Accès cloud fantômes : quand l'audit de sécurité devient un acte de souveraineté

Ce que l'audit a révélé était pire que ce que le DSI craignait

Une ETI industrielle de 800 salariés, implantée en France avec deux filiales en Allemagne et en Pologne, décide au printemps 2025 de cartographier ses accès cloud avant une migration partielle vers un hébergeur européen certifié. L'initiative part d'une contrainte réglementaire — la mise en conformité avec NIS2 — mais elle va rapidement dépasser le cadre d'un simple exercice compliance.

Le DSI pensait avoir affaire à une dizaine de services cloud actifs. L'audit en révèle plus du triple. Des abonnements souscrits par des équipes métier sans validation IT. Des comptes de prestataires externes jamais révoqués après la fin de mission. Des instances de stockage ouvertes, configurées à la hâte pendant la période de télétravail massif, et jamais refermées. Et surtout — c'est là que la lecture devient politique autant que technique — une majorité écrasante de ces accès pointent vers des infrastructures sous juridiction américaine.

Le shadow IT n'est pas qu'un problème de gouvernance interne

Première conclusion opérationnelle de ce retour terrain : le shadow IT européen de 2026 n'est plus le problème d'un employé qui installe un logiciel sans demander. C'est un phénomène structurel, alimenté par la facilité d'accès aux plateformes des grands acteurs américains — cartes bancaires professionnelles, essais gratuits, intégrations natives dans les outils déjà en place.

Le mécanisme est rodé : un chef de projet souscrit un outil de collaboration hébergé aux États-Unis en trois clics. Il invite ses collègues. Il partage des fichiers. Le contrat se termine, le projet aussi — mais les accès restent ouverts, les données restent là-bas, et personne dans l'organisation n'a de visibilité dessus.

Pour le DSI de cette ETI, la prise de conscience est brutale : son organisation avait, sans le décider explicitement, distribué une fraction non négligeable de son patrimoine informationnel sur des infrastructures hors de portée juridique européenne. Des données commerciales sensibles, des plans de production, des échanges RH — tout cela stocké dans des environnements soumis au CLOUD Act américain, sans que personne n'ait jamais formellement évalué ce risque.

Mener l'audit : ce qui a fonctionné, ce qui a résisté

L'ETI n'avait pas les ressources d'un grand groupe pour déployer un outillage CASB complet en quelques semaines. La méthode adoptée a été pragmatique, itérative, et reproductible.

Première étape : la cartographie par les flux financiers. L'équipe a croisé les relevés de dépenses des cartes professionnelles et les factures fournisseurs IT sur vingt-quatre mois. C'est long, c'est manuel, mais c'est redoutablement efficace. Chaque ligne de dépense vers un acteur cloud inconnu devient un ticket d'investigation.

Deuxième étape : l'analyse des logs d'authentification. Là, l'ETI a eu une surprise désagréable. Plusieurs services cloud actifs n'apparaissaient dans aucun annuaire centralisé. Des comptes locaux, des authentifications directes, sans SSO. Des accès que personne ne pouvait surveiller parce que personne ne savait qu'ils existaient.

Troisième étape : les entretiens métier. C'est ici que la dimension humaine de l'audit prend toute son importance. Les équipes qui avaient souscrit ces services en dehors du circuit IT ne l'avaient pas fait par malveillance. Elles cherchaient à travailler efficacement avec des outils disponibles, fluides, intégrés. L'enjeu pour le DSI n'était pas de sanctionner, mais de comprendre le besoin réel pour être en mesure de proposer une alternative crédible.

C'est précisément sur ce dernier point que la situation européenne de 2026 reste inconfortable. Proposer une alternative crédible suppose qu'il en existe une. Et selon les usages, la réponse est inégale.

Où l'Europe tient, où elle décroche encore

Cette ETI a finalement réussi à rapatrier une partie significative de ses flux sur des infrastructures certifiées SecNumCloud ou équivalentes. Mais le chemin a mis en lumière des zones de fragilité structurelle dans l'offre européenne.

Sur le stockage et l'hébergement : l'offre européenne est solide, compétitive, et les certifications sont lisibles. Des acteurs comme Outscale — entité de Dassault Systèmes — ou des hébergeurs souverains allemands certifiés BSI C5 permettent aujourd'hui de construire une architecture crédible. Ce segment a progressé, les arguments commerciaux tiennent la route.

**Sur la collaboration et la productivité :** c'est plus complexe. Les alternatives européennes existent — Infomaniak en Suisse, des solutions open source auto-hébergées comme Nextcloud — mais elles demandent un effort d'intégration et d'accompagnement que les équipes IT des ETI n'ont pas toujours la capacité d'absorber seules. La friction reste réelle.

Sur l'identité et la gestion des accès : c'est probablement le parent pauvre de l'écosystème européen. L'ETI s'est retrouvée en difficulté pour trouver une solution IAM (Identity and Access Management) souveraine capable de couvrir ses cas d'usage multi-filiales sans complexité d'intégration rédhibitoire. Elle a finalement opté pour une solution open source déployée sur son infrastructure, ce qui implique une charge opérationnelle que toutes les ETI ne peuvent pas assumer.

Ce que ça coûte de ne pas le faire

La tentation de remettre à plus tard l'audit des accès cloud est compréhensible. C'est un travail ingrat, peu visible, qui génère des frictions internes. Mais le coût du statu quo doit être posé clairement.

Il y a d'abord le risque réglementaire. NIS2 impose des exigences de cartographie et de maîtrise des accès tiers. Une ETI qui ne peut pas produire cette cartographie en cas de contrôle s'expose à des mises en demeure. Ce n'est plus une hypothèse théorique.

Il y a ensuite le risque de dépendance contractuelle. Des accès cloud non maîtrisés, c'est aussi des abonnements qui se renouvellent automatiquement, des données prises en otage lors de négociations de sortie, des prestataires qui conditionnent la portabilité à des frais significatifs. L'ETI de notre étude de cas a identifié plusieurs situations de ce type — des données métier hébergées chez des éditeurs américains dont les conditions générales avaient évolué sans notification explicite.

Il y a enfin le risque stratégique, celui dont on parle le moins parce qu'il est difficile à quantifier : une organisation qui ne sait pas où sont ses données ne peut pas piloter sa trajectoire de souveraineté. Elle subit les décisions des plateformes qui l'hébergent.

Trois décisions concrètes pour le DSI qui commence cet audit demain

Sans dresser de liste exhaustive, voici ce que cette ETI a retenu comme principes directeurs — transférables à toute organisation de taille comparable.

Commencer par les flux financiers, pas par les outils. L'argent ne ment pas. Toute dépense vers un service cloud est une piste d'investigation. C'est le point de départ le plus rapide et le plus neutre politiquement en interne.

Traiter la révocation des accès externes comme une procédure RH standard. Chaque fin de prestation doit déclencher une revue des accès octroyés, au même titre qu'un départ de salarié. C'est organisationnel, pas technique.

Poser la question de la juridiction avant la question du prix. À chaque nouveau service évalué, la première question doit être : sous quelle juridiction sont hébergées ces données ? Ce filtre, appliqué systématiquement, change les arbitrages et oblige les équipes à rendre explicite ce qui reste aujourd'hui implicite.

Ce n'est pas une révolution. C'est de l'hygiène numérique — mais pratiquée avec une conscience souverainiste que trop d'ETI européennes n'ont pas encore intégrée dans leurs réflexes opérationnels.