Services infonuagiques gérés : ce qui est inclus, les avantages et inconvénients réels, et quand garder l'infonuagique à l'interne

Les décideurs en infonuagique estiment désormais que 29 % de leurs dépenses infonuagiques sont gaspillées. Ce chiffre avait baissé cinq années de suite. En 2026, il est reparti à la hausse, tiré par les charges de travail d'IA et les nouveaux services de plateforme (rapport Flexera 2026 State of the Cloud, 2026-03-18). Et 85 % des plus de 750 décideurs sondés ont désigné la gestion des dépenses infonuagiques comme un défi de premier plan.

Vous avez donc migré vers AWS, Azure ou Google Cloud pour cesser de materner des serveurs. Maintenant, vous maternez plutôt une facture, une console de sécurité et un calendrier de correctifs. C'est souvent à ce moment que quelqu'un propose des services infonuagiques gérés.

Voici la réponse courte. Les services infonuagiques gérés, c'est payer un fournisseur pour exploiter au quotidien votre environnement infonuagique : surveillance, correctifs, sauvegarde, posture de sécurité, maîtrise des coûts et réponse aux incidents. Le fournisseur infonuagique exploite toujours les centres de données. Vous restez propriétaire de vos données et de vos décisions. Cela vaut la peine quand vous n'avez pas le personnel pour exploiter l'infonuagique correctement, jour et nuit. Cela n'en vaut pas la peine quand vous avez une équipe compétente, un petit parc stable ou des données que personne d'autre ne peut toucher.

Ce guide présente ce que fait réellement un fournisseur, un énoncé de travaux que vous pouvez copier, les coûts au Canada, les avantages et les inconvénients sans détour, les règles de résidence des données qui s'appliquent au Canada et les cinq cas où il faut garder l'infonuagique à l'interne. Nous exploitons des services infonuagiques gérés et DevOps pour des organisations canadiennes depuis North York : ce texte est donc écrit du côté de l'exploitation.

Qu'est-ce que les services infonuagiques gérés?

Les services infonuagiques gérés sont un contrat continu dans lequel un tiers exploite pour vous une partie ou la totalité de votre environnement infonuagique. Voyez-les comme des TI gérées, mais dirigées vers l'infrastructure infonuagique plutôt que vers les ordinateurs de bureau et les imprimantes. Vous les verrez aussi appelés services gérés d'infonuagique, services de TI infonuagiques gérés ou simplement infonuagique gérée. Tout cela veut dire la même chose.

Le fournisseur travaille dans vos comptes AWS, Azure ou Google Cloud (ou un nuage privé), avec vos consoles, selon une portée et un niveau de service convenus. Vous payez des frais mensuels. C'est lui qui répond à l'alerte de 3 h du matin.

Ce n'est pas un nouveau nuage. Ce n'est pas non plus un rabais de revendeur. Ce sont des gens et des processus autour de la plateforme que vous payez déjà.

Que fait au juste un fournisseur de services infonuagiques gérés?

Le plus simple pour comprendre est de diviser le travail en trois couches. Le Centre canadien pour la cybersécurité reprend la même idée dans sa publication Gestion des risques liés à la sécurité infonuagique (ITSM.50.062) : quand vous exploitez de l'infrastructure-service (IaaS), le fournisseur infonuagique s'occupe du matériel et des installations, et vous êtes responsable de l'identité, des données, des applications et de la plateforme qui reposent dessus.

Un fournisseur de services infonuagiques gérés prend en charge une grande part de votre couche. Pas toute.

Cette dernière ligne compte plus que les gens ne le pensent. Le Centre canadien pour la cybersécurité est catégorique : les organisations qui utilisent l'infonuagique « demeurent responsables » de la confidentialité, de l'intégrité et de la disponibilité de leurs systèmes. Embaucher un fournisseur déplace le travail. Cela ne déplace pas la responsabilité.

EC2 est-il un service géré?

