Gouvernance et conformité

Gouvernance d’architecture, gestion des politiques et référentiels de conformité

Respectez les exigences organisationnelles, réglementaires et de sécurité avec les politiques comme code et la gouvernance automatisée.

Gouvernance d’architecture

Qu’est-ce que la gouvernance ?

Elle garantit que les décisions d’infrastructure :

S’alignent sur la stratégie.
Respectent la réglementation.
Suivent les politiques de sécurité et de coûts.
Soutiennent les normes opérationnelles.

Pourquoi elle compte

Risques : prévenir les erreurs coûteuses.
Conformité : respecter SOC2, HIPAA, PCI et GDPR.
Coûts : appliquer l’optimisation.
Sécurité : maintenir une posture cohérente.
Excellence opérationnelle : standardiser les modèles éprouvés.

Politiques comme code

Définissez les exigences sous forme de politiques appliquées automatiquement.

Exemples de politiques

Politique : chiffrement obligatoire

All databases must be encrypted at rest.
All data in transit must use TLS 1.3.

Politique : haute disponibilité

All databases must be deployed in multi-AZ configuration.
All load balancers must span at least 2 availability zones.

Politique : groupes de sécurité

No security groups allowing inbound from 0.0.0.0/0 on port 22 or 3389.
All databases must be in private subnets (not internet-facing).

Politique : contrôle des coûts

No instances larger than t3.xlarge without approval.
Maximum database storage of 1TB without approval.
All reserved instances must be 1-year or longer.

Politique : étiquettes

All resources must have:
- owner: name of responsible person
- cost-center: department paying for resource
- environment: prod, staging, dev
- data-classification: public, internal, confidential, restricted

Appliquer les politiques

(Bientôt : éditeur intégré et moteur d’application.)

Définissez les politiques dans Architecto.
Appliquez-les à l’organisation ou l’équipe.
Les architectures existantes sont vérifiées automatiquement.
Les nouvelles sont contrôlées à la création.
Les violations s’affichent avec des corrections.

Référentiels de conformité

SOC 2 Type II

Contrôles de sécurité, disponibilité, intégrité des traitements, confidentialité et protection de la vie privée.

Architecto aide pour :

Chiffrement au repos et en transit.
Accès par politiques IAM.
Audit CloudTrail et CloudWatch.
Gestion des changements par infrastructure comme code.
Procédures documentées de réponse aux incidents.

Revue d’architecture :

✓ Data encrypted at rest (AES-256)
✓ Data encrypted in transit (TLS 1.3)
✓ Multi-AZ deployment (availability)
✓ Access controls configured (least privilege)
✓ Audit logging enabled
✓ Backup and recovery tested

HIPAA : loi sur la portabilité et la responsabilité en assurance maladie

Protège la confidentialité et la sécurité des données de santé.

Exigences :

Chiffrement de toutes les informations de santé protégées, PHI.
Contrôle d’accès et authentification.
Audit de tous les accès.
Sauvegardes et reprise après sinistre.
Procédures de réponse aux incidents.
Accords avec les partenaires commerciaux.

Modèle Architecto pour HIPAA :

VPC (isolated network)
├─ VPN for healthcare provider access
├─ Encrypted RDS database with encryption keys in AWS KMS
├─ CloudTrail logging all access
├─ VPC Flow Logs for network monitoring
├─ S3 with encryption and versioning for backups
└─ Multi-region disaster recovery

PCI DSS : norme de sécurité des données des cartes de paiement

Protège les données de cartes et de paiement.

Exigences :

Pare-feu et segmentation réseau.
Chiffrement des données des titulaires.
Analyse de vulnérabilités.
Contrôle d’accès et authentification.
Supervision et journaux.
Tests réguliers de sécurité.

Modèle Architecto pour PCI DSS :

Internet-Facing Components (DMZ)
├─ WAF (Web Application Firewall)
├─ Load Balancer (all traffic encrypted)

Application Servers (separated segment)
├─ API Gateway with authentication
├─ Encryption for cardholder data (tokenization)
├─ No storage of sensitive card data

Database Servers (isolated)
├─ Never stores card numbers (only tokens)
├─ Encrypted at rest and in transit
├─ Network segmentation (private subnet)
├─ CloudTrail and database audit logs

Protège les données personnelles des résidents de l’UE.

Droits essentiels :

Accès : demander ses données.
Oubli : supprimer les données.
Portabilité : export dans un format standard.
Opposition au traitement.
Protection dès la conception.

À considérer dans Architecto :

Résidence des données dans l’UE.
Conservation et suppression des données anciennes.
Collecte minimale et confidentialité dès la conception.
Gestion du consentement.
Accords de traitement avec les fournisseurs.

Supervision et détection de dérives

Qu’est-ce qu’une dérive ?

L’infrastructure en service diffère de l’architecture documentée :

Designed Architecture:
- 3 EC2 instances behind load balancer
- Multi-AZ database with 2 read replicas
- CloudFront CDN for static assets

Actual Infrastructure:
- 2 EC2 instances (someone manually shut one down)
- Single database with no replicas (maintenance never done)
- No CDN (disabled to debug issue, never re-enabled)

Prévenir les dérives

1. Infrastructure comme code

Tout dans Terraform ou CloudFormation.
Changements revus et approuvés avant application.
Prévention des erreurs de manipulation.

2. Détection des dérives (bientôt)

Comparaisons planifiées entre design et réalité.
Alertes sur les écarts.
Corrections automatiques facultatives.

3. Gestion des changements

Tous les changements par CI/CD.
Modifications manuelles interdites ou signalées.
Audit complet.
Retour automatique en cas de problème.

Audits et rapports de conformité

Générer les rapports

Exportez la documentation :

✓ SOC 2 Readiness Report
✓ HIPAA Compliance Checklist
✓ PCI DSS Gap Analysis
✓ GDPR Compliance Inventory
✓ Custom Policy Compliance

Piste d’audit

Historique complet de :

Auteurs et modifications des architectures.
Changements et dates.
Approbations et revues.
Analyses à chaque étape.
Exports et partages.

Documentation

Générez automatiquement :

Flux de données pour HIPAA et PCI.
Architecture de sécurité.
Plan de continuité d’activité.
Guide de reprise après sinistre.
Matrices de risques.

Gouvernance multilocataire et d’entreprise

Politiques d’organisation

Définissez les normes communes :

Fournisseurs autorisés : AWS, GCP, Azure.
Modèles et technologies approuvés.
Limites de coût et budget.
Étiquettes et noms obligatoires.
Référentiels requis.

Gouvernance d’équipe

Les équipes peuvent déroger par :

Exceptions et dispenses.
Approbations temporaires.
Écarts limités dans le temps.

Audits et journaux

Piste complète :

Organization Level:
- Organization created/modified
- Members added/removed
- Policies created/changed
- Budget alerts triggered

Team Level:
- Architectures created/deleted
- Analysis results
- Shares and exports
- Comments and reviews

User Level:
- Login/logout
- API calls
- Document edits
- Settings changes