Entrazure
Ce qu’est Novarque
Novarque est une offre nommée à l’intérieur d’Entrazure Technologies. Ce n’est ni une entreprise distincte, ni une filiale, ni un cabinet partenaire. Ce sont les mêmes ingénieurs, sous les mêmes deux entités juridiques, avec les mêmes contrats. Le nom existe parce que la souveraineté s’achète par une autre personne qu’une migration : un RSSI, un responsable de la protection des renseignements personnels, un directeur général. Cette personne pose ses questions en langage réglementaire, pas en noms de services Azure.
L’offre couvre trois choses et en refuse une quatrième.
L’architecture de souveraineté. Où reposent les renseignements personnels, quel droit atteint l’exploitant qui les détient, qui contrôle les clés de chiffrement, et ce qui est écrit pour qu’une revue de sécurité puisse vérifier la réponse au lieu de la croire sur parole.
La conformité Loi 25 et NIS2 au niveau de l’architecture. Pas une politique qui décrit un système que personne n’a construit. Des contrôles appliqués par Azure Policy, par le modèle d’identité et par les portes du pipeline, avec une preuve exportée plutôt que reconstituée à la main.
La réversibilité. La voie de sortie documentée, chiffrée et répétée pour quitter un hyperscaler ou une plateforme infogérée. Une clause de réversibilité dans un contrat n’est pas une voie de sortie. Une voie de sortie possède une procédure, un format de données, une cible et un nombre de semaines.
Ce que nous refusons : nous ne sommes pas hébergeur, nous n’exploitons aucun nuage qui nous appartienne, et nous ne certifions la souveraineté de personne. Aucun cabinet ne le peut. Nous concevons les propriétés, nous les construisons en code, et nous remettons la preuve.
Les quatre questions auxquelles se ramène la souveraineté
Où reposent les données ? C’est la seule à laquelle la plupart des organisations ont répondu. Elle s’applique correctement par restriction de région dans Azure Policy, assignée au niveau des groupes d’administration pour que chaque souscription future en hérite : c’est une des raisons d’être d’une landing zone Azure. Une région choisie dans un menu déroulant par la personne qui a créé la souscription n’est pas un contrôle de résidence.
Quel droit atteint l’exploitant ? L’emplacement physique et la juridiction sont deux questions différentes, et les confondre est l’erreur la plus répandue en matière de souveraineté. Un centre de données au Québec exploité par une société dont le siège est américain se trouve dans une réalité juridique que le code postal ne décrit pas. Nous écrivons cette réalité, nous nommons les instruments qui s’appliquent, et vous décidez quelles charges peuvent vivre avec. La plupart le peuvent. Certaines non, et savoir lesquelles est tout l’intérêt.
Qui détient les clés ? Les clés gérées par le client dans Azure Key Vault ou Managed HSM changent matériellement la réponse, et nous sommes précis sur ce qu’elles empêchent et ce qu’elles n’empêchent pas. La garde des clés est un vrai contrôle, avec un vrai coût d’exploitation, y compris les modes de défaillance que personne ne répète avant le jour où la clé est indisponible.
Combien de temps pour partir ? Mesuré en semaines, avec une cible nommée et une procédure testée. C’est là que le travail de sortie de VMware et celui de souveraineté se rejoignent : une organisation déjà piégée une fois pose cette question en premier.
La Loi 25 et NIS2, traduites en architecture
La Loi 25 se lit comme une loi sur la vie privée et décrit une architecture. Savoir où vivent les renseignements personnels. Justifier toute communication hors Québec par une évaluation des facteurs relatifs à la vie privée. Produire ou détruire le dossier d’une personne sur demande. Détecter un incident de confidentialité et le déclarer. Chacun de ces points correspond à quelque chose de concret : un inventaire de données, une politique de région, une conception de conservation, de la journalisation et des alertes. Le détail est dans Loi 25 et résidence des données, et le travail de contrôle relève de l’architecture de conformité.
NIS2 ajoute la responsabilité de la chaîne d’approvisionnement, une déclaration d’incident dans des délais courts et une responsabilité personnelle des dirigeants pour les organisations ayant des activités européennes. Quand des données de santé sont en jeu, les exigences HDS s’ajoutent.