Non. Amazon EC2 est une infrastructure non gérée. Le modèle de responsabilité partagée d'AWS lui-même précise qu'EC2 « est placé dans la catégorie Infrastructure as a Service (IaaS) et dans ce sens, le client doit effectuer toutes les configurations de sécurité et tâches de gestion nécessaires ». Cela comprend le système d'exploitation invité, ses correctifs, vos logiciels et les groupes de sécurité.

Comparez avec Amazon RDS, S3 ou DynamoDB. Pour ces services, AWS exploite le système d'exploitation et la plateforme, et vous gérez vos données, vos choix de chiffrement et vos permissions.

Voilà la réponse à la question « services AWS entièrement gérés ou non gérés ». Un parc EC2 dont personne n'applique les correctifs est l'une des lacunes les plus courantes que nous trouvons.

Que sont les services gérés AWS?

L'expression désigne trois choses différentes, et elle cause une confusion réelle dans les achats :

1. Services gérés par AWS : des services de plateforme où AWS s'occupe de la tuyauterie, comme RDS, Lambda ou le plan de contrôle d'EKS.
2. AWS Managed Services (AMS) : un produit AWS précis qui exploite votre infrastructure AWS à votre place. Surveillez la date : AWS a annoncé la fin du soutien d'AMS Advanced au 2027-06-30. Si vous l'utilisez, il vous faut un plan B d'ici là.
3. Services infonuagiques gérés AWS offerts par un partenaire : un fournisseur tiers qui exploite vos comptes AWS. C'est ce que veulent réellement la plupart des gens qui cherchent ce terme.

La même distinction s'applique aux services infonuagiques gérés Azure et Google Cloud. Demandez à chaque fournisseur lequel des trois il entend.

Que comprennent les services infonuagiques gérés? (Un énoncé de travaux à copier)

La plupart des propositions énumèrent les mêmes dix points. Les différences se cachent dans le détail : ce qui est réellement inclus, ce qui coûte en plus et ce que personne ne fera pour vous. Voici un énoncé de travaux de services infonuagiques gérés que vous pouvez glisser dans une demande de propositions.

Deux lignes méritent un second regard.

Sauvegarde. « Tout est sauvegardé » ne veut rien dire tant que personne n'a restauré quoi que ce soit. Demandez à quelle fréquence le fournisseur teste une restauration, et demandez à voir le dernier rapport. Notre service de sauvegarde et de reprise après sinistre traite une sauvegarde non testée comme une absence de sauvegarde.

Sécurité. La plupart des services gérés de sécurité infonuagique s'arrêtent à la posture : les compartiments de stockage sont-ils publics, l'authentification multifacteur (MFA) est-elle activée, les journaux sont-ils activés. Surveiller les attaquants en temps réel est un autre service, habituellement offert par un fournisseur de services de sécurité gérés. Si vous ne savez pas lequel vous convient, notre guide sur ce que fait un fournisseur de services de sécurité gérés trace la ligne. Pour le travail de posture, consultez notre offre de sécurité infonuagique.

Vous voulez faire vérifier cet énoncé de travaux par rapport à votre parc? Envoyez-nous votre contrat actuel ou votre facture infonuagique, et un spécialiste chevronné relèvera ce qui manque. Voyez comment se déroulent nos mandats d'infonuagique gérée et de DevOps.

Quels sont des exemples de services infonuagiques gérés?

Les exemples de services infonuagiques gérés se regroupent en quelques catégories. La plupart des organisations en achètent deux ou trois, pas les six.

