Clouds bancaires : des tests uniformes de fiabilité et de sécurité

Les exigences prévues

Parmi les critères obligatoires figure l'hébergement dans un centre de données de niveau Tier III ou supérieur selon la classification de l'Uptime Institute, qui permet la maintenance programmée des équipements sans arrêt de l'exploitation. Le système de gestion des ressources cloud doit être disponible au moins 99,95 % du temps. La sauvegarde et la restauration des machines virtuelles seront également contrôlées.

Les tests vérifieront aussi que la plateforme dispose d'un périmètre attesté conforme à l'arrêté n° 239 du FSTEC, relatif à la sécurité des objets importants de l'infrastructure d'information critique. Des essais publics sont prévus au quatrième trimestre 2026.

La présence de deux centres de données indépendants serait un critère facultatif, et le test d'un arrêt complet de l'un des sites resterait une simple recommandation.

Réactions du secteur

Nikolaï Kozak, vice-président du directoire de la banque Dom.RF, rappelle que les systèmes bancaires critiques font déjà l'objet d'exigences distinctes. L'arrêt total d'un des deux sites relève d'un scénario de défaillance catastrophique, et les banques ne prévoient pas de migrer toute leur infrastructure vers le cloud, seulement des services moins critiques.

Sergueï Zinkevitch, directeur de K2, souligne que des critères uniformes sont proposés pour la première fois. Dans ce type d'audit, le fournisseur reçoit généralement des remarques précises, puis le temps de les corriger ; la procédure exacte dépendra du groupe de travail.

Pour Ilia Vassiltchenko, de Turbo Cloud, l'alimentation électrique peut poser problème aux sites mal protégés. Les essais doivent montrer si la plateforme reste disponible lors de pannes simulées, comme la perte d'une arrivée d'électricité. Une source chez un fournisseur juge les exigences réalisables grâce à plusieurs lignes d'alimentation, des onduleurs et des groupes électrogènes diesel.