Stockage de données: un gros acteur d’ici écarté de l’appel d’offres de Québec

Alors que Québec s’apprête à confier ses données informatiques au privé, une des seules entreprises québécoises capables de concurrencer les Amazon et Microsoft à ce chapitre, Micro Logic, a vu sa candidature rejetée.

« On est à 99 % conformes, il nous manque seulement un document qu’on va obtenir au courant de l’été, explique Stéphane Garneau, président de Micro Logic, établie à Québec. Si le gouvernement continue de dire non à ça, ce serait un non-sens. »

Cette situation est d’autant plus étonnante que le gouvernement Legault a assoupli ses exigences pour que des entreprises québécoises puissent participer au processus annoncé en février dernier. On souhaitait alors remplacer la majeure partie des 457 centres de données gouvernementaux, pour réaliser une économie annuelle estimée à 100 millions. Joint par La Presse, le ministre responsable de la Transformation numérique gouvernementale, Éric Caire, l’a réitéré : ce projet d’impartition pourrait devenir un « tremplin pour des entreprises de chez nous ».

« On a des entreprises québécoises qui s’installent dans ce domaine et ont le potentiel de devenir importantes. On pourrait voir d’autres joueurs émerger. » _{— Éric Caire, ministre responsable de la Transformation numérique gouvernementale}

Lancé fin mars, l’appel d’intérêt se bouclera le 10 juin prochain. Contrairement aux appels d’offres classiques, où le contrat est remporté par le plus bas soumissionnaire, ce processus vise à sélectionner plusieurs entreprises d’infonuagique qui répondent à une série de critères établis par Québec. Ces entreprises figureront l’automne prochain dans une courte liste de fournisseurs, un « catalogue » géré par le Centre des services partagés du Québec (CSPQ), auquel pourront accéder les ministères et organismes pour moderniser leur stockage de données.

Certification en deux temps

Dans ses critères de sélection, le gouvernement Legault a décidé de ne pas exiger la certification la plus élevée en la matière, la norme ISO 27001. « Elle est très difficile à avoir, c’est extrêmement contraignant et peu d’entreprises la possèdent, explique le ministre Caire. Si on avait gardé cette seule norme, on aurait exclu à peu près tous les fournisseurs québécois. »

On a plutôt choisi une autre norme appelée SOC 2 de type 2, qui est surtout utilisée en Amérique du Nord. Ce standard s’obtient en deux temps, d’où l’imbroglio dans lequel est plongée Micro Logic. L’entreprise de Québec, qui a rapporté des revenus de 125 millions l’an dernier, a franchi en début d’année la première étape, le type 1. Elle n’obtiendra sa certification finale qu’au terme d’un audit en bonne et due forme après six mois.

Techniquement, l’obtention de cette deuxième partie de la certification SOC 2 en juillet prochain rend Micro Logic inadmissible à l’appel de candidatures, qui sera fermé dans 10 jours.

« On ne demande pas de baisser les normes de sécurité, seulement un peu de souplesse en attendant un document qu’on n’a pas encore. » _{— Stéphane Garneau, président de Micro Logic}

« Si nous, on est non conformes, il ne va rester que les gros joueurs. La réponse des fonctionnaires, à date, c’est non, non et non. Ils ne démontrent pas qu’ils veulent des Québécois. »

Compromis demandé

Pour le ministre Caire, il n’est pas question de « faire des compromis sur la sécurité » afin d’accommoder Micro Logic. « On a fait un gros bout de chemin pour permettre à des entreprises québécoises de se qualifier […]. Si j’autorise Micro Logic à digresser d’une norme aussi importante, sur la base qu’ils vont obtenir cette certification, ce qui est loin d’être sûr, qu’est-ce qui arrive si le rapport d’audit est négatif ? Je ne doute pas de la bonne volonté de Micro Logic, mais je dois travailler avec des faits. »

Le ministre a tout de même tenté de trouver un compromis. Il a demandé à ses fonctionnaires si on pouvait envisager un processus de qualification « continu », une liste à laquelle des entreprises pourraient se greffer en tout temps. « Je n’ai pas encore eu la réponse. »

Il rappelle en outre qu’une fraction seulement, à peine une trentaine, des centres de données gouvernementaux migreront vers le privé la première année.

« Il n’y aura pas tellement de business qui va être faite. Micro Logic pourra se qualifier en 2020. » _{— Éric Caire}

En matière d’infonuagique, quatre géants se partagent l’essentiel du marché en Amérique du Nord : Amazon, Microsoft, IBM et Google. Au Québec, outre Micro Logic, on mentionne souvent la firme Sherweb comme l’autre entreprise pouvant les concurrencer. Cette firme établie à Sherbrooke, présente dans une centaine de pays, a obtenu, elle, la certification SOC 2 de type 2. Même situation pour une autre grande entreprise québécoise d’infonuagique, Coveo, qui pourrait elle aussi se qualifier.

Il a été impossible d’obtenir confirmation auprès de ces deux entreprises de leur intérêt pour l’appel de qualification du gouvernement Legault. Sans les nommer, le ministre Caire précise qu’« il y a des entreprises québécoises qui sont dans le processus de qualification ou qui sont en train d’aller chercher des prérequis ».

Combien vont se qualifier ? « La réponse dès septembre dans le catalogue », répond-il.

Quatre enjeux

Sécurité

C’est la raison principale pour laquelle « le statu quo n’est pas un choix » en matière de gestion des données gouvernementales, estime Nicolas Vermeys, directeur adjoint du Laboratoire de cyberjustice de l’Université de Montréal et coauteur d’une étude sur l’infonuagique du gouvernement en 2014. « Actuellement, les risques sont trop élevés à moins qu’on augmente considérablement les budgets », résume-t-il. À titre de comparaison, rappelle-t-il, Microsoft a des revenus annuels équivalant au budget du Québec et emploie 3500 experts uniquement au chapitre de la sécurité.

Souveraineté

Pour des experts comme José Fernandez, de Polytechnique Montréal, la « souveraineté numérique » est une des raisons pour lesquelles il ne faut pas recourir aux services des géants américains de l’infonuagique. « Il faut avoir nos données là où on peut les contrôler, dit-il. À long terme, c’est une perte d’expertise pour le Québec, et le gouvernement devient otage de ces entreprises. » Il estime que la migration des données vers l’infonuagique est « une opportunité de développement économique » que Québec ne saisit pas.

États-Unis

Le Cloud Act, adopté par les États-Unis début 2018, permet de réclamer les données stockées par une entreprise américaine dans n’importe quel pays. Chez Amazon, le vice-président Stephen Schmidt assure que cette loi « n’a pas d’impact », que son entreprise conteste systématiquement les requêtes et en informe ses clients. Du côté de Microsoft Canada, John Weigelt, responsable de la technologie, estime que le Cloud Act vient clarifier la situation. « Ça met en place un processus transparent, pour lequel il peut y avoir des ententes entre nations, et des garde-fous. »

Économies

Les 457 « centres de traitement de données » du gouvernement du Québec sont de qualité très inégale, « allant du serveur dans un garde-robe au centre très haut de gamme pour Revenu Québec », résume Éric Caire, ministre délégué à la Transformation numérique gouvernementale. Moderniser tout le parc informatique gouvernemental serait « extrêmement coûteux », plaide-t-il. Réjean Bourgault, responsable du secteur public chez AWS Canada, assure que les clients peuvent au contraire faire des économies pouvant atteindre « jusqu’à 35 % » de leurs dépenses informatiques en choisissant l’infonuagique. Pour Québec, il s’agirait d’économies de 210 millions en quatre ans.