Sécurité, SecOps et RSSI externalisé

La fonction sécurité de votre infrastructure IA, de la gouvernance jusqu’au noyau

Nous concevons et exploitons des clusters GPU, des plateformes Kubernetes et les clouds qui les portent, aux côtés des équipes de nos clients. Nous apportons la fonction sécurité avec ce travail : un RSSI à temps partagé qui connaît l’infrastructure jusqu’à la fabric, des opérations de sécurité sur les plateformes que nous exploitons, et une ingénierie sécurité intégrée à chaque couche de la conception. C’est la même équipe : la personne qui rédige vos politiques sait comment le cluster se comporte réellement.

Nos responsables sécurité ont construit des fonctions sécurité à partir de zéro dans des entreprises internationales du SaaS, de la santé, de l’assurance et de la finance, mené des programmes jusqu’aux audits SOC 2, ISO 27001, HIPAA et PCI DSS, et siégé dans des comités d’audit et de sécurité. Nous travaillons en français, en anglais et en arabe.

Pourquoi l’infrastructure IA change le modèle de sécurité

Un cluster GPU n’est pas un gros cluster web. Sa surface d’attaque est différente, tout comme les actifs à protéger :

Des accélérateurs partagés : les GPU, partitions MIG et vGPU partagés entre équipes ou tenants exigent une isolation qui résiste à un bug de pilote ou à un device plugin mal configuré.
Des fabrics qui contournent le noyau : le RDMA sur InfiniBand ou RoCE transporte les données sans la pile réseau habituelle. L’isolation des tenants doit donc être appliquée dans la fabric elle-même, avec des partition keys, des VRF et des politiques sur DPU.
Des modèles et des données qui valent plus que le matériel : poids des modèles et jeux de données d’entraînement demandent chiffrement, chemins d’accès stricts et pistes d’audit.
Firmware et chaîne d’approvisionnement : BMC, firmware des cartes réseau et des GPU, pilotes et images de conteneurs viennent de tiers. Tous doivent être suivis, vérifiés et corrigés.
Des endpoints qui reçoivent des instructions : les API d’inférence et les agents acceptent du langage naturel, ce qui fait entrer l’injection de prompt, l’exfiltration de données et les abus dans le périmètre.

RSSI externalisé (CISO as a service)

Pour les entreprises qui ont besoin d’un responsable sécurité sans recrutement à temps plein, ou d’un RSSI qui comprend l’infrastructure GPU :

Construction de la fonction : organisation sécurité, rôles et équipe multi-pays, dimensionnées pour l’entreprise plutôt que copiées d’un modèle
Gouvernance : politiques de sécurité, registre des risques et feuille de route budgétée, présentée au comité de direction et au comité d’audit
Programmes de conformité : analyse d’écarts et préparation SOC 2, ISO/IEC 27001, NIS2, DORA, RGPD, HIPAA, PCI DSS et AI Act, ainsi qu’aux exigences d’hébergement SecNumCloud ou HDS de vos clients
Régulateurs et clients : échanges avec les régulateurs de la finance, de l’assurance et de la santé, réponses aux questionnaires sécurité et aux due diligences
Continuité d’activité : plans de continuité et de reprise d’activité (PCA, PRA), gestion de crise et simulations de crise grandeur nature
Culture sécurité : programmes de sensibilisation et campagnes d’hameçonnage pour des organisations de 1 000 personnes et plus
Tiers : pilotage des prestataires de sécurité managée, des hébergeurs et des sites de colocation

SecOps

Les opérations de sécurité au quotidien, sur les plateformes que nous concevons et exploitons ou sur les vôtres :

