Aperçu de la sécurité et de la conformité pour Microsoft Discovery

Microsoft Discovery est une plateforme d'IA agente d'entreprise pour la recherche scientifique, construite sur l'infrastructure cloud d'entreprise d'Azure. Parce qu’il s’exécute sur Azure, Microsoft Discovery est conçu pour s’inscrire dans le cadre des dispositifs de sécurité, de conformité, de transparence et de gouvernance que les organisations utilisent pour gérer des environnements sensibles de recherche et développement (R&D).

Cet article offre aux évaluateurs, architectes et déployeurs de sécurité un point de départ unique pour évaluer Microsoft Discovery. Il résume les contrôles de sécurité de la plateforme, explique le modèle de responsabilité partagée et associe les capacités de la plateforme aux domaines de risque du questionnaire Shared Assessments Standardized Information Gathering (SIG ), un questionnaire couramment utilisé pour les évaluations des risques par des tiers. Utilisez-le pour orienter un examen de sécurité, puis consultez les articles associés pour obtenir des détails faisant autorité au niveau des contrôles. Pour les réponses au niveau de la question organisées par domaine SIG, consultez la FAQ sur la sécurité et la conformité basée sur SIG.

Important

Cet article est fourni à titre informatif uniquement. Cela ne constitue pas une certification, une attestation, un audit ou une garantie de conformité, et n'implique pas que Microsoft Discovery soit certifié ou audité de manière indépendante selon un cadre mentionné ici. Pour la liste actuelle et faisant autorité des certifications Microsoft, des rapports d’audit et des détails de la mise en œuvre des contrôles, utilisez le Microsoft Trust Center et le Service Trust Portal.

Déploiement et frontière de confiance

Microsoft Discovery déploie les ressources dans votre propre abonnement Azure et votre locataire Microsoft Entra, et non dans un abonnement géré par Microsoft. Lorsque vous provisionnez un espace de travail, un superordinateur ou une bibliothèque, le service crée un groupe de ressources géré (MRG) dans votre abonnement qui détient les ressources backend qu’il gère en votre nom.

Ce modèle de déploiement a des implications directes en matière de sécurité :

  • Les données client et les ressources qui les stockent restent dans le périmètre de votre abonnement et de votre locataire.
  • Vous possédez l’identité, le réseau et la configuration de contrôle d’accès pour l’environnement environnant.
  • Vous payez et gérez les ressources Azure sous-jacentes, et vous pouvez appliquer votre propre Azure Policy, journalisation et surveillance.

Pour le modèle de ressources et le flux de données, voir aperçu de l’architecture des services.

Modèle de responsabilité partagée

La sécurité dans Microsoft Discovery suit le modèle de responsabilité partagée d’Azure. Le tableau suivant montre comment ce modèle s’applique spécifiquement à un déploiement Discovery, à condition que les ressources soient intégrées à votre abonnement.

Responsabilité Microsoft Customer
Sécurité physique et de plateforme des centres de données Azure En charge Non responsable
Plan de contrôle et fonctionnement du service géré En charge Non responsable
Chiffrement des données au repos (clés par défaut) et en transit sur la dorsale Azure En charge Non responsable
Contrôles de sécurité intégrés par IA (filtrage de contenu, protections système) En charge Non responsable
Abonnement, réseau virtuel et configuration du pare-feu Non responsable En charge
Gouvernance de l’identité et attributions de rôles de moindre privilège Non responsable En charge
Clés gérées par le client (si choisi), Key Vault et cycle de vie des clés Non responsable En charge
Classification des données et protection des données avant ingestion Non responsable En charge
Activer la journalisation, la rétention et le suivi des audits dans votre abonnement Non responsable En charge
Continuité des activités et réplication des ressources étatiques Non responsable En charge

Pour les responsabilités spécifiques à l’IA, voir IA responsable dans Microsoft Discovery.

Carte du domaine du questionnaire SIG

Le questionnaire Shared Assessments Standardized Information Gathering (SIG) organise les questions de risque tierces en domaines de risque. Le tableau suivant associe chaque domaine de risque SIG à la manière dont Microsoft Discovery le traite et où trouver des détails faisant autorité, afin que vous puissiez réaliser efficacement une évaluation SIG Lite ou SIG Core. Les domaines satisfaits par les contrôles hérités de la plateforme Azure pointent vers les sources centrales de vérité.

