Terminez une instance EC2 et son disque racine part avec elle. Tout volume attaché après le lancement reste sur place, et AWS documente le défaut sans détour : DeleteOnTermination vaut true pour le volume racine et false pour les volumes attachés. Personne n'a choisi cela pour votre parc ; c'est ce que fait le compte quand la question n'est jamais posée. Vos ingénieurs n'ont pas été négligents. Votre infrastructure est plus grande que votre documentation parce que les valeurs par défaut se rangent du côté des restes.
Un inventaire des ressources cloud assemblé de mémoire sera toujours un sous-ensemble de ce qui tourne et de ce qui facture. Le State of the Cloud Report 2026 de Flexera, publié le 18 mars 2026 à partir de 753 décideurs cloud, chiffre la dépense cloud gaspillée à 29 %, première hausse en cinq ans. C'est classé comme un chiffre de finance. La version sécurité est pire : une machine dont personne ne se rappelle la location est une machine que personne ne patche. Elle détient toujours le credential qui lui a été remis, elle répond toujours sur un port, et elle est hors du périmètre de votre prochain test d'intrusion, parce que la réunion de cadrage a travaillé sur la même liste que vous.
D'où viennent réellement les ressources cloud orphelines
L'ingénieur qui est parti en est l'exemple le plus net. Quelqu'un a monté un proof of concept dans une région que l'équipe n'utilise pas par ailleurs, l'a présenté, et est parti dix-huit mois plus tard. L'instance tourne toujours et elle n'est dans le Terraform de personne. À côté d'elle, le second compte : un projet qui devait aller plus vite que les achats, ouvert sur une carte personnelle, jamais réintégré. Cisco évalue à 80 % la part des salariés qui utilisent une technologie non autorisée. Gartner a constaté que 41 % avaient acquis, modifié ou créé de la technologie hors de la visibilité de la DSI en 2022, et situe à 38 % la part des achats technologiques pilotés par les métiers plutôt que par la DSI.
Le reste est mécanique. L'autoscaling a monté en charge pour un lancement et la politique de descente n'a jamais été écrite avec autant d'agressivité que celle de montée, si bien qu'un groupe qui devrait être à quatre est à onze. Un load balancer survit au service qu'il exposait. Des snapshots tournent sur une planification que quelqu'un a réglée en 2022 sans expiration. Et quelque part dans la plupart des parcs, un environnement de staging est devenu la production par accident, parce qu'une intégration client a été pointée dessus une fois et que personne n'a voulu être celui qui l'éteindrait.
Une machine inconnue est une machine non patchée
Le DBIR 2026 de Verizon, publié le 20 mai 2026, constate que l'exploitation de vulnérabilités est devenue le premier vecteur d'accès initial, avec 31 % des violations, contre 20 % l'année précédente. Il situe le délai médian de correction d'une vulnérabilité activement exploitée à 43 jours, contre 32, et constate que 26 % seulement des vulnérabilités figurant sur la liste des failles exploitées de la CISA ont été un jour entièrement corrigées. Ces chiffres décrivent les machines que vous connaissez. Pour les autres, le délai de correction, c'est jamais.
Une instance antérieure à votre outillage de patch détient aussi toujours le credential qu'on lui a remis le premier jour. Le State of Cloud Security 2025 de Datadog constate que 59 % des utilisateurs IAM d'AWS ont une clé d'accès active vieille de plus d'un an, qu'un quart de toutes les clés ont plus de trois ans et qu'une sur dix a plus de cinq ans. Le Cloud Security Report 2026 de Cybersecurity Insiders et Fortinet, fondé sur 1 163 praticiens de l'informatique et de la sécurité, voit 69 % d'entre eux citer la prolifération d'outils et les angles morts comme premier facteur limitant leur sécurité cloud. La machine oubliée, c'est là que ces deux constats se rejoignent.
À quoi ressemble la dépense cloud inutilisée, ligne par ligne
Depuis le 1er février 2024, AWS facture 0,005 dollar par heure chaque adresse IPv4 publique, attachée ou non, soit environ 43 dollars par an pour une adresse qui ne fait rien. Un Application Load Balancer dans la région US East (N. Virginia) coûte 0,0225 dollar par heure, soit à peu près 16,43 dollars par mois, facturés qu'il route ou non la moindre requête. Prises isolément, ce sont des erreurs d'arrondi, et c'est pour cela qu'elles survivent : aucune ligne n'est assez grosse pour qu'on ouvre un ticket, et un parc de taille moyenne en porte des centaines. L'argent le plus lourd est dans les ressources qui tournent correctement et ne font rien. Le State of Cloud Costs 2024 de Datadog constate que 83 % des coûts de conteneurs sont associés à des ressources inutilisées : 54 % de la dépense conteneurs est du cluster inutilisé, de l'infrastructure provisionnée sur laquelle rien n'a jamais été planifié, et 29 % est du workload inutilisé, des demandes de ressources plus grandes que ce dont les workloads ont besoin.
