Entrazure
« Nos données sont à Canada Central. Le juridique dit que ce n’est pas suffisant. »
Cette phrase ouvre une large part de ces mandats. L’équipe n’a pas tort sur la région. Elle découvre que la résidence était la question facile, et que trois questions plus dures n’ont jamais été posées.
Le schéma derrière est constant. Quelqu’un a choisi une région canadienne à la création de la souscription. Rien n’applique ce choix, donc un développeur peut déployer dans East US un mardi sans que personne ne l’apprenne. Les journaux de diagnostic, les sauvegardes et deux ou trois services de plateforme sortent discrètement ailleurs. Les clés sont gérées par la plateforme, ce qui n’a jamais été une décision mais une valeur par défaut. Et si le conseil demandait combien de temps prendrait un départ, personne ne pourrait répondre par un chiffre.
Pourquoi la réponse habituelle ne tient pas
La réponse habituelle, c’est une diapositive qui dit « hébergé au Canada » et une clause contractuelle. Elle échoue pour trois raisons, toutes mécaniques.
Rien ne l’applique. Une région choisie dans un menu déroulant est une préférence. Une région appliquée par Azure Policy au niveau des groupes d’administration est un contrôle, et chaque souscription créée ensuite en hérite, y compris celle qui arrive avec une acquisition. Cette distinction sépare la prétention de la preuve, et c’est pourquoi ce travail est indissociable d’une landing zone Azure.
L’emplacement n’est pas la juridiction. Un centre de données au Québec exploité par une société dont le siège est aux États-Unis se trouve dans deux ordres juridiques à la fois. C’est un constat, pas un argument contre Azure. La plupart des charges vivent très bien avec, une fois que le fait est écrit et accepté délibérément. Le problème n’est pas l’exposition, c’est que personne ne l’a jamais nommée : l’organisation ne peut donc pas dire pour quelles charges elle a décidé de l’accepter.
Personne n’a testé le départ. La réversibilité est traitée comme une clause plutôt que comme un problème d’ingénierie. Une clause donne le droit de partir. Elle ne donne ni format de données, ni cible, ni séquence, ni nombre de semaines, et sans ces quatre éléments le droit reste théorique.
Ce que nous concevons
Un registre de juridiction. Chaque service en périmètre, son exploitant, où il s’exécute, où partent sa télémétrie et ses sauvegardes, et les instruments juridiques qui l’atteignent. C’est un document de travail, pas un avis juridique, et c’est l’artefact qui met fin aux réunions circulaires. Dès que chaque ligne a un responsable et un statut accepté ou refusé, le débat devient une décision.
La résidence appliquée par le code. Régions autorisées, services autorisés, exigences de chiffrement, destinations de journalisation et étiquetage, assignés comme politiques Azure au niveau des groupes d’administration et déployés par pipeline. Les exceptions existent et c’est normal. Ce sont simplement des exceptions avec un nom, une échéance et un approbateur, plutôt que des trous.
La garde des clés. Clés gérées par le client dans Key Vault ou Managed HSM là où elles changent la réponse, clés gérées par la plateforme là où elles ne changent rien, et un compte rendu honnête du coût d’exploitation dans les deux cas. La garde des clés crée un risque de disponibilité qui doit être répété : nous construisons la procédure de rotation et de récupération en même temps que la conception, pas après un incident.
Une cartographie des flux de données réglementées. Où entrent les renseignements personnels, où ils reposent, où ils sont traités, où ils sortent. C’est aussi ce dont a besoin une évaluation des facteurs relatifs à la vie privée sous Loi 25, et ce contre quoi l’architecture de conformité produit la preuve. La même carte sert deux fois.
L’identité, parce que c’est par là que la souveraineté fuit. Un accès administrateur permanent, depuis un appareil non géré, sans contrainte de lieu, rend décoratif tout contrôle de résidence. Privileged Identity Management, accès conditionnel avec conditions de lieu et d’appareil, revues d’accès : cela fait partie de la conception, pas d’un projet ultérieur. La portée complète est dans cybersécurité et Entra ID.