Domaine de risque SIG Comment Microsoft Discovery le traite Reference
Gestion des risques pour les entreprises Opéré sous la gouvernance d’entreprise de Microsoft avec une gestion centralisée, des traces d’audit et des points de contrôle de supervision humaine. Centre de gestion de la confidentialité de Microsoft
Cloud Services Fourni en tant que service Azure ; les ressources sont déployées dans votre propre abonnement et votre propre locataire, conformément au modèle de responsabilité partagée d’Azure. Architecture des services, responsabilité partagée
Gestion de la conformité Construit sur Azure ; hérite de la conformité de la plateforme Azure. Les certifications et rapports d’audit sont publiés de manière centralisée. Centre de fiducie, portail de confiance de service
Access Control Authentification Microsoft Entra ID, Azure RBAC, rôles intégrés et au niveau projet, et identités gérées par privilège minimum. Attribution des rôles, contrôle d’accès au niveau du Project
Sécurité des applications / Gestion des applications Développé dans le cadre du Security Development Lifecycle de Microsoft ; vous sécurisez les agents personnalisés et les outils que vous créez. Meilleures pratiques en IA responsable
Intelligence artificielle Filtrage de contenu de Foundry Guardrails, politique relative aux usages interdits, ancrage dans les sources et citations, ainsi que les évaluations RAI. IA responsable, Code de conduite
Gestion des actifs et de l’information Les données stockées dans votre abonnement via des conteneurs de stockage et des actifs ; vous possédez la classification des données. Gestion des données, Ressources de stockage
Assurance de l’information Chiffrement au repos par défaut (clés gérées par Microsoft) avec des clés gérées par le client en option ; isolement des clés vis-à-vis des opérateurs. Chiffrement des données au repos
Sécurité du serveur Le backend fonctionne sur les services gérés Azure ; le renforcement de la plateforme et le patching sont gérés dans le cadre des opérations Azure. Portail de confiance des services
Sécurité des points de terminaison Aucun point de terminaison client dans le plan de données géré ; l’accès se fait via des interfaces et API sécurisées par Entra ID. Sécurité du réseau
Sécurité réseau Périmètres de sécurité réseau, points de terminaison privés, injection réseau virtuelle et accès privé par défaut au plan de données. Sécurité du réseau
Gestion des opérations informatiques Journaux d’audit des applications, des activités et configurables par le client via Azure Monitor, avec traçage par ID de corrélation. Observabilité, Activer la journalisation d’audit
Gestion des incidents Les identifiants de corrélation de bout en bout pour le traçage ; la réponse aux incidents de la plateforme et la notification de violation sont gérées de manière centralisée. IDs de corrélation, Centre de confiance
Cybersécurité / Gestion des menaces Fonctionne sur des services gérés Azure qui héritent des opérations de détection et de sécurité des menaces Azure. Principes fondamentaux de la sécurité d'Azure
Résilience opérationnelle Architecture de service multi-régions ; les clients répliquent leurs propres ressources étatiques pour la reprise après sinistre. Continuité des activités et reprise après sinistre
Sécurité physique et environnementale Fourni par des centres de données Azure et audité de manière indépendante dans le cadre de la plateforme Azure. Portail de confiance des services
Sécurité des ressources humaines Le filtrage, la formation et la gouvernance des accès du personnel Microsoft fonctionnaient et étaient documentés de manière centralisée. Portail de confiance des services
Gestion des risques liés à la chaîne d’approvisionnement / Gestion des « n-èmes parties » Construit sur des services Azure nommés ; liste de sous-processeurs et assurance de la chaîne d’approvisionnement publiée centralement. Centre de confidentialité
Gestion de la confidentialité Les ressources sont déployées dans votre abonnement ; les régions du plan de contrôle et le déploiement inter-régional du plan de données supportent la résidence. Résidence des données, confidentialité du centre de confiance

Note

Le questionnaire SIG inclut également un domaine Environnemental, Social et Gouvernance (ESG). Microsoft aborde l’ESG à l’échelle de l’entreprise ; consultez le Microsoft Trust Center ainsi que les ressources de Microsoft sur la durabilité et la responsabilité d’entreprise, plutôt que la documentation du produit Microsoft Discovery.

Mappage du cadre de contrôle

Si votre organisation standardise sur un framework autre que SIG, ne reconstruisez pas un passage piéton à partir de cette documentation. Microsoft publie de façon centrale les mappages de cadre, les périmètres de certification et les preuves d’audit. Consultez les directives de conformité pour Microsoft Discovery pour des informations sur les contrôles que vous évaluez dans Discovery, ceux que vous héritez d’Azure, et quelle source faisant autorité répond à chaque question.

Gestion de l’identité et de l’accès

Microsoft Discovery authentifie les utilisateurs via Microsoft Entra ID et autorise les actions via Azure RBAC. Ce qui est spécifique à Discovery, c’est le modèle à suivre : des rôles intégrés à la plateforme (tels que Administrateur de Plateforme, Contributeur de Plateforme et Lecteur de Plateforme), des rôles au niveau projet qui isolentent les enquêtes, et des rôles spécifiques à une ressource pour un accès à privilèges minimes.

L’accès Service-to-Service utilise des identités gérées attribuées par l’utilisateur que vous créez et contrôlez dans votre propre abonnement, plutôt que des secrets ou des chaînes de connexion. Discovery définit des espaces d’identité distincts, ce qui vous permet d’attribuer des identités séparées avec des rôles à portée limitée et de limiter l’exécution des outils de l’agent aux seules autorisations nécessaires.

