Déploiement, données et chaîne d’approvisionnement : à clarifier avant la solution.
Cette page écrit au même endroit les formes de déploiement, la souveraineté des données, l’exploitation de sécurité, le filtrage de la chaîne d’approvisionnement et les limites d’usage des solutions nationales. Lors de la prise de contact projet, chaque point est aligné, document par document.
Déploiement et souveraineté des données
Où va le système, à qui appartiennent les données, qui tient les clés : tout est validé dès la phase de conception.
Trois formes de déploiement
Cloud, locaux du client et réseau dédié isolé : les trois formes se choisissent par projet ; la résidence des données suit la juridiction du client, et toute réplication entre zones exige une approbation.
Clés détenues par le client
Les clés peuvent être détenues par le client, ou hébergées dans le service de clés qu’il désigne ; les processus de rotation et de révocation sont exercés avant la mise en service.
Export des données et sortie
Dictionnaire de données, formats d’export et assistance à la sortie sont inscrits au contrat ; à la fin du projet, données et configurations s’emportent intégralement.
Accès minimisé
Les accès de production sont autorisés par poste et par ticket ; les autorisations temporaires sont récupérées automatiquement à l’échéance, et les journaux d’accès sont ouverts au client.
Cadre d’exploitation de sécurité
Comment surveillance, traitement et approbation fonctionnent : écrit point par point.
Exécution par l’IA, approbation humaine
Surveillance et traitement quotidiens sont exécutés par des agents IA ; les actions à fort impact, les changements de politique et les élargissements de périmètre restent soumis à approbation humaine.
Traces dans la chaîne d’audit
Tâches, traitements et escalades laissent des traces continues ; le client peut les relire par période, et les résultats de revérification forment un registre séparé.
Réponse aux vulnérabilités et aux incidents
Découverte, classement, notification et délais de correction sont convenus par niveaux dans le contrat ; nous ne signons que les niveaux que nous pouvons tenir.
Des changements disciplinés
Versions, configurations et politiques : les changements sont enregistrés avant d’être exécutés, réversibles en cas d’échec, et suivis d’une revérification de référence.
Filtrage de la chaîne d’approvisionnement
Équipements et composants passent le filtre avant d’entrer dans une solution.
Ligne rouge de la Section 889
Les équipements et composants de Huawei, ZTE, Hytera, Hikvision et Dahua n’entrent ni dans nos propres environnements, ni dans les solutions livrées, ni dans les chaînes d’approvisionnement des partenaires — y compris sous marque blanche et pour notre usage propre.
Liste des composants
Pour les projets sensibles, une liste des composants et des versions est fournie ; sources et état de maintenance sont vérifiables, et tout composant de remplacement repasse le filtre.
Diligence sur les partenaires
L’entreprise générale et les partenaires locaux font l’objet d’une vérification de l’actionnariat et des parties liées ; la chaîne d’approvisionnement des composants sensibles est expliquée séparément.
Limites d’usage et d’exportation
Ces quatre règles entrent dans les clauses du contrat.
Frontière des sources ouvertes
Les produits de renseignement ne traitent que des informations de sources ouvertes et non classifiées ; la couche classifiée est prise en charge par des partenaires agréés.
Zone interdite : la surveillance individuelle
Pas de génération de gabarits de reconnaissance faciale, pas de fonction de surveillance individuelle de masse.
Exportation évaluée commande par commande
Les projets pour gouvernements étrangers passent d’abord l’évaluation au titre de l’EAR, de l’ITAR et du droit du pays destinataire ; la solution ne se discute qu’après.
Usage des données limité
Les données du client ne servent qu’aux fins du contrat ; elles n’entrent ni dans l’acquisition de clients, ni dans la publicité, ni dans les matériaux d’entraînement de modèles de KINGAI.
- Les limites d’usage, la souveraineté des données et les clauses de sortie peuvent entrer directement en annexe du contrat.
- Pour les projets sensibles, un accord de confidentialité et d’évaluation peut être signé d’abord, avant l’examen des données et de l’architecture.
- Les questions de conformité passent par le canal de prise de contact projet, avec réponse écrite point par point, sur les documents en vigueur.
Examen du projet et documents
La diligence n’a pas à attendre : les documents que l’examen demande, nous les préparons en un jeu, par catégorie ; ils sont livrés en une fois lors de la prise de contact, et alignés point par point, en face à face.
Documents de l’entité et des canaux
Selon le canal d’achat, nous fournissons les documents d’entité en vigueur, les pièces d’enregistrement et les coordonnées des interlocuteurs, dans leur version au moment de la fourniture.
Explications d’architecture et de données
Nous fournissons l’architecture du système, les flux de données, les formes de déploiement et l’organisation des clés, pour l’examen de sécurité du client.
Listes de composants et de chaîne d’approvisionnement
Nous fournissons les listes de composants, de versions et de sources ; la chaîne d’approvisionnement des composants sensibles est expliquée séparément, et tout composant de remplacement repasse le filtre.