• Services de nuage public gérés : quelqu'un exploite vos comptes AWS, Azure ou Google Cloud. C'est le cœur de la plupart des contrats. Voyez notre pratique AWS pour savoir ce que cela donne sur Amazon.
• Services de nuage privé gérés : votre propre grappe VMware, Proxmox ou hyperconvergée, exploitée par un fournisseur, soit dans votre salle de serveurs, soit dans un centre de colocation.
• Services d'infonuagique hybride gérés : une seule équipe exploite les deux côtés, de sorte que les serveurs sur place et les charges de travail infonuagiques partagent la même surveillance et le même calendrier de correctifs.
• Services multinuage gérés : au moins deux grands fournisseurs infonuagiques sous une même équipe d'exploitation. Courant après une acquisition. Rarement planifié.
• Sécurité infonuagique gérée : gestion de la posture, revues des identités et surveillance des journaux pour les comptes infonuagiques.
• Services gérés de migration infonuagique : la migration elle-même, suivie d'une phase d'exploitation. Nos services de migration infonuagique couvrent la première moitié.

Voici comment cela se passe. Imaginez un distributeur de 60 personnes à Mississauga (un composite de situations que nous voyons souvent). Il a migré vers Azure en 2024. Au printemps 2026, la facture mensuelle était passée de 9 k$ à 21 k$ et personne ne pouvait dire pourquoi.

La cause n'était pas une grosse erreur. C'était 40 petites : des serveurs de test laissés allumés, des disques de machines virtuelles supprimées, une politique de sauvegarde qui gardait chaque copie pour toujours.

Le premier mois d'un fournisseur de services gérés a servi à relier chaque ligne de la facture à une charge de travail, puis à supprimer ou à redimensionner ce dont personne n'était responsable. La facture s'est stabilisée à 14 k$. Cet exercice à lui seul a couvert les frais du fournisseur, avec de la marge. Ce n'est pas garanti, mais c'est le bon premier test pour n'importe quel fournisseur.

Quelle est la différence entre le logiciel-service (SaaS) et les services gérés?

Le SaaS est un produit. Un service géré est une équipe. Avec le SaaS, comme Microsoft 365 ou Salesforce, le fournisseur exploite une application pour tout le monde, et vous obtenez la même chose que tous les autres clients. Avec un service géré, un fournisseur exploite votre environnement, configuré à votre façon, y compris ce que les fournisseurs de SaaS ne touchent pas, comme vos comptes d'utilisateurs, les sauvegardes de vos données SaaS et vos paramètres de sécurité.

Il vous faut souvent les deux. Microsoft exploite Exchange Online. Personne chez Microsoft ne remarquera qu'un employé parti a toujours une règle de transfert de sa boîte aux lettres vers son compte Gmail.

Qu'est-ce que l'hébergement infonuagique géré?

Les services d'hébergement infonuagique géré sont plus restreints : une société d'hébergement vous loue des serveurs infonuagiques, souvent pour des sites Web, du commerce électronique ou une seule application, et gère les serveurs qu'elle vous loue. Vous êtes sur sa plateforme.

Les services infonuagiques gérés, eux, exploitent habituellement vos comptes chez un grand fournisseur infonuagique ou sur votre propre matériel. Si vous avez un seul site WordPress, l'hébergement géré suffit. Si vous avez une douzaine de systèmes d'affaires, il vous faut le service plus large.

Combien coûtent les services infonuagiques gérés au Canada?

Il n'existe pas de liste de prix publique, et quiconque donne un prix avant de voir votre parc devine. Ce que vous pouvez savoir, c'est comment vous serez facturé. Les fournisseurs canadiens utilisent trois modèles :

1. Un pourcentage des dépenses infonuagiques. Les frais suivent votre facture. Simple, mais cela récompense discrètement le fournisseur quand votre facture grossit. Demandez comment il est payé pour la réduire.
2. Des frais fixes par charge de travail, par serveur ou par compte. Prévisible. Vérifiez ce qui arrive quand vous ajoutez des serveurs en cours d'année.
3. Des forfaits par utilisateur. L'exploitation infonuagique est intégrée à un contrat plus large de TI gérées. Les guides canadiens de prix des TI gérées situent les TI entièrement gérées à environ 100 $ à 300 $ par utilisateur par mois en 2026 (guide d'un fournisseur de services gérés canadien, mis à jour le 2026-08-13). Demandez quelle part de ce montant couvre l'infonuagique.

