Clarifier la tâche et la décision
Ce guide transforme l'évaluation des modèles hébergés en Allemagne en un flux de travail opérationnel révisable. Il relie les décisions de domaine, la propriété, les preuves et l'acceptation afin que le résultat continue de fonctionner en production.
Vérifiez chaque lieu de traitement et opérateur avec des preuves d'architecture plutôt que d'accepter un label d'hébergement régional.
Méthode pratique
- 1
Dessinez le flux de données depuis la collecte jusqu'au traitement, aux journaux, au cache, à la prise en charge, à la sauvegarde et à la suppression.
- 2
Classez chaque catégorie de données et reliez-la à l’objectif, au rôle juridique, à l’emplacement, au destinataire et à la conservation.
- 3
Demandez des preuves d’architecture, contractuelles, opérationnelles et de test pour chaque réclamation importante.
- 4
Évaluez les risques et enregistrez les contrôles requis, les propriétaires, les preuves d’acceptation et les risques résiduels.
- 5
Approuvez uniquement la configuration documentée, puis surveillez les sous-traitants, les incidents, les modifications et les preuves de suppression.
Exemple ou outil
Une carte de preuves relie chaque flux de données au fournisseur, à l'emplacement, à l'objectif, à la conservation et au contrat. Dans l'outil, enregistrez également la référence, le propriétaire, la décision, les preuves, le problème en suspens et la date d'approbation. Utilisez une page ou une transaction réelle pour que l'équipe voie les dépendances, les exceptions et le travail de maintenance qui suit la publication.
| Point de décision | Enregistrer | Critère d'acceptation |
|---|---|---|
| Référence | État actuel observé | Source et date d'enregistrement |
| Décision | Option sélectionnée et justification | Risque et public pris en compte |
| Preuve | Tester, documenter ou mesurer | Révisable et spécifique à la version |
| Approbation | Nom, rôle et date | Tous les critères obligatoires sont remplis |
Définir ce que doit signifier « organisé en Allemagne »
Une revendication d'hébergement crédible couvre la chaîne de traitement complète, et pas seulement l'adresse du serveur d'applications. Document dans lequel les invites, les fichiers téléchargés, le texte généré, les journaux, les sauvegardes, les copies de support, les données de surveillance et la télémétrie du modèle sont traités et stockés. Incluez des emplacements temporaires de traitement et de reprise après sinistre, car les deux peuvent déplacer les données en dehors des limites prévues.
Séparer les engagements contractuels de la configuration technique. Un sélecteur de région est une preuve utile, mais il ne garantit pas que le personnel d'assistance, les sous-traitants ou les services de basculement restent en Allemagne. Exigez une description signée des limites du service, des installations nommées ou des régions cloud, ainsi qu'une obligation de notification des modifications qui s'applique tout au long de la durée du contrat.
Utilisez une définition interne précise telle que : tous les contenus client et les données opérationnelles dérivées du contenu sont traités dans des centres de données allemands, sans accès à distance depuis l'extérieur de la zone approuvée, sauf si le client autorise une exception documentée. Cette définition donne aux examinateurs en matière d’approvisionnement, de sécurité et juridiques une norme testable.
Répertoriez chaque catégorie de données, y compris les journaux, les sauvegardes, la surveillance des abus et les enregistrements d'assistance.
Enregistrez séparément les emplacements principaux, de basculement et de restauration.
Identifiez chaque organisation pouvant accéder aux données client ou aux clés de chiffrement.
Convertissez les déclarations marketing en engagements contractuels signés et testables.
Cartographier les limites techniques et modéliser la chaîne d'approvisionnement
Dessinez un diagramme de flux de données depuis le navigateur de l'utilisateur ou CMS jusqu'à la réponse finale. Marquez les passerelles, les files d'attente, les magasins d'objets, les bases de données, les points de terminaison de modèles, les filtres de contenu, les outils d'observabilité et les systèmes d'administration. Pour chaque composant, enregistrez l'opérateur, l'emplacement, l'objectif, la période de conservation, la méthode de cryptage et si les données client peuvent être utilisées pour améliorer un modèle partagé.
L'hébergement de modèles peut impliquer plusieurs couches. L'application peut s'exécuter à Francfort tandis que l'inférence est effectuée ailleurs par un point de terminaison de modèle externe. Un modèle déployé localement peut toujours envoyer des télémétries à son éditeur. Vérifiez le point de terminaison d'exécution réel, les contrôles du réseau sortant, le processus de téléchargement de modèle, les contrôles de licence et tout canal de gestion à distance.
Demandez au fournisseur de démontrer les limites avec des exportations de configuration, des diagrammes d'architecture, des enregistrements de sous-traitants et une présentation en direct de la console d'administration. Les preuves doivent être datées et versionnées. Revérifiez-le après les versions matérielles, car un service supplémentaire de sécurité, d'analyse ou d'assistance peut modifier le chemin des données.
- 1
Tracez une demande de représentant et un téléchargement de fichier de bout en bout.
- 2
Confirmez la destination de chaque connexion sortante depuis l’environnement de production.
