Disponibilité d'un service : coût d'une panne et enjeux juridiques

La disponibilité d'un service informatique est la proportion du temps pendant laquelle il fonctionne quand ses utilisateurs en ont besoin. Ses enjeux sont économiques (une panne fait perdre du travail, des ventes, des clients, et déclenche des pénalités) et juridiques (des engagements contractuels à tenir, une obligation de sécurité imposée par le RGPD, une responsabilité en cas de manquement). Ce chapitre t'apprend à partir du besoin métier, à chiffrer le coût d'une panne, à le comparer au coût de la protection, à vérifier que les engagements s'emboîtent, et à connaître les obligations et les recours. Les solutions techniques (redondance, grappes, bascule) sont dans le cours haute disponibilité.

Partir du besoin métier

Tous les services ne méritent pas le même niveau de disponibilité. La question n'est pas « combien de neuf peut-on atteindre ? », mais « que perd l'organisation quand ce service s'arrête, et à quel moment ? ». C'est l'objet du bilan d'impact sur l'activité (BIA), réalisé avec les responsables métiers (PCA, PRA et BIA).

Chez Sorbier, Antoine a classé les services avec la directrice et les responsables de service :

Ce classement guide les dépenses : on protège d'abord ce qui coûte le plus quand il s'arrête.

Ce que coûte une panne

Une panne coûte bien plus que la réparation. Les postes à chiffrer :

Un mardi, le service de Routéo est indisponible de 6 h à 9 h. Antoine chiffre la matinée :

• 6 préparateurs bloqués pendant 3 heures, à 28 € de l'heure : 6 × 3 × 28 = 504 € ;
• Chloé et Moussa mobilisés 3 heures pour mettre en place des tournées sur papier, à 45 € : 2 × 3 × 45 = 270 € ;
• 9 livraisons en retard, avec une pénalité contractuelle de 150 € chacune : 9 × 150 = 1 350 € ;
• 1 h 30 supplémentaire pour les 6 préparateurs, payée 35 € de l'heure : 6 × 1,5 × 35 = 315 €.

Total : 504 + 270 + 1 350 + 315 = 2 439 € pour trois heures, soit environ 813 € par heure d'indisponibilité. Le crédit de service que Routéo devra peut-être, plafonné à 30 % de la redevance mensuelle, soit 140,40 € (chapitre 3), ne couvre qu'une petite partie de la perte.

Comparer le coût du risque et le coût de la protection

Pour décider d'un investissement de disponibilité, on compare deux montants annuels :

• la perte annuelle attendue : fréquence annuelle de la panne × coût d'une panne ;
• le coût annuel de la protection : investissement réparti sur sa durée de vie, plus son coût d'exploitation.

L'hyperviseur Proxmox VE de Sorbier tourne sur un seul serveur physique. Antoine estime à 30 % par an la probabilité d'une panne matérielle grave, qui arrêterait les services internes pendant 16 heures ouvrées en attendant la pièce, à 650 € par heure. Perte annuelle attendue : 0,3 × 16 × 650 = 3 120 €.

Avec un second serveur, un arbitre pour le quorum (un QDevice) et un stockage répliqué, la haute disponibilité de Proxmox (haute disponibilité des VM) redémarrerait les machines virtuelles en 15 minutes sur l'autre serveur : perte attendue 0,3 × 0,25 × 650 ≈ 48,75 €. Le second serveur, l'arbitre et la réplication coûtent 7 500 € sur 5 ans plus 300 € d'exploitation par an, soit 1 500 + 300 = 1 800 € par an.

Gain annuel : 3 120 − 48,75 − 1 800 = 1 271,25 €. L'investissement est justifié, sans compter le stress évité et la possibilité de faire les mises à jour sans arrêter les services.

Des engagements qui s'emboîtent

Un service dépend d'autres services. Le site de suivi des livraisons de Sorbier n'est joignable que si le lien Internet, le pare-feu et l'hyperviseur fonctionnent tous : ils sont en série, et la disponibilité de l'ensemble est le produit des disponibilités (calcul en série et en parallèle).

Conséquence juridique : une organisation ne peut pas promettre plus à ses clients que ce que lui garantissent ses propres fournisseurs, sauf à ajouter de la redondance. Les contrats bien construits sont « en miroir » : le niveau promis au client, les délais de rétablissement et les pénalités s'appuient sur les engagements des fournisseurs, avec une marge.

Les obligations légales

La disponibilité n'est pas qu'une affaire de contrat.