Voici une illustration simple, pas une soumission. Disons que votre facture Azure est de 20 k$ par mois. Des frais de 15 % représenteraient 3 k$ par mois, soit 36 k$ par année.

Appliquez maintenant le chiffre de gaspillage de 29 % de Flexera : sur une facture de 20 k$, cela fait environ 5,8 k$ par mois qui ne mènent nulle part. Un fournisseur qui en supprime ne serait-ce que la moitié se rembourse lui-même. Un fournisseur qui se contente de vous envoyer un rapport, non.

Voilà la question à poser à chaque rencontre de vente : « Qu'avez-vous changé sur la facture d'un client le trimestre dernier? » La réponse sépare un tableau de bord d'un service.

Quels sont les avantages et les inconvénients réels des services infonuagiques gérés?

Chaque page de fournisseur énumère les avantages. Voici le portrait complet.

Le risque de dépendance à l'égard d'un fournisseur est assez sérieux pour que le Commissariat à la protection de la vie privée du Canada (CPVP) le nomme maintenant. Son orientation sur l'évaluation des tiers fournisseurs de services, publiée le 2026-09-10, demande aux organisations de peser le risque de dépendance à l'égard d'un fournisseur et de perte d'accès aux données, de nommer par écrit chaque sous-traitant et de confirmer comment les données sont retournées et supprimées à la fin du contrat.

La solution se trouve dans le contrat. Vous gardez les comptes d'administration. Tout ce que le fournisseur construit se trouve dans vos dépôts, sous forme de code. Les guides d'exploitation vous appartiennent.

Où se trouvent vos données, et pourquoi cela compte-t-il au Canada?

Tous les grands fournisseurs infonuagiques exploitent maintenant des régions au Canada, alors garder les données au pays est facile. Les garder au bon endroit demande plus de réflexion.

Quatre règles façonnent la décision.

1. La LPRPDE vous tient responsable. En vertu du principe de responsabilité, vous demeurez responsable des renseignements personnels que vous transférez à un tiers aux fins de traitement. Votre fournisseur de services infonuagiques gérés est ce tiers. Notre travail de conformité à la LPRPDE commence par le contrat pour cette raison.

2. La Loi 25 du Québec contient un piège. L'article 17 de la loi québécoise sur la protection des renseignements personnels dans le secteur privé (P-39.1) exige une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels à l'extérieur du Québec.

Pour une entreprise québécoise, la région Canada Central d'Azure se trouve à Toronto. C'est à l'extérieur du Québec, et y stocker les renseignements personnels de résidents du Québec est généralement considéré comme une communication à l'extérieur du Québec. Une « région canadienne » n'est pas automatiquement une région québécoise : faites valider cette interprétation par un avocat. Consultez notre service de conformité à la Loi 25 du Québec et nos évaluations des facteurs relatifs à la vie privée.

3. Un sol canadien n'est pas la même chose qu'un contrôle canadien. En juin 2025, le directeur des affaires publiques et juridiques de Microsoft France a déclaré, sous serment, à une commission d'enquête du Sénat français qu'il ne pouvait pas garantir que les données de clients français ne seraient jamais transmises aux autorités américaines sans le consentement de la France (The Register, 2025-07-25). Le CLOUD Act américain vise les sociétés dont le siège est aux États-Unis, où que se trouvent les serveurs. Pour la plupart des entreprises, c'est un risque acceptable. Pour certaines, il ne l'est pas.

4. Ottawa achète désormais de l'infonuagique souveraine. Services partagés Canada a lancé une invitation à se qualifier pour des services infonuagiques souverains le 2026-09-25, réservée aux entreprises sous propriété et contrôle canadiens. Elle prend fin le 2026-10-20. Si vous vendez au gouvernement fédéral, attendez-vous à ce que des questions de souveraineté apparaissent bientôt dans vos propres contrats.

