Cadres de conformité Azure

Le déplacement des charges de travail vers Azure ne supprime pas les obligations de conformité : il modifie la manière dont elles sont respectées. Les organisations doivent continuer à se conformer aux réglementations sectorielles, aux lois gouvernementales et aux obligations contractuelles, même lorsque leur infrastructure se trouve dans le cloud. Comprendre quels cadres de conformité s'appliquent à votre charge de travail et comment Azure vous aide à les respecter constitue un sujet essentiel de l'examen AZ-900 et des déploiements Azure d'entreprise réels.

La conformité dans le cloud est régie par le modèle de responsabilité partagée. Microsoft est responsable de la sécurité et de la conformité de l'infrastructure cloud (centres de données physiques, matériel réseau et système d'exploitation hôte). Les clients sont responsables de la sécurité et de la conformité de ce qui s'exécute dans le cloud (leurs applications, données, identités et configurations). La limite des responsabilités varie selon que vous utilisez IaaS, PaaS ou SaaS.

Microsoft maintient pour Azure des certifications de conformité couvrant plus de 100 normes et cadres réglementaires. Elles couvrent différentes régions, différents secteurs et diverses disciplines de sécurité, notamment :

• International — ISO 27001, ISO 27018, SOC 1/2/3
• UE/régional — GDPR, ENS, UK Cyber Essentials
• Secteur — HIPAA (santé), PCI DSS (paiements), FedRAMP (gouvernement des US)

ISO 27001 est une norme internationale relative aux systèmes de management de la sécurité de l'information (ISMS). Microsoft a obtenu la certification ISO 27001 pour Azure, ce qui signifie que l'infrastructure et les processus opérationnels ont été audités par un tiers indépendant. Toutefois, les clients doivent certifier séparément leurs propres applications et pratiques de gestion des données : la certification de Microsoft ne s'étend pas automatiquement aux charges de travail des clients.

PCI DSS (Payment Card Industry Data Security Standard) s'applique aux organisations qui stockent, traitent ou transmettent des données de titulaires de cartes. Azure est un prestataire de services certifié PCI DSS de niveau 1, le niveau de certification le plus élevé. Les clients qui exécutent des charges de travail de paiement sur Azure peuvent s'appuyer sur cette base, mais doivent mettre en œuvre des contrôles supplémentaires au niveau de leur application (tokenisation, chiffrement et journalisation des accès) afin de respecter leurs propres obligations PCI DSS.

HIPAA (Health Insurance Portability and Accountability Act) régit la protection des informations de santé protégées (PHI) aux US. Microsoft propose un HIPAA Business Associate Agreement (BAA) pour les services Azure, confirmant que Microsoft protège les PHI qu'il traite pour votre compte. Les clients du secteur de la santé doivent signer le BAA et configurer leurs charges de travail Azure afin de respecter les mesures de protection techniques de HIPAA.

Les rapports SOC (System and Organisation Controls) sont des évaluations des contrôles d'Azure réalisées par des auditeurs indépendants :

• SOC 1 — contrôles relatifs à l'information financière (pertinents pour les produits SaaS qui influent sur les états financiers des clients)
• SOC 2 — contrôles relatifs à la sécurité, à la disponibilité, à l'intégrité du traitement, à la confidentialité et à la vie privée
• SOC 3 — synthèse publique des conclusions du SOC 2, accessible à tous

Les rapports SOC 2 sont accessibles aux clients Azure dans le cadre d'un NDA, via le portail Service Trust.

FedRAMP (Federal Risk and Authorization Management Program) est un cadre du gouvernement des US pour l'autorisation des services cloud. Azure dispose de l'autorisation FedRAMP High pour les régions gouvernementales (USGov et USDoD). Les agences fédérales des US doivent utiliser des services cloud autorisés par FedRAMP. Les régions Azure commerciales disposent de l'autorisation FedRAMP Moderate, qui couvre une grande partie des charges de travail gouvernementales.

Le portail Service Trust de Microsoft (STP), accessible à l'adresse servicetrust.microsoft.com, est un point d'accès unique à la documentation de conformité, aux rapports d'audit et aux informations de certification concernant les services cloud de Microsoft. Depuis le STP, vous pouvez télécharger les certificats ISO 27001, les rapports SOC 2, les résultats des tests d'intrusion et les évaluations d'impact relatives à la protection des données. L'accès à certains documents nécessite un compte Azure ou Microsoft 365 ainsi que l'acceptation d'un NDA.

Les exigences de résidence des données imposent que certaines données soient stockées et traitées à l'intérieur d'une limite géographique précise. Azure répond à cette exigence grâce à la sélection de la région : vous choisissez la région dans laquelle déployer les ressources, et vos données y restent par défaut. Azure propose également des instances de cloud souverain (Azure Government, Azure China 21Vianet et Azure Germany), exploitées indépendamment afin de répondre à des exigences nationales spécifiques en matière de souveraineté des données.

Atteindre la conformité n'est pas un événement ponctuel : cela nécessite une surveillance continue et une collecte permanente de preuves. Microsoft Compliance Manager, intégré au portail de conformité Microsoft Purview, aide les organisations à suivre en continu leur niveau de conformité, à mettre en correspondance les contrôles et les réglementations, et à produire des preuves pour les auditeurs. Les audits internes réguliers, les vérifications automatisées des stratégies via Azure Policy et la collecte centralisée des journaux font tous partie d'un programme de conformité mature.

Vérifiez votre compréhension des concepts de Microsoft Azure Fundamentals (AZ-900) abordés dans cette leçon.

Dans cette leçon, vous avez appris qu'Azure détient des certifications pour plus de 100 cadres de conformité, notamment ISO 27001, PCI DSS, HIPAA et FedRAMP ; que le modèle de responsabilité partagée répartit les obligations de conformité entre Microsoft et le client ; et que le portail Service Trust est la source des rapports d'audit et des documents de certification. Nous allons maintenant découvrir Microsoft Purview pour la gouvernance et la classification des données.