Notre approche · Souveraineté
Vos données restent où vous les avez mises. Vous pouvez le vérifier.
Vos journaux de sécurité restent dans votre tenant, dans la région de votre abonnement Microsoft. Nos analystes y travaillent à distance, avec des droits délégués que vous pouvez révoquer.
- de vos journaux restent dans votre espace de travail Log Analytics
- 100 %
- copie de vos journaux conservée sur nos systèmes
- 0
- attribution de rôle Azure à retirer pour couper notre accès
- 1
Trois faits que vous vérifiez vous-même dans votre portail Azure.
Votre tenant, service par service
Étape 1 sur 7
Votre tenant, dans votre région
Vos services Microsoft 365, vos outils de sécurité et vos journaux vivent dans le même tenant, dans la région que porte votre abonnement.
Étape 2 sur 7
Vos services Microsoft 365
Exchange Online, Teams, SharePoint et OneDrive, vos postes et serveurs, vos applications métier : chacun produit ses journaux d'activité.
Étape 3 sur 7
Entra ID, la porte d'entrée
Chaque connexion à vos services passe par Entra ID, qui la consigne dans ses journaux de connexion.
Étape 4 sur 7
Purview protège les contenus
Étiquettes de sensibilité et règles de prévention des pertes de données s'appliquent à vos courriels, conversations et documents.
Étape 5 sur 7
Defender XDR relie les signaux
Postes, serveurs, messagerie et identités : Defender XDR rapproche les alertes en incidents.
Étape 6 sur 7
Vos journaux atterrissent chez vous, Sentinel les analyse sur place
Les journaux convergent vers votre espace de travail Log Analytics, dans votre région. Sentinel est activé sur votre abonnement et les analyse sur place.
Étape 7 sur 7
Nos analystes entrent par une seule porte
Notre accès est une attribution de rôle, en droits délégués, que vous retirez quand vous voulez. Les données, elles, ne bougent pas.
Toute la question tient en une seule : qui détient le contenant ?
Un SOC externalisé et un SOC souverain font le même métier. Ils diffèrent sur un point de topologie : l'endroit où vos journaux atterrissent. Ce point décide de tout le reste : le format, la réversibilité, le régime juridique qui s'applique.
Étape 1 sur 4
Vos journaux atterrissent chez vous
Microsoft 365, Entra ID et vos applications métier envoient leurs journaux dans votre espace de travail Log Analytics, dans votre région.
Étape 2 sur 4
Sentinel les analyse sur place
Sentinel est activé sur votre abonnement. Le format est celui d'Azure : requêtes KQL, export natif, rien de propriétaire.
Étape 3 sur 4
Nos analystes regardent, sans rien emporter
Droits délégués, sous des identités déclarées dans votre Entra ID. Chaque connexion et chaque requête laissent une trace dans vos journaux d'audit, et aucune copie de vos journaux n'est conservée sur nos systèmes.
D’où : de France et du Vietnam en régime standard, uniquement depuis l’Union européenne au palier UE.
Voir les deux régimesÉtape 4 sur 4
Vous retirez le rôle, l'accès s'arrête
Notre accès est une attribution de rôle que vous retirez quand vous voulez. Les données restent dans votre tenant.
Les deux modèles, point par point
| Modèle habituelVos journaux partent chez le prestataire | Modèle souverainVos journaux restent chez vous | |
|---|---|---|
| Où vont vos journaux | Modèle habituelLes connecteurs expédient vos journaux vers la plateforme du prestataire, hébergée là où il l'a décidé. | Modèle souverainSentinel est activé sur votre abonnement, dans votre espace de travail Log Analytics, dans votre région. |
| Le format | Modèle habituelLe format est celui de son outil : ce que vous récupérez en sortie dépend de ce qu'il accepte d'exporter. | Modèle souverainLe format est celui d'Azure : requêtes KQL, export natif, rien de propriétaire. |
| À la fin du contrat | Modèle habituelRompre le contrat, c'est renoncer à un historique qui vit chez lui. | Modèle souverainNotre accès est une attribution de rôle que vous retirez quand vous voulez. Les données restent dans votre tenant. |
Ce qui tient cette frontière
Quatre mécanismes techniques. Chacun se vérifie depuis votre portail Azure, sans passer par nous.