SOC et SIEM : conception du centre opérationnel de sécurité, SIEM construit sur OpenSearch pour maîtriser le coût des journaux, ou pilotage d’un prestataire SOC externe
Détection et réponse : journaux d’audit sur les hôtes, Kubernetes et la couche cloud, détection à l’exécution avec Falco ou Tetragon, playbooks automatisés, tri et escalade des alertes
Zero Trust : un accès fondé sur l’identité pour chaque système, avec moins de faux positifs et un contrôle d’accès plus strict
Posture de sécurité cloud : CSPM, CWPP, WAF et protection DDoS sur AWS et Azure, revues de sécurité Microsoft 365
Gestion des vulnérabilités : analyse des images et des hôtes, rythme de correctifs, suivi des bulletins firmware et pilotes des GPU et cartes réseau
Gestion des accès : authentification unique, accès administrateur juste-à-temps, revues d’accès régulières, rotation des secrets
Réponse aux incidents : confinement, investigation à travers les couches, post-mortems et actions correctives intégrées aux runbooks, avec des simulations de crise pour réduire le temps de rétablissement
Gestion de la surface d’attaque : inventaire continu de ce qui est exposé, dans le cloud comme sur site
Tests : cadrage et suivi des tests d’intrusion et exercices red team, avec des corrections suivies jusqu’à leur clôture

DevSecOps et développement sécurisé

Shift left : SAST et SCA dans la CI/CD, pour trouver les vulnérabilités dans la merge request plutôt qu’en production
Cycle de développement sécurisé : exigences de sécurité, revues de conception et tests de conception sécurité intégrés au processus de livraison
Chaîne d’approvisionnement : images signées, SBOM et politiques de dépendances, du build au déploiement

L’ingénierie sécurité dans chaque construction

La sécurité fait partie de la revue de conception de chaque couche, ce n’est pas une liste à cocher à la fin :

Couche	Contrôles que nous intégrons
Salle informatique	Contrôle d’accès physique, réseau BMC isolé, référentiels firmware signés et versionnés
Fabric	Segmentation EVPN-VXLAN et VRF, partition keys InfiniBand, MACsec si nécessaire, politiques appliquées par DPU
Stockage	Chiffrement au repos et en transit, clés dans un KMS que vous contrôlez, sauvegardes immuables
Cloud et virtualisation	Hyperviseurs et hôtes durcis selon les CIS Benchmarks, aucun compte administrateur partagé
Kubernetes	RBAC, Pod Security Admission, Network Policies, politiques d’admission avec Kyverno ou OPA, images signées
Plateforme IA	Isolation des modèles et des jeux de données par tenant, secrets de courte durée, confidential computing lorsque le matériel le permet
Service des modèles	Authentification, limitation de débit, garde-fous en entrée et en sortie fondés sur l’OWASP Top 10 for LLM

Nous nous appuyons sur des modèles de menace comme MITRE ATT&CK et MITRE ATLAS pour décider quoi protéger en premier, et nous gardons politiques, référentiels de configuration et preuves dans Git : un audit devient une relecture de l’historique, pas une chasse aux captures d’écran.

Les secteurs que nous connaissons

SaaS et éditeurs de logiciels, des scale-ups en forte croissance aux plateformes internationales
Santé et healthtech, avec des données de santé protégées et des dispositifs médicaux
Assurance, réassurance et finance, en Europe et au Moyen-Orient
Laboratoires IA, clouds GPU et opérateurs d’infrastructure, là où nos équipes d’ingénierie travaillent au quotidien

Les référentiels avec lesquels nous travaillons

NIS2 et DORA pour la résilience opérationnelle dans l’UE
ISO/IEC 27001 et SOC 2 pour le management et l’assurance de la sécurité
RGPD, HIPAA et PCI DSS pour les données personnelles, de santé et de paiement
NIST CSF et ISO/IEC 27032 pour les programmes de cybersécurité
L’AI Act pour les obligations liées à l’IA
Exigences SecNumCloud et HDS pour le cloud souverain français et l’hébergement de données de santé
CIS Benchmarks pour le durcissement des systèmes

Notre équipe détient notamment les certifications ISO/IEC 27032 Lead Cybersecurity Manager et une certification de praticien en protection des données. Nous vous préparons aux audits ; la certification de votre organisation est délivrée par des organismes accrédités.

Prêt à sécuriser votre infrastructure ?

Dites-nous où vous en êtes : un cluster à sécuriser, un audit à préparer ou une fonction sécurité à mettre en place. Parlez à un ingénieur.