Entrazure
Les quatre questions que pose chaque cadre
SOC 2, HIPAA, ISO 27001, la Loi 25, le RGPD et le référentiel HDS ont été écrits par des organismes différents, dans des langues différentes, pour des raisons différentes. Confrontés à un parc Azure en production, ils posent quatre questions récurrentes.
Où se trouvent exactement les données visées ? Pas « dans le nuage ». Quelle souscription, quelle ressource, quelle région, quelle sauvegarde, quel espace de travail Log Analytics, quel extrait déposé dans un compte de stockage en 2023 et jamais supprimé.
Qui peut y accéder, et comment le savez-vous ? L’accès administratif permanent est la constatation la plus fréquente, tous cadres et tous auditeurs confondus. C’est aussi la moins chère à corriger.
Qu’est-ce qui a changé, qui l’a approuvé, et quand ? La gestion du changement est une propriété de votre façon de déployer. Si c’est un formulaire rempli après coup, elle cède dès que l’échéance se resserre.
Comment le verriez-vous, et en combien de temps ? Les délais de déclaration diffèrent (72 heures à l’autorité de contrôle sous le RGPD, avec diligence sous la Loi 25, 60 jours sous la règle américaine de notification) mais tous présument que vous avez détecté l’incident.
Réglez ces quatre points dans l’architecture et le travail propre à chaque cadre se réduit à une liste courte. C’est cette liste que traitent les cinq pages ci-dessous.
Un socle de contrôles, cinq référentiels
Nous bâtissons la même fondation quel que soit le cadre qui finance le projet, parce que le recouvrement est large et la duplication coûteuse.
- Hiérarchie de groupes d’administration et Azure Policy. Restriction de région, paramètres de diagnostic obligatoires, accès public refusé sur les services de données, étiquettes requises. Assignés au groupe d’administration, donc hérités par toute souscription future.
- Entra ID comme point de contrôle. Accès conditionnel, Privileged Identity Management pour qu’aucun rôle d’administration ne soit détenu en permanence, revues d’accès planifiées, et identités de charge de travail à identifiants fédérés plutôt que des secrets dans une variable de pipeline.
- Segmentation réseau. Hub-and-spoke, points de terminaison privés sur le stockage, les bases de données et Key Vault, zones DNS privées, aucun chemin public vers les données visées.
- Journalisation avec une rétention assumée. Diagnostics vers Log Analytics, rétention réglée sur le nombre que le cadre exige réellement, archivage au-delà.
- Le changement passe par le code. Terraform ou Bicep dans un dépôt avec protection de branche, réviseurs obligatoires et historique de déploiement. Chaque changement porte un auteur, un réviseur, un résultat de test et un horodatage avant d’exister en production.
- Classifier avant de protéger. Microsoft Purview pour le catalogue, les étiquettes de sensibilité et la prévention de perte de données. Un contrôle appliqué à des données que personne n’a localisées est décoratif.
Ce qui change d’un cadre à l’autre est plus étroit qu’on ne le vend : la règle de région, la durée de rétention, le format de preuve, la formulation de l’analyse de risque, et le choix des services permis.
Les cinq cadres
SOC 2. Un rapport exigé par vos clients, pas un certificat. Les critères qui consomment le budget sont l’accès logique, la gestion du changement et la surveillance. Tous trois relèvent de l’architecture.
HIPAA. Aucun certificat n’existe. Microsoft signe une entente de partenaire commercial couvrant les services visés, et tout le reste dépend de la façon dont les renseignements de santé sont cloisonnés, chiffrés, journalisés et joignables.
ISO 27001. Une norme de système de management assortie d’une annexe de 93 mesures. Le certificat porte sur le SMSI ; l’architecture fournit le thème technologique et la preuve de la majeure partie du thème organisationnel.
Loi 25. La loi québécoise, avec des sanctions administratives pécuniaires réelles et une Commission qui publie ses décisions. Les obligations architecturales sont précises : savoir où résident les renseignements personnels, justifier toute communication hors Québec par une évaluation, pouvoir produire, corriger et détruire, tenir un registre des incidents, et détecter l’incident en premier lieu.