• Le RGPD impose au responsable de traitement et à son sous-traitant des mesures de sécurité appropriées, dont « des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement » et « des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique » (article 32). Une perte de disponibilité de données personnelles, même temporaire (un rançongiciel qui chiffre la base clients), est une violation de données : elle doit être documentée, et notifiée à la CNIL dans les 72 heures si elle présente un risque pour les personnes (violation de données).
• La directive NIS 2 imposera aux entités qu'elle vise une gestion des risques qui inclut la continuité des activités (sauvegardes, reprise, gestion de crise). Au 9 novembre 2026, le projet de loi « Résilience » qui la transpose est encore en discussion au Parlement : ses obligations ne s'appliquent pas encore en droit français (NIS 2).
• Les contrats de l'organisation avec ses propres clients : Sorbier doit des délais de livraison à ses clients transporteurs et chargeurs. Une panne informatique n'est pas une excuse si le contrat ne la prévoit pas.

Panne, force majeure et cyberattaque

Un prestataire qui n'a pas tenu son engagement de disponibilité ne peut s'exonérer qu'en prouvant une force majeure : un événement qui échappe à son contrôle, qui ne pouvait pas être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées (article 1218 du Code civil).

Pour un professionnel de l'informatique, ces conditions sont rarement réunies :

• une cyberattaque est un risque connu, et ses effets peuvent être limités par des mesures appropriées (mises à jour, cloisonnement, sauvegardes hors ligne) : elle est très rarement une force majeure ;
• une panne matérielle est prévisible : c'est précisément pour elle qu'existent la redondance et les sauvegardes ;
• un sinistre (incendie, inondation) peut être imprévisible, mais ses effets sont souvent évitables par des sauvegardes sur un autre site. L'incendie d'un centre de données d'OVHcloud à Strasbourg, en mars 2021, a rappelé à beaucoup d'entreprises que leurs sauvegardes étaient stockées dans le même bâtiment que leurs serveurs.

Assurance et transfert du risque

Une partie du risque peut être transférée à un assureur (les options de traitement du risque). Les contrats de cyber-assurance couvrent, selon les garanties, les frais d'investigation et de restauration, les pertes d'exploitation, la responsabilité envers les tiers, l'accompagnement en crise. Les assureurs posent des conditions : authentification multifacteur, sauvegardes hors ligne testées, mises à jour, et un questionnaire qui engage l'assuré.

Depuis la loi d'orientation et de programmation du ministère de l'Intérieur de 2023, l'indemnisation par l'assurance des pertes causées par une cyberattaque est subordonnée au dépôt d'une plainte dans les 72 heures suivant la découverte de l'atteinte (article L12-10-1 du Code des assurances).

Le mode dégradé et la communication

La disponibilité ne se joue pas seulement avant la panne, mais pendant. Pour chaque service critique, le plan de continuité prévoit un mode dégradé : chez Sorbier, des tournées types imprimées chaque semaine permettent aux chauffeurs de partir sans Routéo. Il prévoit aussi la communication : prévenir les utilisateurs (ce qui ne marche pas, depuis quand, ce qu'il faut faire), informer les clients concernés, tenir un journal de l'incident qui servira aux réclamations et au retour d'expérience. Le cours haute disponibilité montre comment documenter et tester ce mode dégradé.

Exercices

Exercice 1 sur 4 Chiffrer une panne du site de suivi Réussi À revoir

Un lundi, le site de suivi des livraisons est indisponible de 8 h à 13 h, à cause d'une mise à jour défectueuse livrée par Kerys. Pendant la panne, le service commercial reçoit 35 appels de clients, de 6 minutes chacun en moyenne, à un coût horaire de 30 €. Un client applique une pénalité contractuelle de 400 € pour défaut d'information. Chloé passe 2 heures à coordonner l'incident (45 € de l'heure). La correction est couverte par le forfait de TMA.

1. Chiffre le coût de la panne pour Sorbier.
2. Quel coût n'est pas chiffré ?
3. Sorbier peut-elle se retourner contre Kerys ? Sur quoi s'appuie-t-elle ?

Voir la réponseMasquer la réponse de l'exercice 1

1. Appels : 35 × 6 min = 210 min = 3,5 h, × 30 € = 105 €. Pénalité : 400 €. Coordination : 2 × 45 = 90 €. Correction : 0 € (incluse dans le forfait). Total : 105 + 400 + 90 = 595 €.
2. L'image auprès des clients, et le risque qu'un client mécontent réduise ses commandes ; éventuellement le temps des clients eux-mêmes.
3. Oui, dans les limites du contrat de TMA. Si le contrat engage Kerys à livrer des versions testées, ou prévoit des délais de rétablissement, Sorbier invoque l'inexécution : pénalités prévues au contrat, ou dommages et intérêts pour le préjudice prouvé (la pénalité de 400 €, le temps passé), dans la limite d'une éventuelle clause limitative valable. Elle doit garder les preuves : heure de la livraison, heures de panne, tickets, facture de la pénalité. Il est aussi utile de demander une analyse de cause et une amélioration du processus de livraison (tests de non-régression, mise en production hors des heures de pointe).

