Les réponses et les explications de chaque question s’affichent ici une fois le parcours terminé. Elles renvoient alors vers la fiche du glossaire correspondante, où la notion est traitée en entier avec son exemple chiffré.
1. Un site annonce une alimentation en double chaîne, une climatisation dupliquée et plusieurs générateurs. Contre quel évènement cette architecture ne protège en rien, et que la souscription doit donc évaluer à part ?
Un sinistre qui compromet le bâtiment entier, systèmes de secours compris
Une redondance en N+1 ou en double chaîne protège contre la défaillance d'un composant à l'intérieur d'un bâtiment. Elle ne protège pas contre un péril qui ne distingue pas les systèmes primaires des systèmes de secours, puisque les uns et les autres sont au même endroit : incendie, inondation, ou perte totale d'alimentation externe. Le 10 mars 2021, l'incendie du bâtiment SBG2 du site OVHcloud de Strasbourg l'a montré : les redondances internes classiques n'ont pas empêché la perte du bâtiment, ni la perte définitive de données pour les clients qui n'avaient pas de sauvegarde externe. Il faut donc lire deux résiliences distinctes, celle aux pannes courantes, bien captée par la classification Tier, et celle aux sinistres catastrophiques, qui dépend entièrement d'une reprise sur un site géographiquement distinct.
Fiche du glossaire →2. Un exploitant présente un site « Tier IV » dans son dossier de souscription. Quelle vérification change le plus l'évaluation du risque ?
Si le Tier IV porte sur la conception, sur la construction ou sur l'exploitation, qui sont trois certifications distinctes
La classification de l'Uptime Institute va du Tier I, sans redondance, au Tier IV, tolérant à la panne d'un composant quelconque, avec une indisponibilité annuelle théorique de quelques minutes ; le Tier III, dit maintenable en simultané, permet la maintenance sans interruption. Mais la certification distingue le niveau conçu, le niveau effectivement construit et le niveau réellement exploité. Un opérateur peut donc revendiquer un Tier IV de conception tout en exploitant un site qui n'a jamais été certifié en construction, et l'écart entre résilience annoncée et résilience réelle est exactement ce que la souscription doit mesurer. Le reste de la liste compte, mais aucune de ces vérifications ne déplace autant l'évaluation du risque de perte d'exploitation.
Fiche du glossaire →3. Le 28 février 2017, une panne du service de stockage S3 d'Amazon Web Services a interrompu pendant environ quatre heures des milliers de sites et d'applications clientes. Aucun de ces clients n'avait subi le moindre dommage matériel. Pourquoi leur police de perte d'exploitation classique ne joue-t-elle pas ?
Parce qu'une perte d'exploitation classique suppose un dommage matériel garanti sur les biens de l'assuré
La perte d'exploitation classique est la conséquence d'un dommage matériel garanti touchant les biens de l'assuré. Ici il n'y en a aucun : la panne est chez un tiers, et l'assuré n'a rien de cassé. C'est la raison d'être de la clause d'interruption liée à un fournisseur cloud, qui indemnise précisément cette situation. Elle déplace l'analyse du site de l'assuré vers celui de son fournisseur et vers l'architecture technique exacte du service utilisé, souvent inconnue du client final. Et elle pose un problème d'accumulation d'un autre ordre : un seul évènement chez un fournisseur dominant déclenche des sinistres simultanés chez des assurés indépendants d'un même portefeuille, ce qu'une interruption limitée à un site ne fait jamais.
Fiche du glossaire →4. L'ingénieur à l'origine de cette panne avait exécuté une commande de maintenance courante avec un paramètre trop large, retirant plus de serveurs que prévu. Comment une police de dommages et de perte d'exploitation traite-t-elle généralement ce type d'erreur ?
Elle la couvre, l'erreur ordinaire relevant de l'aléa normal, la difficulté étant d'établir la cause
L'erreur humaine ordinaire est statistiquement la première cause des grandes pannes de data center et de nuage, devant les défaillances matérielles et devant les catastrophes naturelles. Elle n'est pas assimilable au sabotage ni à la négligence grave caractérisée, et elle reste couverte par les polices de dommages et d'interruption sans exclusion propre. La vraie difficulté n'est pas juridique mais technique : établir qu'une panne vient d'une erreur humaine plutôt que d'un défaut matériel sous-jacent que l'erreur aurait seulement révélé, dans un domaine où les journaux techniques peuvent être incomplets ou affectés par l'incident lui-même. C'est pourquoi la souscription examine de plus en plus les procédures de gestion des changements et l'existence d'environnements de test isolés de la production.
Fiche du glossaire →5. En août 2016, la défaillance d'un module de contrôle électrique dans un centre de données de Delta Air Lines à Atlanta a empêché la bascule vers les générateurs de secours : milliers de vols annulés sur plusieurs jours, coût estimé autour de 150 millions de dollars. Qu'est-ce qui rend ce péril si difficile à évaluer d'avance ?
