Entrazure
Ce que c’est
La plupart des mandats de conseil commencent par une proposition rédigée avant que quiconque ait regardé le parc. Celui-ci existe pour que cela n’arrive pas. Deux semaines de lecture, d’entretiens et de mesures, qui se terminent par un document disant ce que nous pensons, dans l’ordre, avec un chiffre en face de chaque élément.
La mission est volontairement en lecture seule. Nous prenons le rôle Lecteur, pas Contributeur. Rien n’est touché en production, aucune politique n’est assignée, aucun pipeline n’est modifié. Cette contrainte rend le mandat facile à approuver et le résultat honnête : un audit qui se met discrètement à corriger perd la capacité de décrire ce qu’il a trouvé.
Ce que nous regardons
Gouvernance et structure. La hiérarchie de groupes d’administration si elle existe, la prolifération de souscriptions, la discipline de nommage et d’étiquetage, et le fait que quelque chose applique ou non les règles que tout le monde croit en vigueur. C’est le socle du travail de landing zone Azure, et le constat le plus fréquent est qu’un jeu de politiques existe en mode audit et n’a jamais été appliqué.
Identité. Configuration d’Entra ID, couverture de l’accès conditionnel et ses trous, accès administrateurs permanents, gouvernance des invités, principaux de service dont le secret a expiré en 2024 ou n’expire jamais. Les constats d’identité sont généralement les plus graves du rapport.
Réseau et exposition. Topologie, ce qui est public et si cela doit l’être, couverture des points de terminaison privés sur les services de données, conception du pare-feu et du DNS, et ce qu’un balayage externe attribue à votre organisation.
Posture de sécurité et preuve. Plans Defender for Cloud et Secure Score, couverture de journalisation, rétention face à la durée que vos obligations imposent, et le fait qu’un contrôle produise sa preuve automatiquement ou qu’elle soit reconstituée à la main chaque année. Cette distinction commande la plupart des recommandations d’architecture de conformité.
Coûts. Où va l’argent, quelles ressources tournent pour personne, couverture des réservations et de l’Azure Hybrid Benefit, et les deux ou trois postes qui expliquent l’essentiel de la surprise sur la facture.
Maturité des données et de l’IA. Où vivent réellement les données, dans quel état sont leurs permissions, et si le cas d’usage IA que quelqu’un a en tête est un problème de modèle ou un problème de données. C’est presque toujours le second, ce qu’il vaut mieux savoir avant d’engager un budget d’ingénierie IA.
Assise réglementaire quand elle s’applique. Résidence, chemins de communication et détection d’incident face à la Loi 25, ou l’équivalent sous HIPAA, SOC 2 ou NIS2. Les questions de souveraineté sont traitées plus en profondeur sous Novarque quand c’est le déclencheur.
Comment se déroulent les deux semaines
Jours 1 et 2, accès et prise de contact. Les accès en lecture seule sont provisionnés, l’outillage est pointé vers le parc, et nous récupérons la documentation existante. Nous demandons aussi ce que vous croyez déjà défaillant, pour le confirmer ou le contredire explicitement plutôt que de faire semblant d’arriver sans contexte.
Jours 3 à 6, collecte. Collecte automatisée sur la gouvernance, l’identité, le réseau, la posture et les coûts, suivie d’une lecture manuelle. Les outils produisent des constats. Ils ne produisent pas d’avis, et c’est cette différence qui constitue le mandat.
Jours 4 à 8, entretiens. Quatre à six conversations avec les personnes qui exploitent le parc, pas seulement avec celles qui en répondent. Les constats les plus utiles viennent presque toujours d’un ingénieur décrivant le contournement qu’il a bricolé il y a deux ans et dont tout dépend aujourd’hui.
Jours 9 et 10, l’avis. Constats classés par gravité rapportée à l’effort, rédigés, et présentés en 90 minutes avec l’auditoire technique et l’auditoire décisionnel dans la même salle. Le désaccord y est bienvenu et il est consigné dans le document.
Ce que vous recevez
- Un rapport écrit, généralement de 20 à 30 pages, avec une synthèse de deux pages lisible par un dirigeant non technique.
