Les réponses et les explications de chaque question s’affichent ici une fois le parcours terminé. Elles renvoient alors vers la fiche du glossaire correspondante, où la notion est traitée en entier avec son exemple chiffré.
1. Le 10 mars 2021, un incendie détruit le bâtiment SBG2 du site OVHcloud de Strasbourg et endommage les bâtiments voisins. Des millions de sites hébergés deviennent inaccessibles. Pourquoi ce sinistre est-il plus lourd qu'un incendie d'entrepôt de même surface ?
Parce qu'au dommage au bâtiment s'ajoute l'interruption simultanée de milliers d'activités tierces
Un data center concentre dans un même bâtiment un péril industriel classique et une exposition qui ne l'est pas du tout. Le péril classique se lit sans difficulté : une salle dense en équipements sous tension, du câblage et des matériaux inflammables en quantité, et une extinction délicate puisque l'eau détruit l'électronique quand le gaz peine à contenir un feu déjà développé. La compartimentation entre salles et bâtiments décide alors de l'ampleur, un feu contenu produisant une perte partielle et une propagation une perte totale du site. Ce qui change tout est la seconde couche : le bâtiment n'héberge pas la seule activité de son propriétaire, il héberge celle de milliers de clients sans lien entre eux, dans des secteurs différents, qui s'arrêtent tous le même jour sans avoir subi le moindre dommage matériel. Le sinistre est donc à la fois un dommage aux biens et une interruption d'exploitation démultipliée, et les deux ne se logent pas dans les mêmes polices ni chez les mêmes assurés. C'est pourquoi l'analyse d'un tel site ne s'arrête jamais à la valeur assurée du bâtiment : la question utile est de savoir combien d'activités s'arrêtent avec lui, et pour combien de temps.
Fiche du glossaire →2. Après l'incendie de Strasbourg, l'hébergement est reconstruit ailleurs en quelques jours. Une partie des clients qui n'avaient conservé aucune sauvegarde hors du bâtiment détruit ne récupèrent jamais leurs données. Qu'est-ce que cela oblige à distinguer ?
L'interruption, qui se répare avec le temps, et la destruction de données, qui ne se répare pas
Ce sont deux sinistres de nature différente qu'un même événement produit, et les confondre conduit à mal évaluer les deux. Un service interrompu se rétablit : on remonte des machines ailleurs, la perte se mesure en marge non réalisée pendant l'arrêt, et elle cesse quand le service revient. Des données détruites sans copie exploitable ailleurs sont perdues définitivement, et la rapidité de la remise en service n'y change rien. Le cas de Strasbourg le montre en creux, puisque l'hébergement a été reconstruit alors que les données de certains clients ne l'ont pas été. La difficulté propre à ce second poste est d'abord une difficulté de valorisation : un serveur physique se remplace à un prix qu'on lit sur une facture, tandis que la valeur d'une base clients, d'un code source ou d'un historique comptable dépend entièrement de son caractère reconstituable, et deux entreprises de même taille peuvent afficher ici des montants sans rapport. Le point de vigilance pratique est la sauvegarde logée sur le site même de la production, plus fréquente qu'on ne l'imagine dans les petites structures : elle donne le sentiment d'une redondance là où il n'y a qu'une accumulation locale, puisque le même incendie emporte l'original et la copie.
Fiche du glossaire →3. Un opérateur annonce un Tier IV de l'Uptime Institute. Le souscripteur demande les certificats et n'en obtient qu'un, celui de la conception. Que vient-il d'apprendre ?
Que la résilience est certifiée sur plan, sans preuve de ce qui a été construit ni exploité
La classification hiérarchise les sites selon leur architecture de redondance, du Tier I sans redondance au Tier IV tolérant aux pannes, dont l'indisponibilité annuelle théorique se compte en minutes. C'est un déterminant majeur du risque de perte d'exploitation, et un Tier IV correctement certifié présente une probabilité d'interruption sans commune mesure avec celle d'un Tier II. Le détail qui décide, et qu'il faut savoir demander, est que la certification se décline en trois exercices distincts : le niveau de conception, le niveau effectivement construit, et le niveau tel qu'il est exploité. Un opérateur peut donc annoncer un Tier IV en toute sincérité en ne détenant que le premier, alors que la résilience réelle dépend des deux autres. Un plan ne dit rien des raccourcis pris au chantier, et un site correctement construit peut être exploité avec des procédures qui annulent sa redondance, par exemple en maintenant les deux chaînes d'alimentation sur un même arbre pendant une opération de maintenance. La question utile en souscription n'est donc jamais quel Tier est annoncé, mais lesquels des trois certificats existent et à quelle date ils ont été renouvelés.
