Modèles de service cloud (IaaS, PaaS, SaaS)

Les modèles de service cloud sont les façons de fournir le cloud : en infrastructure (IaaS, Infrastructure as a Service), en plateforme (PaaS, Platform as a Service) ou en logiciel (SaaS, Software as a Service). Chacun fixe jusqu'où le client reste responsable de sa propre sécurité. La publication spéciale 800-145 du NIST (National Institute of Standards and Technology), datée de septembre 2011, tient en quelques pages et reste la référence que citent contrats, régulateurs et polices. Elle définit le cloud par cinq caractéristiques (libre-service à la demande, accès large par le réseau, mutualisation des ressources, élasticité rapide, service mesuré), puis par ses modèles de service. En IaaS, le fournisseur loue calcul, stockage et réseau ; le client gère le système d'exploitation, les applications, les données et une bonne part des règles de filtrage. En PaaS, le fournisseur gère aussi le système et l'environnement d'exécution, et le client déploie son code. En SaaS, le client utilise une application et ne contrôle guère que ses comptes, ses droits et ses données. La frontière de responsabilité recule à chaque étage, et c'est elle qui range le sinistre. Une base de données exposée sur une instance IaaS est une faute de configuration de l'assuré, qui relève de sa propre garantie de violation de données. Une panne d'application SaaS est un événement chez le fournisseur, qui renvoie à la carence ou à une clause d'interruption cloud. Les offres réelles débordent pourtant la grille : une base gérée, une fonction sans serveur ou un modèle d'IA servi par API (interface de programmation) mélangent les étages, et c'est le contrat du fournisseur, plus que le sigle, qui dit qui applique les correctifs. Un questionnaire qui demande « utilisez-vous le cloud ? » ne mesure donc rien. Ce qui renseigne, c'est le modèle de service des applications critiques, et le nom de celui qui administre leurs identités.