La chaîne de secours n'est presque jamais sollicitée en conditions réelles, si bien qu'un défaut latent reste invisible pendant des années
La chaîne de secours enchaîne deux fonctions : l'onduleur assure la continuité immédiate, les générateurs prennent ensuite le relais dans la durée. Une rupture à n'importe quel maillon, batteries dégradées, module de contrôle défectueux, générateur qui ne démarre pas, bascule mal synchronisée, transforme une coupure réseau normalement invisible en arrêt complet. Or la plupart des tests se font à vide ou partiellement, si bien que le défaut ne se révèle qu'au moment où la chaîne sert vraiment. La conséquence pratique en souscription est nette : la fréquence et le réalisme des tests de bascule en charge réelle discriminent mieux les sites que la seule description de l'installation.
Fiche du glossaire →6. Un portefeuille cyber compte quarante assurés de secteurs et de tailles différents, et la souscription le juge bien diversifié. Tous hébergent leurs applications critiques dans la même zone d'agglomération de data centers. Qu'est-ce qui a été mal mesuré ?
La diversification réelle, une agglomération transformant des risques apparemment indépendants en risque corrélé
L'agglomération est rationnelle pour chaque opérateur pris isolément : électricité bon marché, fiscalité, connectivité en fibre, proximité d'infrastructures déjà installées. À l'échelle du secteur elle produit une accumulation que personne ne mesure, puisque chaque acteur ne voit que sa part. Un évènement local, panne du réseau électrique régional ou catastrophe naturelle, peut alors toucher simultanément une part significative de l'infrastructure hébergée, chez des opérateurs concurrents et sans lien capitalistique. Le comté de Loudoun en Virginie du Nord, surnommé Data Center Alley, en est l'exemple le plus cité. La diversification par secteur et par taille ne dit donc rien de la diversification par dépendance technique, et c'est la seconde qui décide de l'accumulation.
Fiche du glossaire →7. En juillet 2022, une vague de chaleur record au Royaume-Uni a dépassé la capacité de refroidissement de centres de données de Google et d'Oracle en région londonienne, provoquant des coupures de service de plusieurs heures. Qu'est-ce que ce péril impose d'examiner en souscription ?
La marge de conception thermique du site face à des scénarios climatiques mis à jour, et non aux seules normes historiques
Un site est dimensionné pour une plage de températures locales tirée de l'historique disponible au moment de sa conception. Quand la chaleur dépasse cette plage, le refroidissement ne parvient plus à évacuer la chaleur produite, et l'exploitant doit réduire la charge ou arrêter des serveurs pour éviter leur destruction : l'aléa climatique devient alors une interruption de service directe, sans dommage matériel. Le décalage se loge donc entre la base de conception et le scénario climatique à jour, et il touche en priorité les sites bâtis selon des normes anciennes dans des régions qui se réchauffent plus vite que prévu. C'est un paramètre de conception, pas un paramètre de garantie, et c'est ce qui le rend invisible à la lecture du seul contrat.
Fiche du glossaire →8. Sur un incendie de data center, qu'est-ce qui décide entre une perte partielle et une perte totale du site ?
Le compartimentage entre salles et entre bâtiments
Le feu est aggravé par la densité d'équipements électriques sous tension, par le câblage et par des matériaux inflammables en quantité, et l'extinction elle-même pose problème : l'eau détruit l'électronique, et un système à gaz ne suffit pas toujours sur un feu déjà développé dans une salle dense. Ce qui borne le sinistre est donc la compartimentation : contenu à une salle, il fait une perte partielle ; propagé au bâtiment, il fait une perte totale. Le 10 mars 2021, l'incendie du bâtiment SBG2 d'OVHcloud à Strasbourg a détruit le bâtiment et endommagé des voisins, coupant l'accès à des millions de sites hébergés. Un tel sinistre est à la fois dommage aux biens et interruption d'exploitation, démultipliée par le nombre de clients hébergés, et la valeur assurée du bâtiment ne dit rien de cette seconde part.
Fiche du glossaire →9. Pourquoi un centre dédié à l'entraînement de modèles d'intelligence artificielle est-il plus difficile à assurer qu'un centre traditionnel de même surface ?
Parce que plusieurs déterminants se dégradent en même temps, et qu'aucun historique de sinistralité ne couvre ces configurations
L'assurabilité d'un centre agrège plusieurs déterminants : niveau de redondance, densité par armoire, technologie de refroidissement et périls propres à celle-ci, dépendance au réseau électrique et moyens d'autonomie, exposition climatique du site, concentration de valeur et délai de remplacement des équipements critiques. L'entraînement de modèles les dégrade ensemble : densités record, refroidissement liquide encore mal documenté, valeur unitaire des grappes de processeurs graphiques en forte hausse, tensions d'approvisionnement qui allongent les délais de remise en état. S'y ajoute l'absence d'historique sur ces configurations récentes, ce qui rend l'incertitude de tarification structurelle et non conjoncturelle : elle ne se réduit pas en y passant plus de temps, seulement en accumulant de l'expérience.
Fiche du glossaire →