Le mirage financier du « Si ça marche, on n’y touche pas »

À l’heure où les budgets informatiques de l’année prochaine se négocient, la directive est claire au sein des Comités Exécutifs : FinOps et sobriété. Il faut optimiser, rationaliser et réduire les coûts opérationnels (OpEx) tout en diminuant l’empreinte carbone. Dans cet exercice d’équilibriste, les DSI se heurtent invariablement à un mur massif, silencieux et extrêmement coûteux : le Legacy.

Les systèmes d’information anciens, ou « Legacy », sont ces applications métiers vieillissantes, ces bases de données monolithiques ou ces serveurs obsolètes (type Windows Server 2012 ou vieilles instances Linux) qui font tourner le cœur de l’entreprise. L’adage traditionnel de la DSI a longtemps été : « Si ça marche, on n’y touche pas ». Sur le papier, cette approche semble être le summum de l’économie. Pas d’investissement de migration (CapEx), pas de conduite du changement.

Mais en 2026, cette posture est devenue une faute de gestion financière. Ce que l’on perçoit comme une économie est en réalité une dette technique sécuritaire qui s’accumule avec des intérêts composés toxiques. Avec l’évolution radicale du paysage des menaces et l’entrée en vigueur de réglementations punitives comme NIS2 ou DORA, un système qui ne peut plus être sécurisé nativement est un risque de faillite.

Le DSI et le RSSI font alors face à un dilemme économique majeur : faut-il continuer à « patcher » et isoler ces vieux systèmes à grands frais, ou investir massivement dans leur remplacement ? Cet article a pour vocation de fournir aux décideurs la grille de lecture financière et les outils mathématiques pour arbitrer ce choix, en démontrant que la modernisation est souvent le meilleur levier d’optimisation FinOps et de sécurité.

Le vrai coût du « Maintien en Condition Opérationnelle » (MCO) : L’hémorragie de l’OpEx

Pour évaluer le dilemme, il faut d’abord arrêter de croire que le Legacy est gratuit. Maintenir un système obsolète génère des surcoûts d’exploitation qui explosent d’année en année.

1. L’impôt du « support étendu » (Extended Support) 

Lorsqu’un système d’exploitation ou une base de données atteint sa fin de vie officielle (End of Life – EOL), l’éditeur cesse de fournir des mises à jour de sécurité gratuites. Pour continuer à être protégé (et rester un minimum conforme), l’entreprise doit souscrire à des contrats de « Support Étendu Customisé ».

• L’impact financier : Ces contrats sont tarifés de manière punitive par des acteurs comme Microsoft ou Oracle pour vous forcer à migrer. Le coût double souvent chaque année. Payer 150 000 € par an uniquement pour recevoir trois patchs de survie sur un vieux parc de serveurs est une destruction pure et simple de valeur. C’est l’anti-FinOps par excellence.

2. La rareté des compétences et l’inflation salariale 

Un système Legacy est souvent codé dans des langages anciens (Cobol, anciennes versions de Java ou PHP) ou repose sur des architectures documentées nulle part.

• L’impact financier : Trouver des ingénieurs capables de maintenir, auditer et sécuriser ce code devient un cauchemar RH. Sur le marché du travail de 2026, l’expertise sur des technologies obsolètes se paie au prix fort, souvent via des consultants externes ultra-spécialisés facturant plus de 1 200 € la journée. Le coût de maintenance applicative (TMA) d’un logiciel Legacy est en moyenne 40% supérieur à celui d’une application Cloud-native moderne.

3. L’empreinte environnementale : L’ennemi de la sobriété 

Le Legacy tourne généralement sur des infrastructures surdimensionnées ou des serveurs physiques dédiés qui ne bénéficient d’aucune des optimisations d’orchestration modernes.

• L’impact FinOps & Green IT : Un vieux serveur consomme de l’électricité H24, même lorsqu’il n’est pas sollicité, dégradant considérablement votre PUE (Power Usage Effectiveness) et vos bilans carbone (CSRD). Patcher du Legacy, c’est aussi accepter de payer une facture énergétique archaïque.