Fiche du glossaire →4. Un site affiche une alimentation en double chaîne, une climatisation dupliquée et plusieurs générateurs. L'ensemble est logé dans un seul bâtiment. Contre quoi cette architecture ne protège-t-elle pas ?
Un péril qui atteint le bâtiment entier, primaires et secours étant au même endroit
La redondance interne répond à une question précise et une seule : que se passe-t-il si un composant lâche pendant que les autres fonctionnent. Une architecture en N+1 ou en double chaîne y répond très bien, et c'est ce que mesure une certification élevée. Elle ne répond pas à une question différente : que se passe-t-il si le bâtiment lui-même est compromis. Un incendie, une inondation, une catastrophe naturelle ou la perte totale de l'alimentation externe ne distinguent pas entre systèmes primaires et systèmes de secours quand les deux sont colocalisés, et un site très bien noté sur sa disponibilité peut ainsi subir une perte totale. C'est exactement ce que Strasbourg a montré en 2021 : les redondances internes classiques étaient en place et n'ont rien pu contre un sinistre qui prenait le bâtiment entier. La distinction est mal comprise en dehors du cercle des ingénieurs, et elle explique pourquoi la seule réponse à ce risque est d'un autre ordre, une architecture répartie sur plusieurs sites distants, ce qui relève de la conception du service et non de l'équipement du bâtiment. Pour un assureur, la conséquence pratique est qu'un bon Tier réduit la fréquence des interruptions sans réduire la sévérité du scénario extrême.
Fiche du glossaire →5. En août 2016, un module de contrôle électrique défaillant empêche la bascule vers les générateurs de secours dans un centre de données de Delta Air Lines à Atlanta. Des milliers de vols sont annulés sur plusieurs jours, pour un coût estimé à environ 150 millions de dollars. Qu'est-ce qui rend ce péril si difficile à évaluer avant qu'il survienne ?
La chaîne de secours n'est éprouvée en conditions réelles qu'exceptionnellement, un défaut restant latent des années
Le dispositif de secours électrique est une chaîne, et une chaîne ne vaut que par son maillon le plus faible : l'onduleur assure la continuité immédiate le temps que les générateurs démarrent, puis ceux-ci prennent le relais pour une durée prolongée. Une défaillance à n'importe quel maillon, batteries dégradées, module de contrôle défectueux, générateur qui ne démarre pas, bascule mal synchronisée, transforme une coupure réseau normalement invisible en arrêt complet. Ce qui rend ce péril insidieux est que la chaîne n'est sollicitée en conditions réelles que rarement : la plupart des tests se font à vide ou partiellement, et un défaut latent peut donc rester invisible pendant des années avant de se révéler au pire moment, c'est-à-dire lors de la seule coupure qui comptait. Le cas de Delta ajoute l'enseignement le plus utile pour un assureur : le coût de 150 millions ne vient pas du module défaillant, dont le prix est négligeable, ni même de la durée de la panne électrique, mais du temps qu'il a fallu pour remettre en ordre des systèmes de réservation et de rotation d'équipages arrêtés brutalement. La sévérité se joue dans la reprise, pas dans la panne, et c'est le réalisme des tests qui déplace la fréquence.
Fiche du glossaire →6. En juillet 2022, une vague de chaleur record au Royaume-Uni dépasse la capacité de refroidissement de centres de Google et d'Oracle près de Londres, qui subissent plusieurs heures de coupure. Sur quoi porte la question d'assurance, une fois l'épisode passé ?
La marge thermique retenue à la conception, au regard de scénarios climatiques à jour
Un site est dimensionné pour une plage de températures extérieures, tirée de l'historique météorologique local disponible au moment de sa conception. Quand un épisode franchit cette plage, le refroidissement ne parvient plus à évacuer la chaleur produite par les équipements, et l'exploitant doit réduire la charge ou arrêter des serveurs pour éviter leur destruction physique : un aléa climatique devient une interruption de service, sans qu'aucune pièce ne soit tombée en panne. Le point qui intéresse l'assureur est donc en amont, dans l'hypothèse thermique elle-même, et la question se pose exactement comme la non-stationnarité actuarielle : un site conçu sur des normes anciennes est calé sur un climat qui n'est plus celui qu'il rencontre, et le défaut n'est pas dans l'équipement mais dans la référence qui a servi à le dimensionner. Deux sites identiques peuvent ainsi présenter des risques très différents selon la date de leur conception et selon que l'exploitant a ou non révisé sa marge depuis. C'est aussi ce qui distingue ce péril d'une panne : il est prévisible dans son principe, annoncé plusieurs jours à l'avance dans sa survenance, et pourtant non évitable si la marge manque.
