Un audit cloud vaut ce que vous en faites le lundi suivant. Le rapport le plus complet ne sert à rien s'il range au même niveau une clé d'accès exposée et une étiquette manquante sur un volume. À l'inverse, un audit bien mené tient en peu de pages : ce qui expose votre activité, ce qui vous coûte sans servir, ce qui ne tiendra pas une panne, et l'ordre dans lequel traiter le tout.
Cet article décrit ce que vous devriez retirer d'un audit cloud selon le cadre Well-Architected, et les questions à poser pour savoir si celui qu'on vous propose tiendra cette promesse.
Ce que regarde un audit Well-Architected
Le cadre Well-Architected est la grille de lecture publiée par les fournisseurs cloud pour juger une architecture. Nous l'appliquons sur cinq axes : sécurité, fiabilité, performance, coûts et excellence opérationnelle. L'intérêt du cadre n'est pas sa liste de contrôles, que chacun peut lire. C'est qu'il force à juger chaque axe au regard des quatre autres : une plateforme sûre mais surdimensionnée, ou économique mais sans plan de reprise testé, reste un risque.
Concrètement, l'examen porte sur votre environnement réel, pas sur un questionnaire déclaratif :
- les comptes, les identités et les droits, y compris les comptes de service accumulés au fil des projets ;
- les expositions réseau, en particulier celles héritées d'une phase de test et jamais refermées ;
- les sauvegardes, et surtout la preuve qu'elles ont déjà été restaurées ;
- le dimensionnement des ressources, comparé à leur consommation mesurée ;
- la facturation, poste par poste, environnement par environnement ;
- la manière dont la plateforme est construite et changée : ce qui est décrit en code, ce qui a été créé à la main, ce qui ne pourrait pas être reconstruit.
Un audit sérieux ne mobilise pas vos équipes pendant des semaines. Le nôtre se déroule en trois temps.
Collecte. Un inventaire outillé de l'environnement : ressources, configurations, accès, sauvegardes, consommation. Des accès en lecture seule suffisent pour l'essentiel ; ils sont tracés et révoqués en fin de mission. Côté client, une réunion de cadrage suffit.
Analyse. L'inventaire est confronté aux bonnes pratiques du fournisseur, puis à vos contraintes réelles. C'est l'étape qui distingue un audit d'un rapport généré : un écart n'est un problème que s'il a une conséquence dans votre contexte, et un auditeur honnête dit quand ce n'est pas le cas.
Restitution. Un rapport écrit, présenté en séance à vos équipes, avec le temps nécessaire pour en discuter les conclusions. La durée totale va de quelques jours à quelques semaines selon la taille de la plateforme.
Ce que vous recevez
Le livrable tient en quatre éléments. Si l'un manque, demandez-le.
La liste des écarts, hiérarchisée. Chaque constat porte une criticité qui tient compte de votre activité, pas seulement de la règle enfreinte.
Une estimation de l'effort. Pour chaque écart, ce que coûte sa correction : une heure de configuration, une semaine de travail, un chantier à planifier. C'est ce qui permet de séparer les corrections immédiates des chantiers structurants.
Le coût de l'inaction. Une version en fin de support ou une sauvegarde jamais restaurée ne coûte rien tant que rien ne se passe. Le rapport doit dire ce que coûte le fait de ne pas traiter le point, en exposition ou en euros, pour que la priorité soit défendable devant une direction.
Une trajectoire. Les actions ordonnées, avec ce qui peut être fait par vos équipes, ce qui demande un renfort, et ce qui peut attendre. Le rapport vous appartient : vous pouvez l'exécuter avec vos équipes, avec nous, ou le confier à un autre prestataire.
Ce qu'un audit ne fait pas
Un audit cloud n'est pas un audit de conformité : il ne certifie pas que vous respectez une norme, il mesure l'efficacité et la robustesse de votre plateforme. Ce n'est pas non plus un audit de sécurité seul, qui ne couvre qu'un des cinq axes. Et ce n'est pas un test d'intrusion : il lit des configurations, il n'attaque pas votre production.
Il ne remplace pas non plus la décision. L'audit vous donne des données ; l'arbitrage entre un chantier de sécurité et une économie de facture reste celui de votre direction.
Les signaux d'un audit qui ne vaudra pas votre temps
- La conclusion est connue avant l'examen. Un audit qui recommande systématiquement une refonte complète, ou systématiquement le service du prestataire, ne vous apprend rien.
- Les recommandations sont génériques. Une liste recopiée de la documentation du fournisseur se reconnaît à ce qu'elle ne cite aucune de vos ressources.
- Aucun chiffrage. Un constat sans effort estimé ni coût d'inaction ne permet pas de décider.
- Des accès en écriture demandés d'emblée. Pour lire une plateforme, la lecture seule suffit.
Ce qui vient après
Trois suites sont possibles, et toutes sont légitimes. Vos équipes exécutent le plan, et l'audit a servi de feuille de route. Le plan révèle une migration ou une refonte à mener, et la migration cloud s'appuie alors sur l'inventaire déjà fait. Ou la plateforme a besoin d'être exploitée au quotidien, et l'audit devient l'état des lieux d'entrée d'une infogérance.
Notre audit est gratuit et sans engagement. Il n'est lié à aucun contrat d'exploitation : c'est ce qui permet d'en lire les conclusions sans soupçon.