Liste de vérification · Portail Azure
Tenant
L'abonnement est le vôtre
Sentinel est activé sur votre abonnement Azure. Le titulaire de la ressource, le payeur de la facture et le responsable du traitement sont une seule et même entité : vous.
Où le vérifier
Portail Azure › Abonnements › Contrôle d’accès
Région
La région est celle que vous avez choisie
L'espace de travail Log Analytics est créé dans une région précise, au moment de sa création. Les journaux ingérés y sont stockés et y restent, sauf si vous configurez vous-même un export ailleurs.
Où le vérifier
Portail Azure › Log Analytics › Emplacement
Clés
Le chiffrement peut utiliser vos clés
Au repos comme en transit, les données sont chiffrées. Vous pouvez substituer vos propres clés, gérées dans Azure Key Vault, à celles de la plateforme, et les faire tourner à votre rythme.
Où le vérifier
Portail Azure › Key Vault › Clés
Accès
Notre accès est nominatif et traçable
Nos analystes travaillent sous des identités déclarées dans votre Entra ID, avec les droits délégués strictement nécessaires. Chaque connexion et chaque requête laissent une trace dans vos journaux d'audit.
Où le vérifier
Portail Azure › Contrôle d’accès (IAM) › Attributions de rôles
Où sont vos journaux, et qui les regarde
La première question est réglée : vos journaux restent dans votre abonnement. La seconde est plus rarement posée, et elle compte autant : qui, physiquement, les consulte, et depuis quel pays.
| Régime standard | Palier UE | |
|---|---|---|
| Stockage de vos journaux | Dans votre tenant, dans votre région, aucune copie chez nous | |
| Couverture | Surveillance 24/7/365 | Modalités de couverture définies au contrat |
| Équipe | Deux implantations, en France et au Vietnam, sur deux fuseaux horaires : en cas d’attaque, prise en charge en moins de 30 min, nuit comprise (dès SOC Standard) | Équipe exclusivement basée dans l'Union européenne |
| Accès aux journaux | Vos journaux peuvent être consultés depuis la France et depuis le Vietnam | Aucun accès à vos journaux depuis l'extérieur de l'Union européenne, à aucun moment |
| Pour qui | Entreprises privées | Comptes publics, et toute organisation qui le demande |
Si vous partez demain
La réversibilité n'est pas une clause de fin de contrat : c'est une conséquence de la topologie. Rien à rapatrier, puisque rien n'est parti.
Les données restent en place
L'espace de travail, l'historique conservé et les règles d'analyse vivent dans votre abonnement. Notre départ ne les déplace pas d'un octet.
Le savoir-faire reste lisible
Règles de détection, requêtes KQL et playbooks sont écrits dans des formats Azure standard. Vos équipes, ou un autre prestataire, les reprennent tels quels.
La coupure prend une action
Retirer notre attribution de rôle met fin à notre accès. Aucune donnée à réclamer, aucun export à négocier, aucun délai à subir.
Ce que cette architecture ne promet pas
La souveraineté est un sujet où l'on sur-vend facilement. Voici les limites que nous énonçons avant la signature, plutôt qu'après.
Pas d'immunité juridique
Héberger dans une région européenne ne soustrait pas mécaniquement un fournisseur à toute législation extraterritoriale. Ce que l'architecture établit, c'est la localisation du stockage, la propriété de la ressource et la maîtrise des clés, pas l'inapplicabilité d'une loi étrangère.
Pas une conformité clés en main
Rester dans votre région facilite la conformité au RGPD ou à NIS2 ; elle ne la constitue pas. Registre des traitements, durées de conservation et analyses d'impact restent de votre ressort, avec votre DPO ou votre conseil : nous n'en traitons pas.
Pas une exclusivité Microsoft
Le raisonnement vaut pour toute architecture où le contenant vous appartient. Nous l'exposons sur Sentinel parce que c'est la plateforme que nous opérons, pas parce qu'elle serait la seule à le permettre.
Vérifions ensemble où vivent vos journaux
L’audit gratuit suffit à cartographier vos sources, votre région Azure et les accès déjà en place. Vous repartez avec le schéma, que la suite se fasse avec nous ou non.
Liste de vérification · Portail Azure
Tenant
L'abonnement est le vôtre
Région
La région est celle que vous avez choisie
Clés
Le chiffrement peut utiliser vos clés
Accès
Notre accès est nominatif et traçable