Fiche du glossaire →7. Le 28 février 2017, une commande mal saisie pendant une opération de maintenance arrête le service de stockage S3 d'Amazon Web Services pendant environ quatre heures. Des milliers de sites et d'applications clientes s'arrêtent, sans avoir subi le moindre dommage. Que doit porter la police d'un de ces clients pour que sa perte soit couverte ?
Une extension visant l'interruption causée par la panne d'un fournisseur tiers
Une garantie de perte d'exploitation classique se déclenche sur un dommage matériel atteignant l'assuré, et c'est précisément ce qui manque ici : le client n'a rien subi, son matériel fonctionne, ses locaux sont intacts, et pourtant son activité s'arrête parce qu'une infrastructure dont il dépend s'est arrêtée ailleurs. L'extension d'interruption liée à un fournisseur répond à cette situation, devenue structurelle du fait que la plupart des entreprises n'hébergent plus leur propre infrastructure et dépendent d'un petit nombre de fournisseurs pour leurs applications critiques. Pour l'assureur, cette clause déplace l'analyse du site physique de l'assuré vers celui de son fournisseur et vers l'architecture technique précise sur laquelle il s'appuie, ce que le client final ignore souvent lui-même, à commencer par la région d'hébergement et par le fait de savoir si son application bascule automatiquement ailleurs. L'événement de 2017 est instructif sur un dernier point : la cause était une commande mal saisie pendant une maintenance, ni malveillante ni matérielle, ce qui rappelle qu'une clause décrivant un déclencheur d'attaque ne mordrait pas ici, et que le mot cyber dans un intitulé ne dit rien de ce qui est réellement couvert.
Fiche du glossaire →8. Le comté de Loudoun, en Virginie du Nord, concentre l'une des plus fortes densités de data centers au monde, et une part très importante du trafic internet mondial y transite. Les opérateurs y sont concurrents et sans lien capitalistique. Qu'est-ce que cela produit pour un assureur ?
Une accumulation qu'aucun opérateur ne mesure, puisqu'elle n'existe qu'au niveau du secteur
L'agglomération est rationnelle pour chaque opérateur pris isolément : on s'installe là où l'électricité est disponible et bon marché, où la fiscalité est favorable, où la fibre est déjà posée et où les autres infrastructures numériques se trouvent déjà. Chacune de ces décisions est défendable, et leur somme produit à l'échelle du secteur une accumulation que personne n'a décidée et que nul acteur ne mesure, puisqu'elle n'apparaît dans le bilan d'aucun d'entre eux. Un événement local, panne du réseau électrique régional, catastrophe naturelle, saturation des capacités de raccordement, peut alors atteindre simultanément une part significative de l'infrastructure numérique mondiale, hébergée par des opérateurs pourtant concurrents. C'est la même mécanique que la corrélation de queue en actuariat : des risques indépendants en conditions normales, parce que rien ne relie ces entreprises, et solidaires dans l'extrême parce qu'ils partagent une dépendance que personne n'avait inscrite au dossier. Pour la souscription, la conséquence pratique est qu'un portefeuille peut paraître diversifié par opérateur, par secteur client et par contrat, tout en étant concentré sur une carte, et la seule façon de le voir est de demander où sont physiquement les sites.
Fiche du glossaire →9. Un centre dédié à l'entraînement de modèles d'intelligence artificielle affiche des densités par armoire sans précédent, un refroidissement liquide de conception récente et des grappes de processeurs graphiques dont l'approvisionnement est tendu. Pourquoi son assurabilité se dégrade-t-elle par rapport à un centre traditionnel ?
Parce que plusieurs déterminants du risque se dégradent en même temps, dont le délai de remise en état
L'assurabilité d'un centre de données n'est pas un jugement global mais l'agrégat de plusieurs déterminants qu'on sait nommer un par un : le niveau de redondance, la densité par armoire, la technologie de refroidissement et les périls qui lui sont propres, la dépendance au réseau électrique et l'autonomie disponible, l'exposition climatique physique du site, la concentration de valeur, et le délai de remplacement des équipements critiques. Ce qui rend le cas de l'entraînement d'intelligence artificielle particulier est que ces déterminants ne bougent pas un par un mais ensemble, et tous dans le même sens. Les densités atteignent des niveaux sans précédent, ce qui concentre la valeur et la chaleur au même endroit. Le refroidissement liquide, encore peu documenté par le retour d'expérience, ajoute un péril d'écoulement jusque dans les baies. La valeur unitaire des grappes augmente fortement. Et les tensions d'approvisionnement allongent le délai de remise en état, ce qui allonge mécaniquement la durée d'interruption indemnisable. Le dernier point est souvent le plus lourd et le moins vu : la sévérité d'un sinistre industriel se mesure autant en semaines d'attente d'une pièce qu'en dommage matériel, et c'est ce qui fait de l'assurabilité de ces sites un sujet de souscription à part entière.
Fiche du glossaire →