Lancer une découverte sur des comptes que vous n'avez pas ouverts
Partez de l'argent et de l'identité, pas des consoles. Chaque compte est rattaché à un moyen de paiement : douze mois de relevés de carte et de banque sont donc une meilleure source de découverte que n'importe quelle API de fournisseur ; ensuite votre fournisseur d'identité et vos zones DNS, parce qu'un compte dont personne ne se souvient résout toujours un nom que quelqu'un a enregistré.
À l'intérieur d'un compte, l'outillage du fournisseur aide et ment aussi par omission. AWS Resource Explorer construit un index par région, n'en autorise qu'un seul, et exige que l'un d'eux soit promu agrégateur pour que la recherche inter-régions fonctionne, si bien qu'une région que vous n'avez jamais indexée ne contribue en rien à des résultats qui ont l'air complets. Les ressources taguées apparaissent en quelques minutes et les non taguées prennent jusqu'à deux heures, voire davantage : les ressources les moins documentées sont donc les plus lentes à apparaître. Lancez-le deux fois, à un jour d'intervalle, avant de le croire.
D'un fournisseur à l'autre, c'est la fusion qui constitue le travail, et à la main elle ne se termine jamais, parce que chaque export a sa propre idée de ce qui compte comme ressource et qu'aucun ne nomme les régions de la même façon. Sencai fait de cette fusion le produit lui-même : connectez un compte avec des credentials scopés et ses instances, réseaux, stockages et DNS existants arrivent dans une seule liste, à côté des machines de vos propres baies qu'un agent hôte peut atteindre, sans que rien soit migré ni reconstruit. La promotion en gestion se fait une ressource à la fois : voir quelque chose n'est pas accepter de l'exploiter.
Triez par rayon d'impact, pas par coût mensuel
La première passe rapporte plus que ce qu'aucune équipe ne peut traiter. Un tableau d'un millier de constats trié par coût mensuel place un disque à 9 dollars au-dessus d'une instance exposée sur internet portant une clé d'accès vieille de trois ans. Le State of Cloud Risk 2026 de Wiz constate que 9 % seulement des constats relèvent de l'exécution de code à distance ; ce sont les problèmes d'exposition et d'accès qui dominent ce qui devient un incident. Classez plutôt par ce que gagne un attaquant : d'abord tout ce qui est joignable depuis internet et détient un credential, ensuite tout ce qui détient des données, puis les clés et les rôles appartenant à des ressources sans propriétaire. Les adresses non attachées et les load balancers inutilisés passent en dernier, aussi faciles soient-ils à corriger. Se tromper sur l'un d'eux coûte 43 dollars.
La suppression est la mauvaise première action pour tout ce qui n'a pas de propriétaire. Arrêtez la ressource et observez. Une instance qui reste arrêtée trente jours sans que personne ne le remarque peut être supprimée sans risque ; une autre qui produit un ticket de support en quatre heures vient d'identifier son propriétaire. Faites un snapshot de tout ce qui a un disque avant d'y toucher. La seule erreur irréversible possible ici, c'est de supprimer le stockage de quelque chose qui s'avérait porteur, et toutes les équipes qui l'ont fait une fois pratiquent l'attente de trente jours pour toujours.
Un inventaire avec une ligne d'arrivée ne vaut plus rien en six semaines
Un tableur est exact l'après-midi où il est produit et se dégrade dès le soir. Tout ce qui a produit l'écart tourne toujours : les valeurs par défaut n'ont pas changé, et l'échéance qui a justifié le second compte revient en mars. L'article 21, paragraphe 2, point i), de NIS2 liste la gestion des actifs parmi les dix mesures minimales de gestion des risques que les entités dans le périmètre doivent mettre en œuvre, aux côtés de l'analyse des risques de l'article 21, paragraphe 2, point a), et de l'hygiène cyber de l'article 21, paragraphe 2, point g), et aucun document n'en satisfait aucune. L'échéance de transposition était le 17 octobre 2024 ; le 8 juillet 2026, la Commission a saisi la Cour de justice contre l'Irlande, l'Espagne, la France et les Pays-Bas pour transposition incomplète, en demandant des astreintes journalières.
La découverte continue est autre chose qu'un projet, et c'est la seule version qui survive à un vrai parc. La configuration gratuite de Sencai, un utilisateur et une organisation avec cinq ressources gérées, lance une passe de découverte sur un compte réel et vous montre la liste avant que vous ne promouviez quoi que ce soit en gestion. Soyez lucide sur la limite : la gestion en direct chez le fournisseur est profonde plutôt que large, DNS sur cinq fournisseurs, pare-feu sur deux et réseaux sur un seul, si bien qu'une bonne partie de ce que vous trouverez, vous irez encore la changer dans la console du fournisseur. Quel que soit l'outil que vous utilisez, prenez votre plus vieux compte, énumérez chaque région y compris les deux dont vous êtes certain qu'elles sont vides, et triez ce qui remonte selon que c'est joignable depuis internet ou non, pas selon ce que ça coûte. La première ressource à laquelle personne ne peut mettre un nom, c'est là que le travail commence.