Imaginez un groupe de physiothérapie de 40 personnes à Montréal (un autre composite). Son nouveau système de rendez-vous et de notes a été mis en service sur Azure Canada Central, choisi parce que « c'est au Canada ». Six mois plus tard, une revue de la protection de la vie privée a demandé où les dossiers des patients étaient stockés. À Toronto.

Personne n'avait fait l'évaluation de l'article 17. La correction a pris une fin de semaine : déplacer le stockage vers Canada East, documenter l'évaluation, mettre à jour le contrat du fournisseur. La leçon a mis plus de temps à faire son chemin. Le choix de la région est une décision juridique, pas seulement une question de latence.

Vous ne savez pas où se trouvent réellement vos données? Nous cartographierons chaque lieu de stockage de vos comptes infonuagiques au regard de la LPRPDE et de la Loi 25. Réservez une revue infonuagique avec un spécialiste chevronné.

Quand faut-il garder l'infonuagique à l'interne?

Toutes les organisations n'ont pas besoin de services infonuagiques gérés. Franchement, certaines ne devraient pas en acheter. Gardez l'infonuagique à l'interne quand une ou plusieurs de ces situations s'appliquent :

1. Vous avez déjà au moins deux personnes qui connaissent bien votre plateforme et qui peuvent se partager un tour de garde. L'impartition ferait surtout double emploi avec elles.
2. Votre parc est petit et stable. Une poignée de serveurs qui changent rarement n'a pas besoin d'une équipe d'exploitation 24/7.
3. L'infonuagique est votre produit. Si vous êtes une société de logiciels, exploiter l'infrastructure est une compétence centrale. Abandonnez-la, et vous la perdez.
4. Vos données ne peuvent pas quitter votre contrôle, en raison d'un contrat, d'un niveau de classification ou d'un organisme de réglementation. Certaines charges de travail réglementées au Canada finissent sur du matériel que vous possédez. Notre travail en infrastructure hyperconvergée existe justement pour ces cas.
5. Vos charges de travail sont stables et lourdes en licences. Des systèmes prévisibles et toujours allumés coûtent souvent moins cher sur votre propre matériel que dans n'importe quel nuage, géré ou non.

Imaginez une société de logiciels d'Ottawa de 120 employés (un troisième composite). Ses trois spécialistes de la plateforme exploitent bien AWS. Ce qu'ils n'ont pas, c'est le temps pour les alertes de 2 h du matin et la revue mensuelle des coûts.

Elle n'avait pas besoin de services infonuagiques entièrement gérés. Elle a engagé un fournisseur pour la surveillance hors des heures d'ouverture et une revue trimestrielle des coûts seulement. Ses spécialistes ont gardé le travail de conception et la console. C'est de l'infonuagique cogérée, et c'est la configuration la plus courante que nous exploitons.

Infonuagique entièrement gérée ou cogérée?

Les services infonuagiques entièrement gérés conviennent aux organisations qui n'ont aucun personnel infonuagique. Le fournisseur exploite tout et vous approuvez les changements. Le modèle cogéré convient aux organisations dont l'équipe est bonne, mais débordée. Le fournisseur prend le travail hors des heures d'ouverture, le calendrier des correctifs et les revues de coûts, et votre équipe garde l'architecture.

Nous avons comparé les deux modèles en détail, prix canadiens compris, dans TI cogérées ou services TI entièrement gérés. La même logique s'applique à l'infonuagique. Notre page sur les TI cogérées montre comment la répartition fonctionne au quotidien.

Comment choisir un fournisseur de services infonuagiques gérés au Canada?

