Entrazure
Trois contraintes propres au secteur
Vous devez pouvoir expliquer votre infonuagique, et pouvoir en sortir. Les attentes de l’Autorité des marchés financiers en gestion des risques liés aux technologies, et celles du BSIF pour les institutions de compétence fédérale, demandent des choses que la plupart des parcs infonuagiques ne produisent pas sur demande : un registre à jour des ententes importantes, une lecture du risque de concentration, et un plan de sortie répété plutôt que rédigé. Un environnement que personne ne peut décrire contrôle par contrôle est un constat d’examen en attente, et la correction coûte toujours plus cher que la conception.
La gestion du changement est le plafond de débit, et c’est souvent le mauvais contrôle. Le cycle d’approbation de deux semaines ne vient pas de la revue. Il vient de la constitution de la preuve : captures d’écran, billets, chiffrier réconcilié à la main. Les équipes réagissent rationnellement en empilant un mois de changements dans une seule livraison, c’est-à-dire exactement le risque que le contrôle devait réduire. Tant que l’approbation, l’artefact et le déploiement ne sont pas le même enregistrement, le processus rend le parc moins sûr.
Chaque copie de la donnée doit être justifiable. Le bac à sable analytique, l’extraction envoyée à un fournisseur, le classeur actuariel sur un portable, le jeu d’entraînement du modèle prototypé au dernier trimestre. La résidence est contractuelle avant d’être légale : les clients institutionnels et les réassureurs l’inscrivent dans les ententes, puis la vérifient. La question n’est jamais de savoir si la base de production est protégée. C’est de savoir où est passée la septième copie.
Ce que nous construisons ici
- Une landing zone accompagnée de son narratif de contrôles. Groupes d’administration, distribution d’abonnements, jeux Azure Policy où chaque politique est reliée au contrôle qu’elle satisfait, et restriction de région appliquée pour que la résidence soit un déploiement refusé plutôt qu’une promesse. La landing zone Azure est livrée en Terraform que vous détenez, ce qui constitue aussi la première page du plan de sortie.
- Un plan de données privé. Private Link et points de terminaison privés sur chaque service de données, aucun point de terminaison public sur les bases, topologie hub and spoke avec Azure Firewall, Application Gateway et WAF comme seule entrée publique. C’est précisément ce qu’un questionnaire de diligence examine.
- Une identité conçue pour la première question de l’auditeur. Microsoft Entra ID avec accès conditionnel, Privileged Identity Management pour que les droits d’administration permanents cessent d’exister, revues d’accès planifiées, identités de charge de travail avec informations d’identification fédérées plutôt que des secrets dans les pipelines. Voir cybersécurité et Entra ID.
- La preuve comme sous-produit du déploiement. Tableaux de conformité réglementaire de Defender for Cloud, Microsoft Purview pour la classification et la traçabilité, Azure Monitor et Microsoft Sentinel avec une ingestion dimensionnée honnêtement plutôt que vendue au gigaoctet. La preuve s’exporte par contrôle, ce qui fait la différence entre un audit d’une semaine et un audit d’un trimestre. C’est l’objet de l’architecture de conformité.
- Rapports gouvernés et IA ancrée. Un lakehouse et des modèles sémantiques Direct Lake dans Microsoft Fabric, avec sécurité au niveau des lignes et des objets, puis l’ingénierie IA par-dessus : recherche filtrée par les permissions, journalisation des requêtes et des réponses, filtrage de contenu, inférence dans votre locataire.
Scénario anonymisé
Scénario anonymisé, pas un client nommé.
Un assureur de taille moyenne reçoit ses pièces de réclamation en pièces jointes déposées dans un dossier partagé. Trois personnes trient, saisissent les valeurs dans le système de réclamations et classent l’original. L’arriéré se compte en jours et grossit à chaque saison de tempêtes. Le projet évident est Document Intelligence à l’entrée, et l’extraction fonctionne en deux semaines.
