Qu'est-ce que l'iPaaS dans le cadre d'une intégration axée sur la conformité ?
La plateforme d’intégration en tant que service (iPaaS) a traditionnellement été évaluée en fonction de sa rapidité, de l’étendue de sa connectivité et de l’expérience utilisateur pour les développeurs. Pour les organisations soumises à des cadres réglementaires, ces critères restent pertinents, mais ils passent après un ensemble d’exigences plus strictes : la localisation des données, la journalisation des audits, les contrôles d’accès et la capacité à démontrer à un auditeur que les données ont bien été transférées là où vous l’avez indiqué, conformément aux contrôles que vous avez déclaré avoir mis en place.
L'intégration axée sur la conformité couvre un large éventail de contextes réglementaires. La loi HIPAA régit la circulation des données de santé entre les systèmes. La loi SOX (Sarbanes-Oxley Act) régit les processus de reporting financier et les contrôles qui les encadrent. Le RGPD et ses équivalents régionaux régissent la manière dont les données à caractère personnel (DCP) sont collectées, traitées et conservées. Les programmes FedRAMP et StateRAMP fixent les normes en matière de traitement des données par les administrations publiques. Chaque cadre réglementaire comporte des exigences techniques spécifiques, et la plupart des organisations sont soumises à une ou plusieurs de ces réglementations simultanément.
Les critères d'évaluation évoluent en conséquence. Les certifications, la flexibilité de déploiement, les contrôles de chiffrement, l'accès basé sur les rôles, la traçabilité des données et le niveau de maturité de la politique de sécurité du fournisseur lui-même revêtent tous une importance considérable. Cet article passe en revue les principaux fournisseurs d'iPaaS dans le domaine de la conformité et présente les éléments que les acheteurs doivent connaître avant de les présélectionner.
Qu'est-ce qui rend une plateforme iPaaS adaptée à un déploiement axé sur la conformité ?
La plupart des plateformes iPaaS ont été conçues pour optimiser la vitesse de connexion et la productivité des développeurs. Les fonctionnalités de conformité sont généralement intégrées au fur et à mesure que la plateforme et que la clientèle s'étend à des secteurs réglementés. Cette séquence détermine ce que l'architecture est capable de faire de manière native, par opposition à ce qui nécessite une configuration, des outils tiers ou des processus manuels pour combler les lacunes.
plateforme d'intégration conforme aux exigences réglementaires plateforme prendre en charge :
- Contrôles de localisation des données visant à maintenir celles-ci à l'intérieur de limites géographiques ou réseau définies
- Chiffrement en transit et au repos, avec des options de gestion des clés par le client pour les charges de travail sensibles
- Contrôle d'accès granulaire basé sur les rôles au niveau du pipeline, du projet et du locataire
- Journalisation d'audit immuable qui permet de savoir qui a exécuté quelle opération, à quel moment et avec quelles données
- Certifications pertinentes au regard de votre cadre réglementaire (SOC 2 Type II, accord de partenariat HIPAA (BAA) en matière de disponibilité, autorisation FedRAMP, ISO 27001)
- Modèles de déploiement prenant en charge cloud isolés physiquement, sur site ou cloud privé, selon les besoins
Ces exigences mettent en évidence de réelles différences architecturales entre les plateformes. Une plateforme stocke toutes ses données dans un cloud partagé et multi-locataires aura des difficultés structurelles à respecter certaines exigences en matière de résidence des données, quelles que soient les options de configuration proposées. De même, une plateforme génère des journaux d'audit à titre de fonctionnalité secondaire plutôt que comme élément central de son architecture produit des journaux plus difficiles à justifier en cas d'audit.
La section « Évaluation » à la fin de cet article propose des questions destinées à vous aider à identifier rapidement ces différences.
Les principaux fournisseurs d'iPaaS pour l'intégration axée sur la conformité
Le marché de l'iPaaS comprend des plateformes allant des solutions SaaS cloud, dotées de certifications de conformité, aux plateformes d'entreprise dont l'architecture intègre une flexibilité de déploiement. Les options ci-dessous correspondent aux plateformes les plus couramment évaluées par les équipes informatiques, de sécurité et de gestion des données dans les secteurs réglementés.
MuleSoft (Salesforce)
MuleSoft propose des certifications de conformité standard pour les entreprises (SOC 2 Type II, ISO 27001, HIPAA BAA) et prend en charge le déploiement cloud privé cloud sur site via Runtime Manager et les agents Mule pour répondre aux besoins en matière de localisation des données. Le principal inconvénient pour les acheteurs soucieux de la conformité réside dans la complexité opérationnelle. La flexibilité d’Anypoint s’accompagne d’une interface de configuration qui exige une gestion constante et minutieuse pour garantir la conformité à grande échelle, ce qui, dans la pratique, nécessiterait de disposer d’une équipe d’ingénieurs en intégration dédiée.
Boomi
Boomi est certifié SOC 2 Type II et propose des options de déploiement conformes à la norme HIPAA. Son architecture cloud convient particulièrement aux organisations dont les exigences de conformité sont satisfaites par un environnement SaaS bien contrôlé. Les organisations ayant besoin d’un déploiement sur site ou d’environnements « air-gapped » doivent toutefois considérer le fait que l’environnement d’exécution cloud comme une réelle contrainte. Le réseau de partenaires de Boomi propose des services de mise en œuvre axés sur la conformité afin d’aider à faire correspondre les contrôles plateformeaux exigences spécifiques des référentiels.