- 3
Comparez les preuves d'architecture avec l'accord de traitement des données et la liste des sous-traitants.
- 4
Stockez le diagramme approuvé et l’ensemble de preuves avec un propriétaire et une date de révision.
Évaluer les contrôles, les opérations et la séparation
L'emplacement à lui seul n'assure pas la sécurité. Évaluez la séparation des locataires, la gestion des identités, les accès privilégiés, la propriété des clés, la gestion des vulnérabilités, le déploiement sécurisé, la restauration des sauvegardes et la réponse aux incidents. Pour les documents sensibles du secteur public, exigez un accès basé sur les rôles, une authentification forte de l'administrateur, une journalisation des accès, un examen régulier des privilèges et une procédure d'accès d'urgence avec approbation rétrospective.
Précisez si les clés de chiffrement sont gérées par le fournisseur, par le client ou dédiées à un seul locataire. Demandez qui peut déchiffrer les sauvegardes et comment les clés sont alternées, révoquées et récupérées. Si une séparation stricte est requise, demandez la preuve que les caches de modèles, les magasins de vecteurs, les journaux d'invite et les ensembles de données d'évaluation ne peuvent pas être interrogés entre les clients.
Les preuves opérationnelles comptent plus qu’une liste de contrôle. Examinez un test de restauration récent, un exemple d'examen des accès, la portée du test de sécurité, le suivi des mesures correctives et le processus de communication des incidents. Les certifications peuvent faciliter l'examen, mais elles ne doivent pas remplacer la vérification si la portée certifiée inclut le produit exact et l'environnement d'hébergement achetés.
Vérifiez séparément l’accès à la production, l’accès d’urgence et l’accès au support.
Confirmez le chiffrement et les responsabilités clés pour les données en direct et les sauvegardes.
Examinez l’assurance indépendante et la portée précise de chaque rapport.
Exiger des preuves d’exercices de restauration, d’incidents et de gestion des vulnérabilités.
Rendre la décision vérifiable
Utilisez un enregistrement de décision indiquant les données prévues, les limites d'hébergement requises, les preuves examinées, les risques non résolus, les contrôles compensatoires, le propriétaire de la décision et la date d'expiration. Classez chaque réclamation comme vérifiée, engagée contractuellement, planifiée ou non disponible. Seuls les contrôles vérifiés et contractuellement engagés doivent appuyer la décision d’approbation.
Par exemple, une équipe de communication peut approuver le texte d’un site Web public pour un service partagé hébergé en Allemagne, mais exclure les dossiers et les données personnelles non publiées. Le compte rendu de décision doit exprimer cette limite dans un langage opérationnel et la traduire en configuration du produit, en conseils d'utilisation, en surveillance et en échantillonnage périodique de l'utilisation réelle.
La réévaluation doit être déclenchée par une nouvelle famille de modèles, un nouveau fournisseur d'hébergement, un sous-traitant secondaire, une région, une fonction de télémétrie ou un accord de support. Ajoutez l'examen des preuves à la gouvernance des fournisseurs plutôt que de le traiter comme une tâche d'approvisionnement ponctuelle. Cela permet de conserver l'exactitude de la revendication d'hébergement après le lancement initial.
- 1
Notez les exigences obligatoires en matière d'emplacement et d'accès comme réussite ou échec.
- 2
Notez séparément la maturité de la sécurité afin que l’emplacement ne puisse pas dissimuler des contrôles faibles.
- 3
Approuvez un cas d’utilisation clairement délimité et codez la limite dans la configuration.
- 4
Organisez des examens annuels et déclenchés par des changements avec des propriétaires responsables nommés.
Rôles, preuves et approbation
Les examens de sécurité et de confidentialité doivent décrire la configuration de production plutôt qu'un fournisseur générique. Enregistrez le service exact, la région, les indicateurs de fonctionnalités, la télémétrie facultative, l'accès au support, les sous-traitants, les limites de chiffrement, les paramètres de conservation et les responsabilités du client. Réévaluez après des changements d’architecture matérielle, de contrat, de fournisseur ou d’objectif et gardez la décision liée aux preuves examinées.
Opérations et entretien
Le travail ne s'arrête pas à la publication. Liez la version linguistique ou la configuration à sa source, surveillez les mesures de qualité et de service et définissez des déclencheurs de révision concrets. Les déclencheurs incluent les changements de source, les changements juridiques, les nouveaux besoins du public, les questions d'assistance récurrentes, les changements techniques et les incidents. Un propriétaire nommé évalue le déclencheur, ouvre une nouvelle révision si nécessaire et enregistre une nouvelle approbation.
Liste de contrôle avant publication
Le cheminement complet du traitement est documenté.
Les rôles du contrôleur et du sous-traitant sont convenus.
Les emplacements et les sous-traitants ultérieurs sont mis en évidence.
La formation et l’utilisation secondaire sont explicitement abordées.
Les contrôles d’accès, de chiffrement, de journalisation et d’incidents sont vérifiés.
La conservation et la suppression sont définies par catégorie de données.
Les transferts internationaux et les garanties sont documentés.
Les modifications, les audits, la sortie et la propriété des preuves sont attribués.