- Un carnet de travaux priorisé : chaque constat avec une gravité, une estimation en jours, une dépendance, et ce qu’il évite.
- Des schémas de l’état actuel : souscriptions, topologie réseau, flux d’identité.
- La liste nommée de ce que nous n’avons délibérément pas examiné, et pourquoi.
- Ce que nous ferions en premier si c’était notre parc, la partie que les clients nous citent le plus souvent.
Ce que ça vous coûte, en effort et en accès
Accès : Lecteur sur les souscriptions en périmètre, Lecteur de sécurité, Lecteur général dans Entra ID, lecture sur les dépôts et l’historique des pipelines. Les comptes temporaires avec échéance sont les bienvenus. Aucun accès en écriture n’est demandé.
Effort : environ huit heures de votre équipe au total, plus une restitution de 90 minutes. Un interlocuteur nommé chez vous pour débloquer les accès, seule dépendance capable de retarder les deux semaines.
Pour qui c’est
Les organisations dont le parc Azure a grandi plus vite que sa gouvernance, les équipes face à un audit, une migration ou un projet d’IA qui veulent savoir ce qui cassera en premier, et tout directeur des TI qui hérite d’un environnement que personne ne sait décrire. Cela fonctionne aussi comme deuxième avis avant de signer une construction importante avec n’importe qui, y compris nous.
Pour qui ce n’est pas
Si vous savez déjà exactement quoi construire et que le carnet existe, passez directement à la construction de landing zone en quatre semaines ou à l’agent IA en huit semaines. Payer un audit pour confirmer une décision déjà prise, c’est perdre deux semaines.
Si vous cherchez un document qui justifie une décision déjà arbitrée politiquement, nous sommes le mauvais cabinet. Le rapport dit ce que nous avons trouvé, et nous n’ajusterons pas le classement pour arriver à la conclusion souhaitée.
Questions fréquentes
Combien de temps, et qu’est-ce qui fixe la durée ?
Deux semaines, du lancement à la restitution. La durée est fixe parce que le périmètre l’est : nous regardons, nous formons un avis, nous priorisons les travaux. Si un parc est réellement trop vaste pour être lu en deux semaines, nous réduisons l’audit à deux ou trois domaines plutôt que de l’allonger : un audit qui dure six semaines est devenu un projet sans livrable.
Quels accès vous faut-il ?
Lecteur sur chaque souscription en périmètre, Lecteur de sécurité pour Defender for Cloud, Lecteur général dans Entra ID, et un accès en lecture aux dépôts d’infrastructure et à l’historique des pipelines s’ils existent. Aucun accès en écriture à aucun moment, aucun changement en production. Si votre processus exige un compte nommé avec une échéance, c’est normal et nous le préférons.
Combien de temps cela prend-il à notre équipe ?
Environ huit heures au total, réparties sur quatre à six entretiens de 45 à 60 minutes avec les personnes qui exploitent réellement, plus une restitution de 90 minutes. Nous n’organisons pas d’ateliers qui immobilisent votre direction deux jours dans une salle.
Que gardons-nous si nous ne poursuivons pas ?
Tout. Le rapport, le carnet de travaux et les schémas sont à vous, que vous nous confiiez la remédiation ou non. Nous ne touchons aucune commission d’un cabinet d’audit ni d’un éditeur, et aucune clause n’impose que nous soyons ceux qui corrigent ce que nous avons trouvé.
Allez-vous nous apprendre des choses que nous savons déjà ?
En partie, et c’est utile aussi : un constat écrit par un tiers est souvent ce qui fait enfin monter un problème connu dans une liste budgétaire. La valeur tient généralement au classement plus qu’à la découverte. La plupart des équipes connaissent leurs dix problèmes et ne s’entendent pas sur l’ordre.
Pouvez-vous auditer un parc qui n’est pas encore sur Azure ?
Oui. L’audit couvre alors l’environnement actuel, les charges candidates au déplacement et ce à quoi la cible devrait ressembler. Le résultat alimente un plan de migration plutôt qu’un carnet de remédiation.
Une question sur ce mandat ?
Trois champs. Un architecte le lit et répond en un jour ouvrable.