Ce qui se trouve sous cette offre
L’architecture de souveraineté est la page principale : le travail de conception, la voie de réversibilité, et ce que vous recevez à la fin.
Klarvant est un produit tiers de renseignement sur le namespace et le territoire numérique. Entrazure le revend et l’exploite comme MSSP. Ce n’est pas notre produit et ce n’est pas une marque du groupe, et la page le dit sans détour.
La moitié identité de ce travail, accès conditionnel, Privileged Identity Management, revues d’accès et identités de charge de travail, se trouve dans cybersécurité et Entra ID. C’est au niveau de l’identité qu’une prétention de souveraineté s’effondre le plus vite : un accès administrateur permanent depuis n’importe où rend décoratif tout contrôle de résidence.
Pour qui c’est
Les entreprises réglementées et les organismes publics au Québec, ailleurs au Canada et là où il y a des activités européennes, quand un engagement de résidence a été pris devant un régulateur, un conseil ou un client et que quelqu’un doit maintenant le démontrer. Également les organisations dont les propres clients inscrivent désormais des clauses de résidence dans les contrats, ce qui en santé est devenu la norme.
Pour qui ce n’est pas
Si la souveraineté est attendue comme argument commercial plutôt que comme propriété architecturale, nous sommes le mauvais cabinet : tout ce que nous produisons est vérifiable, et cela coupe dans les deux sens. Si l’exigence est d’éliminer toute technologie d’origine américaine du parc, dites-le au premier appel : c’est un autre programme, avec un autre budget, et nous ne prétendrons pas qu’une conception Azure y répond.
Par où commencer
Par l’audit de deux semaines : un avis écrit sur l’existant et un carnet de travaux priorisé avec un coût honnête en face de chaque élément. Vous pouvez aussi lire à propos d’Entrazure si vous voulez d’abord savoir qui fait le travail.
Questions fréquentes
Novarque est-elle une entreprise distincte ?
Non. Novarque est une offre nommée à l’intérieur d’Entrazure Technologies. Mêmes ingénieurs, mêmes contrats, même maison. Le nom existe parce que ce travail est acheté par une autre personne, généralement un RSSI, un responsable de la protection des renseignements personnels ou un directeur général, et parce que cette personne parle le langage du régulateur plutôt que celui des services Azure.
Pouvez-vous certifier que notre architecture est souveraine ?
Non, et personne qui vend du conseil ne le peut. La souveraineté n’est pas une certification, c’est un ensemble de propriétés : où les données reposent, quel droit atteint l’exploitant, qui détient les clés, et combien de temps prendrait un départ. Nous concevons ces propriétés, nous les appliquons par le code, et nous produisons la preuve. La conclusion appartient à votre régulateur, à votre auditeur ou à la sécurité de votre client.
Hébergez-vous les données vous-mêmes ?
Non. Nous ne sommes pas hébergeur et nous n’exploitons aucun nuage qui nous appartienne. Nous concevons et construisons sur Microsoft Azure. Quand une charge de travail ne peut réellement pas reposer chez un exploitant dont le siège est américain, nous le disons franchement et nous cadrons l’alternative, plutôt que de faire croire qu’une région canadienne règle une question de droit.
Nos données sont déjà à Canada Central. Est-ce suffisant ?
Cela répond à une question sur quatre. La région commande l’emplacement physique. Elle ne commande ni le droit applicable à l’exploitant, ni la détention des clés de chiffrement, ni le délai de sortie. Ce sont trois décisions de conception distinctes, et la plupart des parcs que nous examinons ne les ont jamais prises explicitement.
Est-ce réservé aux organisations québécoises ?
Non. La Loi 25 est le déclencheur le plus net au Québec, NIS2 vise les organisations ayant des activités européennes, et les mêmes questions arrivent des acheteurs américains en santé et en finance sous d’autres noms. Le travail d’architecture est identique. Seuls le vocabulaire réglementaire et le format de la preuve changent.
Par où commence un mandat ?
Par un audit de deux semaines de l’existant, qui se termine par un avis écrit et un carnet de travaux priorisé. Nous n’ouvrons jamais par un programme de remédiation : ces deux semaines réordonnent régulièrement les priorités avec lesquelles le client est arrivé.