en la matière, focalisés sur ses propres offres infonuagiques et réservés initialement à ses clients les plus importants. Voici aujourd'hui une solution concoctée conjointement par deux jeunes pousses, Element (européenne, qui porte le risque) et Parametrix (américaine, qui détient l'expertise de surveillance des services en ligne), destinée à toutes les organisations allemandes (dans un premier temps) utilisant le cloud sous une forme ou une autre.

En effet, la couverture proposée est applicable aussi bien aux plates-formes d'infrastructure (Amazon Web Services, Google Cloud, Microsoft Azure…) qu'à une vaste palette d'applications en ligne, parmi les plus populaires, dans les domaines du e-commerce (Shopify, BigCommerce), des paiements (PayPal, Stripe), de la gestion de la relation client (Salesforce, Hubspot) et même des outils réseau (Cloudflare, Fastly), tout autant critiques pour la continuité des opérations dans l'économie moderne.

Avec son approche paramétrique, le produit se veut simple et transparent. Durant le processus de souscription, le client fixe le niveau d'indemnisation qu'il souhaite recevoir par heure d'indisponibilité des services qu'il exploite, pour compenser, par exemple, ses pertes d'exploitation ou les garanties qu'il offre à ses utilisateurs. Une fois le contrat actif, les sondes (totalement non intrusives) de Parametrix détectent les dysfonctionnements, qui déclenchent le versement automatique des dédommagements convenus.

Alors que l'infonuagique constitue désormais une composante vitale dans les systèmes d'information de nombreuses organisations et qu'une assurance adaptée semble appelée à devenir rapidement indispensable, cette initiative est présentée comme une première en Europe. Elle présente en outre l'avantage de reposer sur un socle robuste de suivi des performances du web qui autorise le traitement des sinistres avec une réactivité inégalable et en minimisant les coûts administratifs. Le seul bémol à exprimer concerne son caractère propriétaire, susceptible de prêter le flanc à un soupçon d'opacité.

En synthèse, le marché du cloud représente une immense opportunité pour le secteur de l'assurance, qui se prête particulièrement bien à un modèle paramétrique. Les acteurs traditionnels, qui paraissent un peu à la peine sur les deux volets principaux d'une telle solution – son objet technologique et sa capacité d'automatisation –, laisseront-ils donc les nouveaux entrants s'en emparer sans réagir ? D'une certaine manière, derrière ces grandes tendances incontournables et universelles, c'est leur avenir qui se joue…

Ces banques qui adoptent le nuage de Google

Ces derniers mois, les annonces de partenariats stratégiques avec Google Cloud se sont multipliées parmi les banques européennes : Intesa Sanpaolo en Italie, SEB en Suède, Commerzbank en Allemagne… Il faut croire que la « digitalisation » du secteur financier finit par imposer ses contraintes sur les infrastructures traditionnelles.

Comme beaucoup de leurs homologues dans le monde entier, ces établissements sont des adeptes éprouvés, parfois de longue date, des solutions de Google, notamment dans le cadre de démarches expérimentales ou d'innovations spécifiques. Cependant, le contexte aidant, ils franchissent désormais une étape supplémentaire majeure, avec des collaborations stratégiques de long terme (dans le cas d'Intesa, il s'agit même de créer deux centres de données locaux pour l'occasion), concernant leur cœur de métier.

Dans ces trois exemples, les objectifs de mise en œuvre s'avèrent similaires, soulignant par la même les points forts de l'offre. Les principales applications envisagées touchent au déploiement de nouveaux services à valeur ajoutée, reposant notamment sur l'analyse de données et l'intelligence artificielle (pour lesquelles la variété et la puissance des outils disponibles semblent constituer un critère déterminant), à destination des particuliers et des entreprises, en focalisant également les efforts sur l'expérience utilisateur.

Naturellement, sur le plan technique, le principal avantage recherché est la « scalabilité » de la plate-forme (ou, en bon français, la capacité à supporter la montée en charge). L'enjeu pour les institutions financières est en effet d'accéder à une puissance de calcul quasiment infinie, dont elles ne payent que pour son usage réel. Les calculs de risques procurent une excellente illustration des bénéfices espérés, en étant d'autant plus gourmands en ressources qu'ils sont précis et complets… mais sur une durée limitée.

Il est en outre extrêmement intéressant de noter que la problématique de sécurité, qui engendrait traditionnellement des réticences à recourir au nuage public, est aujourd'hui considérée sous contrôle, implicitement ou explicitement, y compris avec des cas d'usage évoqués impliquant des données sensibles. Enfin, les efforts environnementaux de Google ne passent pas inaperçus dans les argumentaires, permettant d'afficher un progrès impossible à accomplir avec les centres de productions historiques.