RGPD et HDS. Résidence européenne, frontières de transfert défendables par écrit, registre des traitements appuyé sur un inventaire réel, et le référentiel d’hébergement de données de santé lorsque la donnée est clinique. Héberger chez un prestataire certifié ne certifie pas votre plateforme.
La preuve est exportée, pas assemblée
Le coût récurrent de la conformité, ce ne sont pas les contrôles. Ce sont les six semaines qu’une personne passe chaque année à reconstituer la preuve qu’ils fonctionnaient. Nous construisons la couche de preuve avec l’architecture :
- l’état de conformité Azure Policy, par assignation, exportable par contrôle ;
- les tableaux de conformité réglementaire de Defender for Cloud pour le cadre visé ;
- l’historique d’activation PIM, les résultats des revues d’accès et les données d’accès conditionnel ;
- l’historique des demandes de tirage et des déploiements, qui constitue le registre du changement ;
- des requêtes Log Analytics écrites une fois, sur un schéma qui existera encore l’an prochain ;
- les résultats des tests de restauration, parce qu’un critère de disponibilité se teste.
Ce que nous faisons, et ce que nous ne prétendrons pas
Nous concevons l’architecture et nous la construisons en code. Nous sommes partenaire Microsoft AI Cloud, Azure Solutions Partner et CSP direct, et notre architecture de sécurité est dirigée par des architectes certifiés en sécurité de l’information. Nous ne sommes pas auditeurs, nous n’émettons aucun certificat, et nous ne détenons aucune certification qui nous permettrait d’évaluer la vôtre. Un cabinet qui propose à la fois de corriger et de certifier vous vend un conflit d’intérêts.
Nous disons aussi quand un délai est irréaliste. S’il vous faut un rapport SOC 2 de type II le trimestre prochain et que le parc n’a ni jeu de politiques, ni modèle d’identité, ni pipeline, la fenêtre d’observation ne peut pas encore s’ouvrir.
Où se situe ce travail
Les pages de cette grappe portent le détail par cadre. La mission qui les livre est l’architecture de conformité, et la fondation sur laquelle elle s’applique est la landing zone Azure. Si la donnée visée est clinique, la page santé traite la version sectorielle du même problème.
Questions fréquentes
Est-ce que vous certifiez ou auditez notre organisation ?
Non. Un rapport SOC 2 est émis par un cabinet comptable agréé, un certificat ISO 27001 par un organisme de certification accrédité, un certificat HDS par un auditeur accrédité. Nous concevons et construisons l’architecture que ces tiers examinent, et nous produisons la preuve qu’ils demandent. Être à la fois constructeur et auditeur rendrait le rapport sans valeur.
Nous faisons face à trois cadres en même temps. Trois projets ?
Non. Le contrôle d’accès, la gestion du changement, la journalisation, la rétention et l’imposition des régions sont communs aux trois. Nous bâtissons ce socle une fois, puis nous le cartographions vers chaque référentiel. Le deuxième cadre coûte une fraction du premier, surtout en cartographie et en format de preuve.
Combien de temps faut-il ?
Pour une organisation déjà sur Azure avec un parc raisonnablement propre, six à douze semaines de travail d’architecture avant l’ouverture d’une fenêtre d’observation ou d’un audit de certification. Ce qui allonge le délai, c’est une identité non gouvernée et une gestion du changement informelle, pas le chiffrement.
Par quel cadre commencer ?
Généralement celui qu’un client ou un régulateur vous impose. Si rien d’externe ne dicte l’ordre, commencez par celui dont la portée est la plus étroite, bâtissez le socle, puis étendez. Commencer par ISO 27001 parce que le standard paraît complet est une erreur fréquente et coûteuse pour une petite équipe.
Est-ce que la conformité ralentit les livraisons ?
Elle déplace la friction. La politique refuse un déploiement non conforme en quelques secondes, au lieu qu’une revue de sécurité le découvre trois semaines avant la mise en production. Les équipes qui sont passées par là livrent généralement plus vite ensuite, parce que la question « est-ce que j’ai le droit » ne se pose plus.