- Le fournisseur Cloud sécurise l’infrastructure ; vous restez responsable de la configuration de vos propres ressources à l’intérieur.
- La répartition exacte des responsabilités varie selon le type de service utilisé (IaaS, PaaS, SaaS).
- Ne pas comprendre cette frontière est la cause la plus fréquente d’incidents de sécurité Cloud en entreprise.
C’est sans doute le concept le plus mal compris du Cloud, et pourtant l’un des plus importants : la responsabilité partagée. Elle définit précisément qui, du fournisseur Cloud ou de vous-même, est responsable de quoi en matière de sécurité.
Le principe général
Le fournisseur (AWS, Azure, Google Cloud) est responsable de la sécurité DU Cloud : les centres de données physiques, l’infrastructure réseau, le matériel, la couche de virtualisation. Vous, de votre côté, êtes responsable de la sécurité DANS le Cloud : la configuration de vos ressources, la gestion des accès, le chiffrement de vos données, les mises à jour de vos applications.
Ça varie selon le type de service
IaaS (Infrastructure as a Service)
Vous louez des serveurs virtuels (ex. AWS EC2, Azure VM). Le fournisseur sécurise le matériel physique ; vous êtes responsable de tout le reste — système d’exploitation, applications, configuration réseau, mots de passe.
PaaS (Platform as a Service)
Vous déployez des applications sur une plateforme gérée (ex. Azure App Service). Le fournisseur gère davantage (système d’exploitation, runtime), mais vous restez responsable de votre code et de la configuration des accès.
SaaS (Software as a Service)
Vous utilisez un logiciel déjà prêt (ex. Microsoft 365, Salesforce). Le fournisseur gère presque tout techniquement, mais vous restez responsable de la configuration des comptes, des permissions et de l’activation du MFA.
Croire que payer pour un service Cloud « premium » ou « professionnel » inclut automatiquement une sécurité complète. Même sur les offres les plus chères, la configuration des accès et des permissions reste toujours de votre ressort.
Avant de signer avec un prestataire Cloud, demandez-lui explicitement un schéma de responsabilité partagée pour le service concerné — les principaux fournisseurs le publient, mais peu d’entreprises pensent à le consulter.
❓ FAQ
Le fournisseur Cloud peut-il être tenu responsable en cas de fuite de données chez moi ?
Généralement non, si la fuite provient d’une mauvaise configuration de votre côté (bucket public, permissions trop larges) — c’est précisément l’objet du modèle de responsabilité partagée, souvent rappelé dans les conditions contractuelles.
Ce modèle s’applique-t-il aussi au RGPD ?
Oui : en tant que responsable de traitement, votre entreprise reste responsable de la protection des données personnelles hébergées dans le Cloud, indépendamment des engagements techniques du fournisseur.
📚 Pour aller plus loin : retrouvez notre guide complet sur la sécurité Cloud.
Besoin d'aide pour passer à l'action ?
Un expert peut vous rappeler pour vous accompagner sur ce sujet, sans engagement.
Être rappelé par un expert →
Réseaux, pare-feu et accès distants : Julien décortique les infrastructures pour que la sécurité ne rime pas avec usine à gaz, du VPN au NAS en passant par le pare-feu.
