Le dernier échec de Microsoft a eu une portée mondiale, mais pas un impact mondial.
Jeudi vers 16h17 UTC, les services du géant américain de la technologie, notamment Outlook, Teams, Exchange Online, SharePoint, OneDrive et Copilot, ont été dégradés pendant plus de 10 heures. La perturbation a touché au moins 74 pays, avec des plaintes Outlook sur Downdetector – une plateforme tierce de surveillance des pannes qui regroupe les rapports des utilisateurs – atteignant un pic de près de 140 000.
Les dégâts se sont concentrés en grande partie sur les Amériques, en Europe et en Australie. Les gouvernements ne l’ont pas traité comme une question purement privée. L’autorité fédérale allemande de cybersécurité, BSI, a déclaré qu’elle était en contact avec Microsoft et que « de nombreuses entreprises » avaient été coupées des principaux services cloud. Le ministre australien de l’Intérieur, Tony Burke, a déclaré qu’il avait activé un mécanisme obligeant Microsoft à donner la priorité au redressement du pays, après que la police fédérale australienne et l’agence de renseignement intérieure ASIO ont confirmé qu’elles avaient été touchées. Le gouvernement japonais a déclaré que son infrastructure informatique administrative partagée, GSS, avait été perturbée, obligeant certains ministères à revenir aux communications téléphoniques. La Cour suprême des Philippines a averti que les réponses aux courriers électroniques et les transactions en ligne seraient retardées.
La Chine occupait un espace vide sur cette carte.
Les multinationales implantées à Shanghai sur la plateforme mondiale de Microsoft ont été touchées, tout comme les exportateurs chinois dont les partenaires vivent sur Outlook. Certaines entreprises étrangères et le personnel étranger en Chine utilisant la version mondiale étaient toujours concernés. Mais le pays dans son ensemble n’a pas cillé.
Microsoft 365 en Chine continentale n’est pas géré par Microsoft. Il est concédé sous licence à 21Vianet, un centre de données et fournisseur de cloud chinois, qui gère une instance physiquement et logiquement isolée à l’intérieur du pays. Les comptes hébergés par 21Vianet sont séparés du cloud mondial de Microsoft, ils n’ont donc pas été rattrapés par l’échec mondial.
Les agences gouvernementales et les entreprises publiques ont activement migré vers les services domestiques – suite bureautique WPS, plateforme de collaboration d’entreprise DingTalk, WeCom pour la communication interne et le contact client, et Feishu, une plateforme de collaboration intégrée pour les documents, les réunions, les tâches et la gestion – avec de nombreux remplacements prévus d’ici 2027. Ainsi, un incident au siège de Microsoft à Redmond ne constitue pas un incident national en Chine.
Les lois chinoises strictes sur les données obligent les données et les opérations à se dérouler sur le territoire national, rendant les transferts transfrontaliers conditionnels plutôt que par défaut, soumis à une évaluation de sécurité, une certification ou un contrat standard.
Au cours de la dernière décennie, la Chine a construit un cadre juridique à travers la loi sur la cybersécurité, la loi sur la sécurité des données et la loi sur la protection des informations personnelles. En pratique, cela signifie que les données sont protégées en fonction de leur degré de sensibilité, que les opérateurs d’infrastructures clés sont soumis à des garanties supplémentaires et que l’envoi de données à l’étranger n’est pas la solution par défaut. Les entreprises doivent d’abord passer un examen de sécurité, obtenir une certification ou signer des contrats types.
L’objectif n’est pas de désactiver Internet mais de faire des bases juridiques et techniques de la connectivité une question de choix souverain.
Les limites de l’immunité
Mais l’immunité est partielle et ne doit pas être mythifiée. Le risque sous-jacent – une concentration extrême dans une poignée de fournisseurs de cloud massifs – s’applique également aux services chinois comme Alibaba Cloud, Huawei Cloud et Tencent Cloud.
C’est le véritable point à retenir ici. La véritable souveraineté numérique n’est pas l’autarcie. Une pile isolée peut échouer seule, silencieusement, sans examen externe. Ce qui compte, c’est d’avoir une stratégie de sortie : des données que vous pouvez emballer et déplacer, des normes interopérables, des droits contractuels d’audit et de migration, et une divulgation obligatoire en cas de panne des systèmes.
La panne a prouvé que mettre tous ses œufs dans le même panier a un coût. La Chine tente de trouver un équilibre entre rester ouverte sur le monde sans céder sa cybersouveraineté nationale.
