Résumé

  • Un incendie au centre de données SK C&C de Pangyo, le 15 octobre 2022, a fait tomber les services de Kakao, dont KakaoTalk, et perturbé Naver : deux plateformes concurrentes servies depuis un même bâtiment commercial.
  • La réponse législative coréenne, surnommée « Kakao Outage Prevention Act », a imposé des obligations de prévention et de rétablissement en cas de sinistre aux exploitants de centres de données comme aux grands fournisseurs de services à valeur ajoutée, et les critères de l'Enforcement Decree qui décident qui est réellement concerné n'ont été arrêtés qu'en juin 2023.

Le feu ne lit pas les baux. Au centre de données SK C&C de Pangyo, au sud de Séoul, un incendie s'est déclaré le 15 octobre 2022 dans un bâtiment commercial dont chaque locataire avait construit sa propre redondance, et la conséquence a été nationale. Reuters rapporte qu'un incendie survenu ce jour-là dans ce centre de données a gravement perturbé les plateformes hébergées sur place, au premier rang desquelles Kakao (Reuters). La BBC précise que la panne a atteint KakaoTalk (BBC News).

Le deuxième locataire transforme l'incident en question de contrôle. Le 17 octobre 2022, Asiae a publié un article intitulé Naver « Restoration of Service Disruption Due to Fire at Pangyo Data Center », indiquant que le même incendie avait perturbé les services de Naver et que l'entreprise avait rendu compte publiquement de son propre rétablissement (Asiae). Deux plateformes concurrentes, deux organisations techniques, deux chaînes d'astreinte, une seule adresse. Quelle que soit la résilience achetée par chacune, le bâtiment restait une frontière qu'aucune des deux n'exploitait.

C'est là que l'imputabilité devient difficile, et il vaut la peine de dire précisément pourquoi. Une plateforme qui exploite ses propres salles machines place dans la même pièce ceux qui choisissent la topologie de redondance et ceux qui répondent à un régulateur. Une plateforme qui loue des surfaces dans un centre commercial achète l'énergie, le refroidissement et la protection incendie à un bailleur, et fournit elle-même l'architecture du service, la logique de bascule et le jugement sur la capacité à répartir entre sites.

Un incendie qui traverse cette jointure ne s'explique pas en interrogeant un seul des deux acteurs, parce que les deux ne répondaient pas à la même question depuis le départ.

La réponse coréenne nomme les deux côtés de la jointure. The Korea Herald rapporte qu'après l'incendie l'Assemblée nationale a adopté en novembre 2022 une législation imposant des obligations renforcées de prévention et de rétablissement en cas de sinistre aux exploitants de centres de données et aux grands fournisseurs de services à valeur ajoutée (The Korea Herald). C'est un instrument plus prudent que ne le laissaient croire les titres de presse : le bailleur n'est pas écarté, et le locataire ne l'est pas davantage.

Le texte a reçu un surnom qui lui a survécu. Asiae rapporte qu'il était connu du public sous le nom de « Kakao Outage Prevention Act », présenté comme un amendement au Telecommunications Business Act exigeant des fournisseurs de services de télécommunications à valeur ajoutée qu'ils mettent en place des systèmes de gestion des sinistres, et situe le texte devant le Science and ICT Committee début décembre 2022 (Asiae). Le service anglais du Korea Legislation Research Institute consacré à cette loi indique que des amendements ont été adoptés afin d'intégrer des protocoles de gestion des sinistres plus stricts, visant la stabilité des services numériques fournis par les grandes plateformes (Korea Legislation Research Institute).

La chronologie de ce dossier ne se referme pas proprement, et l'écart est instructif plutôt qu'embarrassant. Un article place l'adoption en séance plénière en novembre 2022 ; un autre place le texte en commission début décembre 2022. Le passage en commission et l'adoption en séance plénière sont deux objets distincts, et une séquence où l'étape de commission suit le vote plénier ne peut être exacte dans ses deux parties.

Pour qui doit agir sur ce fondement — une équipe conformité, le conseil d'un exploitant de centre de données, un assureur qui tarifie le risque de continuité — le statut de l'instrument est une question de document, et le document doit être lu plutôt que déduit d'un surnom.

La ligne de qualification est arrivée plus tard encore. Asiae rapporte qu'en juin 2023 le gouvernement a finalisé, dans l'Enforcement Decree, les critères de seuil précis des obligations de gestion des sinistres, pour les centres de données et les fournisseurs de services à valeur ajoutée (Asiae). Entre une loi adoptée fin 2022 et un seuil fixé en juin 2023 tient toute la question du champ d'application. Une obligation qui vise les fournisseurs « importants » ne produit rien tant que personne n'a écrit ce que signifie important, et cette écriture se fait dans un décret, par un ministère, à une date vérifiable.

C'est pourquoi le décret compte davantage que le surnom. Une loi qui désigne deux catégories de parties obligées est une affirmation sur l'endroit où le législateur situe le contrôle. Un décret qui fixe des seuils est le mécanisme qui transforme cette affirmation en une liste d'entreprises nommées, avec des obligations nommées, une exposition à l'inspection et une relation de reporting.

Un conseil d'administration qui lit le dossier Kakao pour en tirer des leçons sur sa propre posture de continuité devrait lire les critères de l'Enforcement Decree, pas la couverture de presse : la couverture décrit une intention, le décret décrit qui est concerné.

Le test qui trancherait cet article est étroit et falsifiable. Un texte amendé promulgué, portant une date d'entrée en vigueur, accompagné d'une désignation ministérielle datée, d'une inspection, d'une injonction corrective ou d'un compte rendu nommant un fournisseur obligé précis, ferait passer le remède coréen d'un dispositif adopté à une obligation exercée. C'est la catégorie de pièce à surveiller, et c'est aussi celle qu'une entreprise dans cette position doit voir apparaître dans sa propre correspondance avant de la voir apparaître ailleurs.

Le matériel examiné pour cet article se compose de notices de niveau résumé provenant de Reuters, de BBC News, de trois articles d'Asiae et de The Korea Herald, ainsi que de la page en anglais du Korea Legislation Research Institute consacrée au Telecommunications Business Act ; aucun texte de loi, aucune déclaration directe de SK C&C et aucun dossier de contrôle n'ont été obtenus sous forme de texte, de sorte que la cause matérielle de l'incendie, la durée de la panne, le numéro et les articles promulgués de la loi modificative, ses dates de promulgation et d'entrée en vigueur, le seuil chiffré et toute action coercitive contre un fournisseur ne sont pas affirmés ici. L'argument tient à ce qui est documenté : un bâtiment partagé, deux locataires nommés, une loi qui a nommé les deux côtés de la dépendance, et une ligne de qualification tracée environ sept mois après l'incendie. La fiche de l'entité se trouve à Kakao Corp.