Le mandat se joue ailleurs. Où les documents atterrissent et sous quelle rétention. Comment les valeurs extraites reçoivent un indice de confiance, pour qu’un humain révise les cas incertains au lieu d’approuver machinalement l’ensemble. Comment un expert en sinistres voit de quelle page vient un chiffre. Ce qui est journalisé, pendant combien de temps, et comment ce journal se produit pour un examinateur sans que quelqu’un le compile. Et ce qui arrive le jour où le modèle retourne une mauvaise valeur, parce que ce jour-là figure au plan, pas au rapport d’incident. Le résultat se mesure en temps de traitement par réclamation, contre une base de référence relevée avant de construire quoi que ce soit.
Le contexte réglementaire que nous prenons comme contrainte
Au Québec, les lignes directrices de l’Autorité des marchés financiers sur la gestion des risques liés aux technologies de l’information et sur l’impartition, et les attentes du BSIF pour les institutions de compétence fédérale. La Loi 25 encadre le traitement des renseignements personnels, y compris l’évaluation des facteurs relatifs à la vie privée exigée avant toute communication hors Québec, et la Commission d’accès à l’information est l’autorité qui peut demander à voir votre dossier. La LPRPDE ailleurs au Canada. Aux États-Unis, SOC 2 Type II est la monnaie d’échange de la diligence fournisseur. ISO 27001, et PCI DSS lorsque des données de carte sont en jeu. Nous n’écrivons pas vos politiques. Nous construisons le parc pour que chacune de ces obligations se traduise par un contrôle appliqué par la plateforme, journalisé automatiquement et exportable le jour où on le demande.
Questions fréquentes
Azure suffit-il à satisfaire l’AMF ou le BSIF ?
Non. Microsoft fournit la plateforme, les attestations et la région. Ce qu’un examinateur regarde, c’est votre côté de la ligne : comment l’environnement est segmenté, comment les accès privilégiés sont accordés et revus, comment le changement est approuvé et prouvé, et si le plan de sortie a été répété. Ce sont des questions d’architecture et de processus, et c’est ce que nous construisons.
Nous sommes une institution de taille moyenne, sans équipe de risque infonuagique. Est-ce proportionné ?
L’exigence suit les actifs et les données, pas l’effectif. Un assureur de cent personnes détient des renseignements sur ses assurés aussi sensibles que ceux d’un grand groupe. Nous ajustons l’architecture à l’organisation en gardant les contrôles intacts, parce que ce sont les contrôles que l’examinateur et le client institutionnel regardent tous les deux.
Comment prouver la résidence des données au Québec plutôt que de l’affirmer ?
La restriction de région est imposée par Azure Policy au niveau du groupe d’administration : un propriétaire d’abonnement ne peut pas déployer ailleurs, la tentative est refusée et journalisée. Ce journal est la preuve. Une phrase dans une politique que personne ne peut faire appliquer est la version qui échoue en revue.
Notre comité de changement prend deux semaines. Est-ce que ça va empirer ?
En général, cela s’améliore, parce que le délai vient rarement de la revue elle-même : il vient de la constitution de la preuve que la revue a eu lieu. Quand l’approbation, l’artefact et le déploiement forment un seul enregistrement, le comité examine un diff plutôt qu’un récit, et les équipes cessent d’empiler un mois de changements dans une seule livraison risquée.
Peut-on utiliser l’IA générative sur des données d’assurés ou de clients ?
Avec des frontières explicites. L’inférence reste dans votre locataire, la recherche respecte les permissions que l’utilisateur détient déjà sur l’enregistrement source, chaque requête et chaque réponse sont journalisées, et ce que le système n’a pas le droit de faire est écrit et appliqué. Le difficile n’est pas le modèle : c’est de prouver qu’aucune copie des données n’est sortie du périmètre.
À quoi ressemble un vrai plan de sortie ?
À de l’infrastructure en code que vous détenez, des données dans des formats ouverts avec un chemin d’extraction documenté, une liste des dépendances propriétaires avec une alternative nommée pour chacune, et une répétition plutôt qu’un paragraphe. Un fournisseur qui refuse d’écrire comment vous partez vous dit quelque chose.