DÉPLOIEMENT
Nous ne nous connectons jamais à votre réseau.
Qaraba C.R.I n'ouvre aucune connexion entrante vers votre système d'information. Vos données sortent de chez vous, dans le sens que vous choisissez et au rythme que vous fixez.
LE PRINCIPE
Le flux est toujours sortant.
C'est la première question d'un questionnaire de sécurité fournisseur, et souvent celle qui élimine. Un éditeur qui demande une règle de pare-feu entrante ou un compte à privilèges dans votre annuaire ajoute une surface d'attaque à celle qu'il prétend réduire.
Nous avons construit l'inverse : trois modes de raccordement, et dans les trois, aucun serveur Qaraba n'atteint jamais vos systèmes.
MODE 01
Export de fichiers
Aucune connexion, aucun agent, aucun compte à créer chez vous
Vos équipes exportent depuis vos outils existants - annuaire, référentiel d'habilitations, inventaire d'actifs - et déposent les fichiers dans un espace chiffré. C'est le mode retenu pour le programme pilote.
Ce que cela implique
- Formats acceptés : CSV et LDIF
- Aucun accès réseau accordé à Qaraba, dans aucun sens
- Aucun logiciel installé sur votre infrastructure
- Rapport de contrôle après chaque dépôt : lignes acceptées, rejetées, anomalies
- Rythme choisi par vous, du quotidien au trimestriel
MODE 02
Interface d'ingestion
Vos outils poussent. Nous ne tirons rien.
Vos systèmes envoient les données vers une interface authentifiée par clé, dont la portée est limitée aux seuls types d'objets que vous autorisez. Le flux est toujours sortant depuis chez vous.
Ce que cela implique
- Clé d'accès à portée limitée, révocable à tout instant
- Chiffrement du transport, journalisation de chaque appel
- Aucune règle de pare-feu entrante à ouvrir
- Idempotence : rejouer un envoi ne crée jamais de doublon
MODE 03
Connecteurs en lecture seule
Un collecteur chez vous, qui lit et pousse vers nous
Pour automatiser sans exposer votre réseau, un collecteur s'exécute dans votre infrastructure. Il lit vos référentiels en compte de service à droits minimaux et pousse le résultat vers Qaraba. Aucun serveur Qaraba n'atteint jamais vos systèmes.
Ce que cela implique
- Annuaires : Active Directory, LDAP, fournisseurs d’identité
- Référentiels d'actifs et de configuration
- Sorties de scanners de vulnérabilités
- Compte de service en lecture seule, périmètre défini avec vous
- Code du collecteur auditable par vos équipes
PÉRIMÈTRE DES DONNÉES
Ce que nous lisons, ce que nous ne lisons pas.
Le périmètre est contractuel, pas déclaratif. Il figure dans l'accord de traitement des données et il est vérifiable dans le rapport de chaque import.
CE QUE NOUS LISONS
- Identifiants techniques des comptes et des identités
- Rattachements : qui détient quel compte sur quelle application
- Droits et rôles attribués, avec leur date
- Métadonnées des actifs : nom, criticité, exposition
- Références de vulnérabilités et écarts de conformité
CE QUE NOUS NE LISONS JAMAIS
- Mots de passe et empreintes de mots de passe, sous aucune forme
- Contenu des courriels, des documents ou des bases métier
- Données personnelles des clients de votre organisation
- Journaux de navigation ou de communication de vos collaborateurs
- Aucune donnée nécessaire au calcul du risque ne relève de ces catégories
RÉVERSIBILITÉ
Vos données restent les vôtres.
L'enfermement propriétaire est un argument de vente pour certains éditeurs. Ce n'est pas le nôtre : un client qui reste parce qu'il ne peut pas partir n'est pas un client satisfait.
Nos engagements
- Export complet de vos données dans un format ouvert, à tout moment
- Suppression définitive sur demande écrite, avec attestation
- Aucune conservation au-delà de la durée contractuelle
- Vos données ne servent jamais à entraîner un modèle
- Aucune revente, aucun partage, aucune finalité publicitaire
ÉTAT D'AVANCEMENT
Le programme pilote démarre avec l'export de fichiers.
C'est le mode le plus simple à faire accepter par une direction sécurité, et celui qui ne demande rien à vos équipes d'infrastructure. L'interface d'ingestion et les connecteurs en lecture seule suivent, avec les organisations qui les demandent. Nous préférons l'annoncer plutôt que de laisser croire que tout existe déjà.