La voie de sortie, la partie que personne ne construit
Une voie de sortie nomme une cible, un format de données, une séquence et une durée. Pour une plateforme de données, cela veut dire le format d’export et l’endroit où la couche sémantique est reconstruite. Pour l’infrastructure, cela veut dire si le Terraform est portable entre fournisseurs ou s’il dépend en dur d’un service propriétaire, et ce que remplacer ce service coûte en semaines. Pour une charge d’IA, cela veut dire si les invites, le jeu d’évaluation et l’index de recherche sont à vous, dans votre dépôt, ou prisonniers d’une console fournisseur.
Les organisations qui ont vécu une sortie de VMware n’ont pas besoin d’être convaincues. Elles ont déjà payé cette leçon sous forme de renouvellement.
Nous répétons ensuite une charge critique. Une procédure non répétée est une hypothèse.
Le mandat qui livre tout ça
Commencez par l’audit de deux semaines : l’existant confronté aux quatre questions, un avis écrit, un carnet de travaux priorisé avec un coût en face de chaque élément. La conception de souveraineté dure ensuite quatre à huit semaines selon la taille du parc. Quand la landing zone n’existe pas encore, la construction de landing zone en quatre semaines passe d’abord : sans elle, il n’y a nulle part où assigner le jeu de politiques.
Pour qui ce n’est pas
Si vous cherchez un document qui dit « souverain » pour un appel d’offres le mois prochain, sans architecture derrière, nous sommes le mauvais cabinet. Si l’exigence est de retirer du parc toute technologie d’origine américaine, c’est un autre programme, avec un autre budget, et une conception Azure n’y répond pas. Dites-le au premier appel et nous vous dirons honnêtement si nous sommes utiles.
Pages liées
- Novarque par Entrazure, l’offre dans laquelle cette page s’inscrit.
- Klarvant, le produit tiers que nous revendons et exploitons.
- Architecture de conformité, pour SOC 2, HIPAA et la preuve d’audit.
- Santé, où les clauses de résidence arrivent désormais dans chaque contrat.
Questions fréquentes
Choisir une région canadienne rend-il souverain ?
Cela rend résident. La restriction de région commande l’endroit où les octets reposent physiquement, ce qui compte et mérite d’être appliqué correctement. Elle ne dit rien du droit qui atteint l’exploitant, de la détention des clés, de la destination de la télémétrie, ni du délai de sortie. Quatre questions, une seule réponse.
Les clés gérées par le client bloquent-elles une injonction étrangère ?
Elles changent la forme du problème plutôt que de le supprimer. Avec des clés gérées par le client dans Key Vault ou Managed HSM, l’exploitant ne peut pas déchiffrer les données au repos sans une clé que vous contrôlez, et une révocation est observable. Elles ne couvrent pas les données en cours de traitement, ni ce que vous avez configuré pour être déchiffré par un service, et elles introduisent un vrai risque de disponibilité si la garde des clés est mal exploitée. Nous disons tout cela avant de les recommander.
Combien de temps pour construire une voie de sortie ?
La concevoir et la documenter pour un ensemble de charges défini prend trois à quatre semaines à l’intérieur d’un mandat de souveraineté. La répéter, c’est-à-dire restaurer réellement données et configuration dans la cible de repli, ajoute une à deux semaines : c’est cette étape qui transforme une affirmation en preuve. Nous recommandons de répéter au moins une charge critique.
Quelle preuve recevons-nous à la fin ?
Une cartographie des flux de données réglementées, un registre de juridiction nommant chaque service, son exploitant et les instruments juridiques qui l’atteignent, le jeu de politiques en code qui applique la résidence, une conception de garde des clés, et une procédure de sortie avec une cible, une séquence et un coût. Le tout dans votre dépôt.
Faut-il reconstruire le parc ?
En général non pour la résidence et l’identité, qui sont des changements de politique et de configuration appliqués sur l’existant. Pas toujours pour les flux de données : un service qui n’a jamais été conçu pour garder des renseignements personnels à l’intérieur d’une frontière doit parfois être retuyauté. Nous classons chaque constat dans l’une ou l’autre catégorie pendant l’audit, avant tout engagement de budget.
Nous ne sommes pas au Québec. Est-ce pertinent ?
Le déclencheur change, l’architecture non. NIS2 pour les activités européennes, HDS pour les données de santé françaises, HIPAA et les lois d’État aux États-Unis, et de plus en plus une clause de résidence dans les contrats de vos propres clients. Les questions de conception sont identiques.