Workato
Workato est certifié SOC 2 Type II et ISO 27001, et propose des offres conformes à la norme HIPAA pour le secteur de la santé et les secteurs réglementés connexes. Son accessibilité pour les utilisateurs non techniciens est une arme à double tranchant : la simplicité de l’automatisation en libre-service implique que la gouvernance des accès doit être activement mise en œuvre, et non pas considérée comme acquise. Des contrôles d’accès basés sur les rôles et des fonctionnalités de gouvernance de l’espace de travail sont disponibles, mais pour les programmes de conformité axés sur les risques liés à l’accès aux données, ils nécessitent une configuration réfléchie et une surveillance continue plutôt que de fonctionner «prêts à l’emploi».
IBM App Connect
IBM App Connect présente un niveau de conformité avancé, soutenu par l’infrastructure de sécurité globale d’IBM. L’autorisation FedRAMP, la prise en charge de l’accord BAA HIPAA et toute une série de certifications dans les secteurs public et financier font partie intégrante de son profil bien établi. Cette solution convient particulièrement aux organisations qui font déjà partie de l’écosystème IBM ou qui ont besoin de cet ensemble spécifique de certifications. Les organisations ne s’inscrivant pas dans ce contexte devraient évaluer soigneusement l’impact de la mise en œuvre et la structure des licences par rapport à leurs exigences réelles en matière de conformité. Il ne s’agit pas d’une mise en œuvre aisée.
SnapLogic
La stratégie de conformité de SnapLogic s'appuie sur la flexibilité architecturale du modèle d'agent SnapPlex, qui prend en charge les déploiements cloud, sur site et hybrides au sein d'une même plateforme. Pour les organisations soumises à des exigences de résidence des données qui interdisent à celles-ci de sortir d'un périmètre réseau spécifique, la possibilité d'exécuter le moteur d'intégration sur site tout en le gérant via un plan cloud permet de répondre à ces exigences sans compromettre la visibilité opérationnelle.
La plateforme est certifiée SOC 2 Type II et prend en charge les accords BAA (Business Associate Agreement) conformes à la norme HIPAA pour les charges de travail liées aux données de santé. Des journaux d'audit sont générés au niveau de l'exécution des pipelines, enregistrant les détails (quoi, quand et qui) de chaque transfert de données sous une forme qui correspond directement aux exigences en matière d'audit.
Le contrôle d'accès basé sur les rôles s'étend au niveau des projets et des pipelines, et l'architecture multi-locataires prend en charge l'isolation au niveau des locataires pour les organisations qui gèrent plusieurs unités opérationnelles ou filiales au sein d'une même plateforme . Les contrôles de chiffrement couvrent les données en transit et au repos, avec des options de gestion des clés privées dans les environnements contrôlés par les clients.
L'investissement de SnapLogic dans les capacités de pipeline d'IA est également pertinent pour les organisations soumises à des exigences de conformité qui évaluent actuellement des cas d'utilisation de l'IA. Les exigences de gouvernance relatives aux flux de données d'IA évoluent, et le fait de regrouper l'intégration et l'orchestration de l'IA au sein d'une même plateforme une infrastructure commune d'audit et de contrôle d'accès, permet de réduire la surface de gouvernance.
Comment structurer votre évaluation de la conformité de votre plateforme iPaaS
Tous les fournisseurs d’iPaaS présents sur ce marché disposent d’une page consacrée à la conformité et d’une liste de certifications. Les différences significatives résident dans la manière dont ces certifications se traduisent par les contrôles spécifiques requis par votre infrastructure, et dans la capacité de l’architecture plateformeà prendre en charge ces contrôles en production à grande échelle.
Avant de mener une démonstration de faisabilité ou de lancer un appel d'offres, posez-vous les questions suivantes afin de déterminer quels fournisseurs méritent une évaluation plus approfondie :
- Quelles certifications détenez-vous, et quel est le périmètre d'audit pour chacune d'entre elles ?
- Comment la plateforme -elle plateforme exigences en matière de résidence des données, et quelles données sortent du périmètre du réseau du client en conditions normales d'exploitation ?
- Quelles informations le journal d'audit enregistre-t-il, comment est-il stocké et pendant combien de temps est-il conservé ?
- Comment les contrôles d'accès basés sur les rôles sont-ils mis en œuvre au niveau du pipeline et du projet ?
- Quels sont les modèles de déploiement pris en charge par le moteur d'exécution, et comment chacun d'entre eux est-il géré ?
Soyez attentif à la précision des réponses. Un fournisseur disposant d’une stratégie de conformité bien établie vous fournira de la documentation sur l’architecture de référence, des descriptions du périmètre des certifications et des recommandations de configuration spécifiques pour les cadres que vous avez cités. Les réponses qui se limitent aux certifications marketing sans aborder les détails architecturaux indiquent que la capacité de conformité est moins solide que ne le laisse supposer le label.
Ces questions permettront d'identifier les contraintes structurelles plus rapidement que n'importe quelle matrice de comparaison, et vous éviteront de découvrir des lacunes une fois la plateforme à votre infrastructure de données.
Choisir la bonne taille
Le choix de plateforme la plus adaptée plateforme des cadres réglementaires spécifiques auxquels vous êtes soumis, de vos contraintes de déploiement et du niveau de maturité de votre programme interne de gouvernance en matière de sécurité. Les fournisseurs répertoriés ici constituent tous des options fiables pour des contextes de conformité spécifiques.
Les critères d'évaluation ci-dessus mettent généralement en évidence les différences qui comptent dans la pratique, et il est préférable de les appliquer à vos exigences concrètes plutôt qu'à des listes de contrôle génériques en matière de conformité.
Prêt à découvrir comment l'architecture de conformité de SnapLogic s'adapte à votre contexte réglementaire spécifique ? Suivez une plateforme guidée en autonomie plateforme ou réservez un entretien personnalisé avec notre équipe chargée de la conformité et de l'intégration.