Nous assistons peut-être là à la création d'une fracture décisive dans le paysage bancaire européen (mondial ?), entre des acteurs fermement attachés à leur stratégie d'internalisation, risquant éventuellement de sombrer avec leur fournisseur informatique de toujours, et ceux, pas toujours les plus innovants, qui, à travers – et au-delà de – leur choix d'une autre voie technologique, démontrent qu'ils prennent conscience de la nécessité de radicalement changer d'ère à l'occasion de leur transformation « digitale ».

Une cyberassurance co-signée Google

À la confluence de deux tendances majeures de l'informatique d'entreprise, la transition progressive vers l'infonuagique (le « cloud ») et le besoin de protection contre toutes sortes de cyber-risques, Google a collaboré avec Allianz et Munich Re à la création d'un nouveau produit d'assurance réservé à ses clients (américains, pour l'instant).

Naturellement, la sécurité et la fiabilité figurent au cœur des préoccupations du géant du web et ses solutions s'accompagnent des technologies les plus performantes en la matière, constamment améliorées et complétées. Hélas, la perfection n'est pas de ce monde. Ajoutons à l'équation le facteur humain, qui, en dépit des importants efforts de formation consentis, reste une faiblesse de toute mise en œuvre, comme le montre régulièrement l'actualité, et il devient absolument impossible de garantir un risque zéro.

Dans cette perspective, Google ajoute donc désormais une défense supplémentaire à sa panoplie : Cloud Protection +. Proposé initialement aux grandes organisations de tous secteurs dont le chiffre d'affaires annuel est supérieur à 500 millions de dollars, le produit prend en charge les pertes directes et indirectes liées à une interruption de services, les fuites de secrets de fabrication, ainsi que la responsabilité civile et les dommages aux tiers qui seraient causés par les défaillances des services infonuagiques.

Sans surprise de la part d'un tel intermédiaire, le processus de souscription se veut rationalisé au maximum, même si, cible oblige, il ne se conclut pas en quelques clics en ligne. Il s'appuie notamment sur un outil dédié de gestion de risque (« Risk Manager ») qui permet au client intéressé d'exécuter une analyse extensive de sa configuration et de générer un rapport précis sur son niveau de sécurité. Ce dernier est alors transmis aux assureurs afin d'établir (plus ou moins automatiquement ?) un devis personnalisé.

Le sujet n'est pas abordé dans la communication officielle, mais on peut raisonnablement supposer que, a minima, un auto-contrôle est demandé à intervalle régulier à l'assuré, afin de vérifier l'évolution de son profil de risque. Idéalement, le suivi pourrait être effectué continuellement, de manière à la fois à ajuster les clauses de la police (et les primes versées), au fil des usages et des ajustements des précautions prises, et à sensibiliser le client aux éventuelles pistes d'optimisation susceptibles de consolider sa situation.

En l'état, Cloud Protection + se présente sous une forme combinée, associant couverture infonuagique et contrat de cyberassurance classique ciblant les infrastructures internes de l'entreprise et celles de ses éventuels sous-traitants. On se prend toutefois à rêver d'une déclinaison, en particulier pour des structures plus modestes, qui autoriserait, en cochant une case du formulaire d'enregistrement de Google, la souscription d'un contrat dynamique, assorti, pour faire bonne mesure, de moyens de prévention idoines…

Vers la fin du terminal de paiement dédié

La pandémie a largement contribué à la forte croissance du paiement sans contact, autant par carte, stimulé par le relèvement des plafonds, que via téléphone mobile, grâce à Apple Pay et consorts. Sa popularité est telle que sa domination hégémonique devient envisageable, entraînant la disparition des terminaux d'encaissement dédiés.

L'évolution, presque insensible mais inéluctable, a commencé il y a de longues années avec la naissance de Square et l'idée de faire d'une tablette ou d'un smartphone grand public un outil permettant d'accepter les règlements par carte, moyennant la connexion d'un accessoire basique. Puis sont apparues les premières solutions exploitant les puces NFC de nos gadgets électroniques afin de se débarrasser du lecteur attaché. Enfin, aujourd'hui, Mastercard expérimente un système virtualisé, déporté dans le « cloud ».

La complexité, et, par conséquent, le coût, des technologies existantes proviennent des exigences extrêmes de sécurité à mettre en œuvre, conditionnant notamment l'indispensable homologation qui rend possible leur mise sur le marché. Les déclinaisons entièrement logicielles se sont d'ailleurs longtemps heurtées à cet obstacle, qui a fortement retardé leur développement. En partageant ses propres composants critiques, pré-certifiés, Mastercard facilite donc l'intégration de fonctions d'encaissement.