L’équation du risque : Quand la vulnérabilité devient inassurable

Au-delà des coûts d’exploitation, c’est le coût du risque qui rend le Legacy intenable financièrement. En cybersécurité, l’obsolescence est l’alliée objective des attaquants.

1. L’incompatibilité avec les standards de sécurité de 2026 

Les architectures modernes reposent sur le « Zero Trust », l’authentification multifactorielle (MFA) continue et la micro-segmentation. Le problème du Legacy, c’est qu’il est aveugle et sourd à ces technologies. Vous ne pouvez pas installer un agent XDR moderne sur un vieil OS industriel sans risquer de le faire planter.

• La conséquence : Le Legacy devient le « maillon faible » de votre chaîne de défense, le point d’entrée idéal pour un ransomware qui pivotera ensuite vers vos systèmes vitaux.

2. La guillotine réglementaire et assurantielle 

La directive européenne NIS2 et le règlement DORA sanctionnent sévèrement la négligence. Maintenir en production un composant logiciel connu pour être vulnérable et ne recevant plus de correctifs de sécurité (absence de « Security by Design ») est la définition légale de la négligence.

• L’impact financier direct : Si ce système est à l’origine d’une fuite de données, l’amende (jusqu’à 10M€ ou 2% du CA) sera maximale. Plus pragmatiquement, lors du renouvellement de votre police d’Assurance Cyber, la présence de systèmes non supportés entraînera soit une exclusion de garantie totale en cas de sinistre, soit une multiplication par trois de votre prime d’assurance.

3. Le coût de l’espérance de perte (ALE) 

Le DAF a besoin de chiffres. Prenez la valeur potentielle d’un arrêt de production de 5 jours causé par la compromission de ce serveur Legacy (ex: 2 000 000 €). Multipliez-la par la probabilité d’attaque sur un système non patché (qui approche les 20% annuels en 2026).

• Le calcul : 2 000 000 € x 20% = 400 000 € de « coût de risque annuel ». Cette dette technique sécuritaire invisible doit être inscrite au bilan des risques de l’entreprise.

Les trois voies stratégiques : Patch, Containment ou Remplacement

Face à ce constat, le DSI dispose de trois options, chacune avec un profil financier différent.

Option 1 : Le Virtual Patching et la Segmentation 

Ne pouvant pas modifier l’application, on construit une forteresse autour. On place le vieux serveur dans une DMZ isolée, et on utilise un « Virtual Patching » via un WAF (Web Application Firewall) ou un IPS (Intrusion Prevention System) pour filtrer les attaques ciblant les failles connues.

• Analyse ROI : Faible CapEx, mais explosion de l’OpEx. Cette architecture de contournement est complexe à gérer, ralentit les flux réseau et nécessite des licences de sécurité réseau supplémentaires. C’est une stratégie d’attente (12 à 18 mois maximum), jamais une solution financièrement pérenne.

Option 2 : Le « Lift & Shift » sécurisé

L’application est extraite de son vieux matériel et encapsulée dans un conteneur (Docker) ou une machine virtuelle isolée dans le Cloud, sans changer le code source.

• Analyse ROI : On réduit les coûts matériels et énergétiques (gain FinOps et Green IT), on facilite la sauvegarde (immutabilité), mais la vulnérabilité applicative intrinsèque demeure. C’est un demi-succès sécuritaire.

Option 3 : Le Refactoring ou la Migration SaaS 

C’est le traitement chirurgical. On décommissionne l’ancienne application et on la redéveloppe sur une architecture moderne (Cloud-native, Microservices), ou on bascule sur une solution SaaS du marché.

• Analyse ROI : Le CapEx initial est très élevé. Cependant, on supprime instantanément la dette technique, les contrats de support étendu, et le coût du risque (ALE). L’OpEx s’effondre. C’est la seule approche offrant un Retour sur Investissement massif à moyen terme.

Le Business Case : Démontrer la rentabilité de la modernisation

Pour justifier l’Option 3 (le remplacement) auprès de la Direction Financière, il ne faut pas vendre un projet IT, il faut vendre un projet de réduction des risques et d’optimisation FinOps.