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 Faut-il protéger le NAS ? Réussi À revoir

Le NAS TrueNAS qui porte les partages de fichiers n'a qu'une alimentation et pas d'onduleur. Antoine estime à 20 % par an la probabilité d'une panne qui arrêterait les partages pendant 24 heures ouvrées, à 180 € par heure. Une protection (onduleur, alimentation et disque de secours, garantie sur site J+1) coûterait 900 € à amortir sur 4 ans, plus 60 € par an, et ramènerait l'arrêt à 4 heures.

1. Calcule la perte annuelle attendue avant et après la protection.
2. Calcule le coût annuel de la protection et le gain net. Conclus.

Voir la réponseMasquer la réponse de l'exercice 2

1. Avant : 0,2 × 24 × 180 = 864 € par an. Après : 0,2 × 4 × 180 = 144 € par an.
2. Coût annuel : 900 ÷ 4 + 60 = 225 + 60 = 285 € par an. Gain net : 864 − 144 − 285 = 435 € par an. La protection est rentable : elle coûte moins que la perte qu'elle évite. Elle n'empêche pas d'autres risques (rançongiciel, erreur de manipulation), qui relèvent des sauvegardes.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 Peut-on promettre 99,9 % ? Réussi À revoir

Un gros client demande à Sorbier de garantir par contrat que le site de suivi des livraisons sera disponible 99,9 % du temps chaque mois. Le site dépend du lien Internet (garanti à 99,9 % par l'opérateur), du pare-feu (99,99 %) et de l'hyperviseur (99,95 %).

1. Calcule la disponibilité de la chaîne et l'indisponibilité correspondante sur un mois de 30 jours. Comparer à ce que tolère 99,9 %.
2. Antoine propose d'ajouter un second lien Internet de secours, garanti à 99,5 %, qui prend le relais automatiquement. Refais le calcul.
3. Quelles précautions contractuelles Sorbier doit-elle prendre avant de signer ?

Voir la réponseMasquer la réponse de l'exercice 3

1. 0,999 × 0,9999 × 0,9995 ≈ 0,99840, soit 99,84 %. Indisponibilité possible : 43 200 × (1 − 0,99840) ≈ 69 minutes par mois, alors que 99,9 % n'en tolère que 43 200 × 0,001 = 43,2 minutes. Sorbier ne peut pas promettre 99,9 % en l'état.
2. Deux liens en parallèle : 1 − (1 − 0,999) × (1 − 0,995) = 1 − 0,001 × 0,005 = 0,999995. Chaîne : 0,999995 × 0,9999 × 0,9995 ≈ 0,99940, soit 99,94 %, environ 26 minutes par mois : l'engagement devient tenable.
3. Définir précisément la mesure (qui mesure, avec quelle sonde, sur quelle plage), les exclusions (maintenances annoncées), une pénalité proportionnée et plafonnée, et ne promettre au client que ce qui s'appuie sur les engagements des fournisseurs (contrats en miroir). Vérifier aussi que les liens passent par des chemins physiques différents, sinon une seule tranchée coupe les deux.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 Rançongiciel chez l'hébergeur Réussi À revoir

L'hébergeur d'une application de Sorbier subit un rançongiciel : l'application est arrêtée quatre jours. Il invoque la clause de force majeure de ses conditions générales, qui cite « les attaques informatiques ». Il s'avère que ses serveurs n'avaient pas reçu de mise à jour de sécurité depuis huit mois. Analyse la situation.

Voir la réponseMasquer la réponse de l'exercice 4

Règle. La force majeure suppose un événement échappant au contrôle du débiteur, imprévisible lors de la conclusion du contrat et dont les effets ne pouvaient être évités par des mesures appropriées (article 1218 du Code civil). Une clause peut l'aménager entre professionnels, mais ne peut pas vider de sa substance l'obligation essentielle (article 1170) ; une faute lourde écarte les limitations de responsabilité (article 1231-3).

Application. Une attaque par rançongiciel est un risque connu de tout hébergeur, et ses effets pouvaient être évités ou limités par des mesures appropriées : des serveurs non mis à jour depuis huit mois montrent au contraire un manquement aux règles de l'art. La clause citant « les attaques informatiques » ne peut pas couvrir une attaque rendue possible par la propre négligence de l'hébergeur, sauf à vider de sa substance son obligation essentielle d'assurer le service ; la négligence pourrait même être qualifiée de faute lourde.

Conclusion. La force majeure n'est pas établie. Sorbier peut demander l'application des pénalités ou crédits prévus, et la réparation de son préjudice prouvé si la limitation est écartée. Elle doit aussi vérifier si des données personnelles étaient concernées : une perte de disponibilité est une violation de données, que le responsable de traitement (Sorbier) doit documenter et, selon le risque, notifier à la CNIL dans les 72 heures, l'hébergeur sous-traitant devant l'en avertir dans les meilleurs délais (article 33 du RGPD).

Tu avais trouvé ?

Oui, j'avais bonPas encore