La réponse honnête est « cela dépend » — mais elle mérite d'être détaillée, car les deux réponses caricaturales (« le cloud est dangereux, mes données sont chez les autres » et « le cloud est forcément plus sûr ») sont fausses. Commençons par les atouts de sécurité du cloud, souvent sous-estimés. Les grands fournisseurs investissent des moyens colossaux dans la sécurité que la plupart des organisations ne pourraient jamais égaler : centres de données physiquement protégés et redondants, équipes de sécurité spécialisées veillant en permanence, mises à jour et correctifs appliqués systématiquement, chiffrement, détection d'intrusion, sauvegardes et haute disponibilité. Pour une PME, la sécurité offerte par un cloud sérieux dépasse presque toujours ce qu'elle pourrait bâtir elle-même avec un serveur dans un placard mal protégé, rarement mis à jour et sans surveillance. De ce point de vue, le cloud renforce souvent la sécurité. Mais il déplace aussi les risques, et c'est le point crucial : le concept de responsabilité partagée (développé en 4.4). Le fournisseur sécurise l'infrastructure (le « cloud »), mais vous restez responsable de la sécurisation de votre usage (les données, les accès, les configurations, les identités). Les incidents de sécurité dans le cloud viennent très majoritairement non pas d'une faille du fournisseur, mais d'erreurs côté client : mots de passe faibles, absence d'authentification forte (MFA, section 4.4), mauvaises configurations de partage exposant des données, comptes mal gérés, hameçonnage réussi. Le cloud ne vous dispense donc pas de faire votre part — il change la nature de votre travail de sécurité, sans le supprimer. Il y a aussi des considérations propres au cloud : la dépendance au fournisseur (que se passe-t-il s'il subit une panne, augmente ses prix, ferme, ou si vous voulez partir ?), la question de la localisation et de la souveraineté des données (où sont-elles stockées, sous quelle juridiction ? — un enjeu réglementaire important, qui varie selon les pays), et la confidentialité vis-à-vis du fournisseur lui-même. Ces points ne rendent pas le cloud « moins sûr », mais appellent des choix éclairés (quel fournisseur, quelles données lui confier, quelles garanties contractuelles). La conclusion pratique : le cloud n'est ni intrinsèquement plus sûr ni moins sûr — il offre une sécurité d'infrastructure généralement excellente, mais exige de bien assumer votre part de responsabilité (identités, accès, configurations, données) et de choisir votre fournisseur en connaissance de cause. Bien utilisé, il élève le niveau de sécurité de la plupart des organisations ; mal utilisé (mauvaises configurations, accès non protégés), il expose autant qu'un système local négligé. La sécurité n'est pas dans le lieu d'hébergement, mais dans la rigueur de la gestion.

L'approche hybride — un mélange de cloud et d'interne — est la réalité de la grande majorité des organisations, et c'est généralement la plus sage : la question n'est pas « tout cloud ou rien », mais « quoi mettre où, et pourquoi ». Plusieurs critères guident ce choix pour chaque service ou donnée. La nature du besoin d'abord : certains services sont devenus naturellement cloud parce que le SaaS y est excellent et sans valeur ajoutée à héberger soi-même — la messagerie, la collaboration, la bureautique en ligne (Microsoft 365) sont des cas typiques où le cloud s'impose par sa simplicité, sa disponibilité et sa maintenance déléguée. Migrer ces services libère l'IT de tâches ingrates (gérer un serveur de messagerie est lourd et risqué). À l'inverse, certaines applications métier spécifiques, anciennes, ou fortement intégrées à l'environnement local peuvent être difficiles ou coûteuses à migrer, et restent en interne. La sensibilité des données ensuite : des données très sensibles ou soumises à des contraintes réglementaires de localisation peuvent devoir rester sous contrôle direct, ou n'être confiées qu'à un cloud offrant des garanties précises (souveraineté, juridiction — cela varie selon les pays et les secteurs). La connectivité : le cloud dépend d'Internet ; un site avec une connexion faible ou peu fiable ne peut pas tout mettre en ligne sans risquer la paralysie en cas de coupure — certaines ressources critiques doivent rester accessibles localement. Le coût, enfin, est plus subtil qu'il n'y paraît : le cloud transforme un gros investissement en dépense récurrente, ce qui est avantageux dans bien des cas (pas de matériel à acheter et renouveler, élasticité), mais peut revenir cher à long terme pour des charges lourdes et stables — le calcul dépend du profil d'usage. La maîtrise et la dépendance comptent aussi : le cloud délègue la maintenance mais crée une dépendance au fournisseur qu'il faut assumer. En pratique, la démarche raisonnable n'est pas idéologique (« migrons tout » ou « ne touchons à rien ») mais pragmatique, service par service : pour chaque brique, évaluer si le cloud apporte un vrai bénéfice (simplicité, disponibilité, coût, capacités) au regard des contraintes (sensibilité, connectivité, dépendance, réglementation). Le résultat est presque toujours un hybride qui évolue dans le temps : de plus en plus de services basculent vers le cloud à mesure que l'offre mûrit, tandis que certains éléments restent en interne pour de bonnes raisons. C'est d'ailleurs pourquoi le technicien d'aujourd'hui doit maîtriser les deux mondes — l'administration locale (niveau 3) et l'administration cloud (ce niveau) — car il travaillera longtemps à cheval sur les deux.