Prenons l’exemple d’un vieil ERP critique gérant la logistique d’une ETI, tournant sur un OS obsolète. Modélisons les coûts sur une période de 4 ans.

Scénario A : « Status Quo » (On garde et on patch à l’extérieur)

• Support étendu OS/Base de données : 60 000 € / an.
• Maintenance complexe (Consultants spécialisés) : 80 000 € / an.
• Surcoût sécurité (WAF dédiés, SOC supplémentaire pour la surveillance) : 40 000 € / an.
• Surprime d’assurance cyber liée à la dette technique : +20 000 € / an.
• Coût opérationnel annuel : 200 000 €.
• Coût du risque statistique (ALE) non couvert : évalué à 150 000 € / an.
• TCO (Total Cost of Ownership) sur 4 ans (incluant le risque) : 1 400 000 €.

Scénario B : « Remplacement Modernisé » (Refactoring ou SaaS)

• Investissement initial (CapEx) de migration et conduite du changement : 400 000 €.
• Coûts d’abonnement SaaS / Cloud moderne : 70 000 € / an.
• Support étendu : 0 €.
• Surprime d’assurance : 0 € (système certifié compliant NIS2).
• Coût opérationnel annuel : 70 000 €.
• Coût du risque statistique (ALE) : réduit à 10 000 € / an (grâce au Security by Design).
• TCO (Total Cost of Ownership) sur 4 ans : 400 000 € (CapEx) + (80 000 € x 4) = 720 000 €.

Résultat Net : Malgré un investissement initial qui peut sembler lourd (400 000 €), le remplacement génère une économie totale de 680 000 € sur 4 ans. Le point mort est atteint en moins de 30 mois. Passé ce délai, le nouveau système commence à faire gagner de l’argent à l’entreprise par rapport au maintien du Legacy.

Le Legacy est un crédit revolving toxique

Le débat entre patcher ou remplacer un système obsolète n’est pas un débat technique. C’est une négociation financière.

Pour les décideurs de 2026 engagés dans une véritable démarche de FinOps et de sobriété, la conclusion est sans appel : la sécurité par contournement est un puit sans fond. L’argent dépensé pour colmater les brèches d’un système vieux de quinze ans est de l’argent détruit, qui ne génère aucune valeur métier, aucun avantage concurrentiel, et qui maintient l’entreprise sous la menace permanente d’une non-conformité réglementaire (NIS2/DORA).

Moderniser son Legacy, c’est finalement solder sa dette technique sécuritaire. C’est accepter un effort d’investissement (CapEx) immédiat pour assainir durablement son OpEx, réduire son empreinte carbone, et redonner à l’entreprise l’agilité sécurisée dont elle a besoin pour affronter l’avenir. En cybersécurité financière, le courage de remplacer finit toujours par payer.

---

GLOSSAIRE

1. Système Legacy (Système hérité) : Terme désignant un système d’information, un logiciel, un langage de programmation ou une infrastructure matérielle obsolète, mais qui continue d’être utilisé par l’entreprise car il accomplit une fonction critique. Les systèmes Legacy sont notoirement difficiles à mettre à jour, incompatibles avec les standards modernes, et constituent des cibles privilégiées pour les cyberattaques en raison de l’absence de correctifs.

2. Dette technique sécuritaire : Concept métaphorique désignant le coût financier et opérationnel futur qu’une entreprise devra payer pour avoir choisi une solution de facilité (ne pas mettre à jour, utiliser du code obsolète, repousser une migration) dans le présent. En sécurité, cette dette se matérialise par des failles béantes, des coûts de support étendu astronomiques et un risque de compromission majeur qui finit par coûter infiniment plus cher que la migration initiale.3. Virtual Patching (Correctif virtuel) : Technique de sécurité consistant à déployer une règle de sécurité sur le réseau (généralement via un pare-feu applicatif ou un IPS) pour bloquer les tentatives d’exploitation d’une vulnérabilité connue sur un système. C’est une solution de contournement temporaire utilisée lorsqu’il est impossible de corriger (patcher) directement le code source du logiciel vulnérable (typique des systèmes Legacy). Elle n’élimine pas la faille, elle empêche seulement de l’atteindre.