En pratique, le concepteur d'application interagit avec l'élément sans contact de l'appareil hôte pour extraire les informations nécessaires de l'instrument présenté (carte ou téléphone) – en totale sécurité car elles n'ont pas besoin d'être décryptées – et établit une passerelle avec les interfaces de programmation (API) de Mastercard pour exécuter la transaction désirée, dont il a précisé les caractéristiques. De cette manière, toute les phases sensibles des traitements, et leur responsabilité, se trouvent externalisées.

L'approche menace évidemment le rôle des fournisseurs de terminaux spécialisés, sur le plan à la fois du matériel, remplacé par des dispositifs grand public, peu onéreux, flexibles et extensibles, et du logiciel, centralisé sur une plate-forme infonuagique. Il faut en outre noter que, si les tests actuels concernent un usage sur mobile (surtout pour les petits marchands et artisans), le principe pourra être aisément décliné sur différents supports et ainsi adapté aux attentes de toutes les catégories de commerce.

Naturellement, des obstacles subsistent sur le chemin d'une substitution complète, dont, entre autres, la résistance du paiement traditionnel, avec contact, ou encore l'obligation de ré-authentification au-delà de certaines limites définies par chaque émetteur (par exemple un nombre maximal d'opérations successives). Cependant, la tendance est claire : le modèle historique du terminal d'encaissement est sur le déclin et l'industrie qui le porte (comprenant Verifone et Ingenico) va devoir engager une reconversion stratégique.

L'arnaque à la souveraineté

Le mois dernier, la polémique sur l'hébergement par un géant technologique américain (Microsoft) des données de santé françaises du Health Data Hub connaissait un nouvel épisode, avec intervention du Conseil d'État. Hélas, quoi qu'on pense de la légitimité des enjeux de souveraineté numérique, les démarches sont bien mal inspirées…

Réactualisé à l'occasion des décisions européennes concernant la compatibilité au RGPD des dispositions en vigueur aux États-Unis en matière de données personnelles, l'argument brandi est loin d'être nouveau. Il sert, entre autres, d'excuse récurrente aux institutions financières désireuses d'écarter rapidement toute hypothèse de recours aux clouds publics les plus populaires pour traiter des informations sensibles. Pensez donc : la justice américaine pourrait en exiger et en obtenir l'accès, sans restriction !

Or cette présentation simpliste d'une réalité créée par le Patriot Act en 2001 dans le sillage des attaques du 11 septembre est une pure escroquerie. Car, outre que le débat sur l'opposabilité de cette loi aux implantations à l'étranger d'une société américaine reste ouvert (notamment après que Microsoft y ait résisté, avec succès, en Irlande, il y quelques années), il ne devrait logiquement exister aucun risque qu'un hébergeur ait un quelconque accès à des données privées et, par conséquent, puisse les partager.

J'ose en effet espérer que l'information stockée par le Health Data Hub est chiffrée à la source et que les clés utilisées pour ce faire sont détenues (et sérieusement protégées) par l'organisme qui en a la charge. Si ce n'était pas le cas, c'est un scandale d'une toute autre dimension qu'il faudrait déclencher, quelle que soit l'infrastructure sous-jacente. Une fois ces mesures basiques prises, tout ce que les autorités américaines pourraient prétendre extraire se résumerait à un amas d'octets impénétrable, sans valeur.

À propos de souveraineté… Pourquoi donc ce nom en anglais ?

Les plus grandes plates-formes de messageries et réseaux sociaux ont instauré de tels systèmes (de « chiffrement de bout en bout ») pour garantir à leurs utilisateurs la confidentialité de leurs échanges, indépendamment des injonctions légales auxquelles elles doivent répondre. Et, après qu'Edward Snowden nous ait montré l'étendue de la surveillance de masse, dont il faudrait être naïf pour croire qu'elle se limite à un territoire, ce ne sont là que des précautions élémentaires indispensables partout dans le monde.

Plutôt que d'user de prétextes fallacieux et faciles à démonter, les défenseurs de la souveraineté « digitale » de l'Europe feraient mieux de se poser la vraie question (qui fâche) : pourquoi les clients se tournent-ils vers des fournisseurs américains ? Car s'ils parvenaient à imposer des contraintes de marché, c'est la compétitivité globale des secteurs ainsi bridés qui serait menacée : les offres locales ne sont simplement pas à la hauteur, en termes de prix, de profondeur du catalogue, de puissance de calcul disponible…, la faute peut-être à des lacunes du côté de la recherche appliquée ?