Pour en savoir plus:

Protection et chiffrement des données

Microsoft Discovery utilise le chiffrement des données Azure au repos, activé automatiquement et de manière transparente. La décision propre à Discovery est le modèle principal :

  • Clés gérées par Microsoft (par défaut) : aucune action client requise.
  • Clés gérées par le client (CMK) : disponibles pour les ressources de l’espace de travail, du superordinateur et de la bibliothèque. Vous devez choisir CMK au moment de la création des ressources ; le modèle ne peut pas être modifié par la suite.

Les opérateurs de service, ingénieurs et personnel de soutien ne peuvent pas accéder aux clés de chiffrement. Pour plus d’informations, voir Chiffrement des données au repos.

Sécurité du réseau

Microsoft Discovery superpose trois contrôles de mise en réseau Azure et active le durcissement du réseau par défaut pour les espaces de travail et les bibliothèques gérés avec la version de l’API 2026-02-01-preview et les versions ultérieures :

  • Les périmètres de sécurité réseau restreignent les ressources gérées afin que seuls les composants autorisés de la Découverte puissent y accéder.
  • Les points de terminaison privés acheminent le trafic API des espaces de travail et des plans de données de bibliothèque via la dorsale Microsoft.
  • L’injection de réseau virtuel exécute des services et agents de plateforme workspace à l’intérieur de votre réseau virtuel, dans des sous-réseaux que vous provisionnez et déléguez.

Important

Les périmètres de sécurité réseau ne sont pas encore disponibles dans toutes les régions et pour tous les types de ressources Azure. Assurez-vous que votre déploiement se fait dans une région qui supporte les périmètres de sécurité réseau.

Pour les exigences réseau spécifiques au déploiement et les conseils de configuration, voir Sécurité réseau, Réseaux virtuels et sous-réseaux, et Déploiement réseau renforcé de bout en bout.

Journalisation, surveillance et audit

Microsoft Discovery s’intègre à Azure Monitor et affiche trois catégories de journaux :

  • Les journaux d'application sont collectés automatiquement dans un espace de travail dédié Log Analytics à l'intérieur du MRG de chaque ressource.
  • Journaux d’activité enregistrent les opérations du plan de contrôle sur les ressources Discovery.
  • Les journaux d’audit sont activés via les paramètres de diagnostic et exportés vers un compte de stockage ou un espace de travail Log Analytics que vous possédez, pour une conservation à long terme.

Les identifiants de corrélation permettent de retracer une opération de bout en bout sur les composants de la plateforme. Pour plus d’informations, voir Observabilité et Activer la journalisation des audits.

Sécurité de l’IA et IA responsable

Microsoft Discovery suit la norme Microsoft Responsible AI. Les contrôles de sécurité incluent le filtrage de contenu Foundry Guardrails appliqué par défaut aux modèles créés dans Discovery, l’ancrage avec citations et des protections au niveau du système. La plateforme applique une politique d’usage interdit (par exemple, pas de développement d’armes et pas de contournement des systèmes de sécurité) et est évaluée pour sa sécurité et sa stabilité avant chaque sortie.

Pour plus d’informations, voir IA responsable dans Microsoft Discovery, carte de plateforme et Code de conduite.

Continuité des activités et récupération d’urgence

Microsoft Discovery utilise une architecture multirégionale hautement disponible, conçue pour éviter les points de défaillance uniques dans ses composants de service. Le service ne réplique pas automatiquement l’état client entre les déploiements régionaux, donc vous répliquez vos propres ressources étatiques pour atteindre vos objectifs de récupération. Pour plus d’informations, voir Continuité d’activité et reprise d’activité.

Résidence des données

Le plan de contrôle Microsoft Discovery est disponible dans l’est des États-Unis, la Suède centrale et le sud du Royaume-Uni. Les ressources de groupes de ressources gérés (data-plane) peuvent être déployées dans d’autres régions via un déploiement interrégional, ce qui peut vous aider à répondre aux exigences de résidence ou de capacité des données. Vous sélectionnez les régions Azure pour ces ressources dataplane dans votre abonnement. Pour obtenir la déclaration à jour et faisant autorité concernant les engagements de Microsoft en matière de résidence des données et de traitement des données, consultez le Microsoft Trust Center ainsi que les conditions applicables à vos produits Microsoft.

Conformité et certifications

Microsoft Discovery est construit sur Azure et hérite des opérations de sécurité et de la posture de conformité de la plateforme Azure ainsi que des services managés qu’elle utilise (tels que stockage Azure, Azure Kubernetes Service, Recherche Azure AI et Azure Key Vault). Microsoft publie ses certifications, rapports d’audit (par exemple, SOC et ISO) et mappages de contrôle de manière centralisée plutôt que par service.

Pour évaluer la conformité à votre situation :

  • Consultez le Microsoft Trust Center pour connaître les offres de conformité et leur application aux services Azure.
  • Téléchargez les rapports d’audit et la documentation de contrôle depuis le portail Service Trust.
  • Utilisez les conseils de conformité pour séparer les contrôles que vous évaluez dans Discovery de ceux que vous héritez d’Azure.

Contenu connexe

  • Dernière mise à jour :