Contrôles et registres d’exploitation
Nous fournissons le cadre et des exemples de registres pour le contrôle d’accès, la gestion des changements, les traces d’audit et les revérifications d’exploitation, et nous coopérons aux corrections des écarts du client.
Un jeu complet de documents d’examen
- Documents d’enregistrement de l’entité et pièces des canaux d’achat
- Schéma d’architecture du système et schéma des flux de données
- Explication des formes de déploiement et de l’organisation des clés
- Liste des composants et des versions (avec sources et état de maintenance)
- Documents de gestion du contrôle d’accès et des changements
- Exemples de traces d’audit et de registres de revérification d’exploitation
- Explication du filtrage de la chaîne d’approvisionnement (avec le cadre de diligence sur les partenaires)
Au départ, tout emporter, intégralement
- Export complet des données métier (avec dictionnaire de données)
- Export des configurations et des politiques du système
- Transfert de la documentation d’architecture, d’exploitation et de référentiels
- Remise des clés ou confirmation de leur destruction
Processus de coopération à l’examen
Confidentialité et périmètre
D’abord signer l’accord de confidentialité, et confirmer le périmètre de l’examen et les versions des documents.
Livraison du paquet de documents
Livraison en une fois des versions en vigueur, selon la liste ; les manques sont signalés explicitement, rien n’est caché.
Questions et écarts
Réponses point par point ; les écarts sont mis en liste, avec responsabilités et échéances écrites.
Correction et revérification
Après correction des écarts, revérification et clôture point par point ; les conclusions sont archivées pour consultation.
Questions fréquentes
Les documents que l’examen demande, en combien de temps peut-on les obtenir ?
Livraison en une fois des versions en vigueur, dès la prise de contact — sans attendre. Documents de l’entité et des canaux, explications d’architecture et de données, listes de composants et de chaîne d’approvisionnement, contrôles et registres d’exploitation : les quatre catégories sont préparées en un jeu. On signe d’abord l’accord de confidentialité, on confirme le périmètre de l’examen, le paquet de documents est livré selon la liste, et les manques sont signalés en face à face, sans rien cacher.
Le système peut-il être déployé dans nos propres locaux ou sur notre réseau dédié ?
Oui : les trois formes de déploiement se choisissent par projet. Cloud, locaux du client et réseau dédié isolé sont validés dès la phase de conception ; la résidence des données suit la juridiction du client, et toute réplication entre zones n’est exécutée qu’après approbation.
Données et clés, à qui appartiennent-elles au juste ?
Au client — c’est écrit dans le contrat. Les clés peuvent être détenues par le client lui-même, ou hébergées dans le service de clés qu’il désigne ; les données du client ne servent qu’aux fins du contrat, et n’entrent ni dans notre acquisition de clients, ni dans notre publicité, ni dans nos matériaux d’entraînement de modèles. À la fin du projet, données et configurations s’emportent intégralement, et les clés sont remises ou leur destruction confirmée.
Les équipements des fabricants listés, peut-on faire une exception, une fois ?
Non, sans exception. Les équipements et composants de Huawei, ZTE, Hytera, Hikvision et Dahua n’entrent ni dans nos propres environnements, ni dans les solutions livrées, ni dans les chaînes d’approvisionnement des partenaires ; marque blanche et usage propre sont exclus de la même façon, et tout composant qui les remplace repasse le filtre.
Fournissez-vous des capacités de reconnaissance faciale ou de surveillance des personnes ?
Non — c’est écrit dans les clauses du contrat. Pas de génération de gabarits de reconnaissance faciale, pas de fonction de surveillance individuelle de masse ; les produits de renseignement ne traitent que des informations de sources ouvertes et non classifiées, et la couche classifiée est prise en charge par des partenaires agréés.
Pour lancer un examen de conformité, quelle est la première étape ?
Envoyez directement votre liste d’examen. Soumettez-la par l’entrée « questions de conformité » de cette page ; les quatre catégories de questions — déploiement, données, chaîne d’approvisionnement, qualifications — reçoivent une réponse écrite point par point, sur les documents en vigueur. Pour les projets sensibles, on signe d’abord un accord de confidentialité et d’évaluation, avant d’entrer dans l’examen des données et de l’architecture.
Et ensuite, quel bloc regarder
Vue d’ensemble des solutions nationales
Huit types de scénarios, trois socles et quatre principes de livraison.
Défense de sécurité active MIANGAI
Le cadre de conformité, appliqué dans le système : regardez d’abord les frontières d’autorisation de la page Défense.
Prise de contact projet
Envoyez directement votre liste d’examen : réponse point par point, par documents.
Envoyez directement votre liste d’examen
Déploiement, données, chaîne d’approvisionnement, qualifications : les quatre catégories de questions reçoivent une réponse point par point, sur le cadre et les documents en vigueur.