L'orientation du CPVP du 2026-09-10 énumère 11 éléments à évaluer avant qu'un fournisseur touche à des renseignements personnels. Nous avons transformé ceux qui comptent le plus pour l'infonuagique en huit questions. Posez-les à chaque fournisseur de services infonuagiques gérés de votre liste restreinte :

1. Où nos données seront-elles stockées et sauvegardées, et d'où seront-elles consultées? Incluez leurs sous-traitants et l'emplacement de leur personnel de soutien.
2. Qui sont vos sous-traitants? Demandez si le quart de nuit est assuré par leur propre personnel ou par celui d'un autre.
3. Gardons-nous les comptes d'administration et l'accès à la console? La réponse devrait être oui.
4. Tout ce que vous construisez se trouvera-t-il dans notre dépôt de code? L'infrastructure sous forme de code, dans votre Git, est votre plan de sortie.
5. Qu'avez-vous changé sur la facture infonuagique d'un client le trimestre dernier? Demandez un exemple concret et anonymisé.
6. À quelle fréquence testez-vous les restaurations, et pouvons-nous voir le dernier rapport?
7. Comment gérez-vous une atteinte à la sécurité des données, et qui avise qui? Vos obligations de notification ne leur sont pas transférées.
8. Comment partons-nous? Le retour des données, leur destruction et la passation devraient être consignés par écrit avant que vous signiez.

Un fournisseur qui répond clairement aux huit est rare. Celui qui esquive la question 3 ou la question 8 devrait quitter la liste. Si vous voulez de l'aide pour noter les réponses, notre service de gestion du risque lié aux tiers est construit autour de ce type d'évaluation des fournisseurs.

Cherchez des spécialistes techniques, pas des gestionnaires de comptes. Les pannes d'infrastructure et d'infonuagique commencent souvent dans le réseau : un changement de routage, une règle de pare-feu, un réseau privé virtuel (RPV) défaillant vers le bureau. Un fournisseur qui comprend le réseau sous le nuage les repère plus vite. Voilà pourquoi notre équipe infonuagique côtoie nos spécialistes en réseau et en centre de données.

Que faire ensuite?

En clair : les services infonuagiques gérés vous procurent une équipe qui exploite votre nuage au quotidien. Ils ne vous libèrent pas de votre responsabilité, et ils ne conviennent pas à tout le monde.

Voici ce qu'il faut retenir :

• Le fournisseur exploite. Vous gardez la responsabilité. La LPRPDE et la Loi 25 se moquent de qui a cliqué sur le bouton.
• L'énoncé de travaux est l'endroit où se cache la valeur. Servez-vous du tableau ci-dessus et vérifiez ce qui est « habituellement en supplément » dans votre soumission.
• La région est un choix juridique au Canada, surtout pour les données québécoises.
• Le modèle cogéré est souvent la formule idéale pour les équipes compétentes, mais débordées.
• Gardez l'infonuagique à l'interne si vous avez le personnel, un parc stable ou des données qui ne peuvent pas quitter votre contrôle.

Trois choses à faire cette semaine :

1. Sortez la facture infonuagique du mois dernier et essayez de nommer la charge de travail derrière chaque grosse ligne. Tout ce que vous ne savez pas nommer est le premier endroit où chercher des économies.
2. Dressez la liste de chaque région où se trouvent vos données, sauvegardes comprises. Vérifiez chacune au regard des règles ci-dessus.
3. Notez qui répond à une alerte à 2 h du matin. Si la réponse est « personne » ou « une seule personne », vous avez trouvé votre raison concrète de vous intéresser à l'infonuagique gérée.

Nous travaillons avec des organisations de Toronto, Montréal et Ottawa, y compris des équipes de la santé et des services financiers soumises à des règles strictes de résidence des données. Si vous voulez une réponse charge de travail par charge de travail, parlez à un spécialiste chevronné de l'infonuagique de ce qu'il faut imparter, cogérer et garder.

Rédigé par Saeid Ghobadi, CCIE Data Center et fondateur de SMEnode. Faits et situation juridique vérifiés le 2026-10-06. Les chiffres de coûts infonuagiques sont des illustrations, pas des soumissions. Ce guide fournit de l'information générale et ne constitue pas un avis juridique. Validez vos obligations en matière de vie privée avec un avocat.