1. Le problème que crée le matériel local
Garder l'IA dans les locaux du propriétaire supprime une grande catégorie d'exposition. Cela en introduit une qu'un service cloud n'a pas. Le matériel est physiquement présent, et tout ce qu'il contient aussi.
Pour la plupart des propriétaires, c'est le but. Pour quelques-uns, dans quelques situations, cela pose une question gênante. Que se passe-t-il si le matériel est pris, par vol, par contrainte ou par quelqu'un qui invoque une autorité, et que le propriétaire préférerait que le contenu ne soit pas là pour être emporté ?
2. Ce qu'est le mécanisme
SARION Regent et SARION Sovereign comprennent un mécanisme d'urgence qui permet au propriétaire de déclencher la destruction complète et irréversible du contenu du système. Il s'applique à un incident de sécurité physique, à une menace de saisie, ou à tout cas où le propriétaire a besoin de la certitude qu'il ne reste rien de récupérable.
Ce n'est ni une réinitialisation douce ni un verrouillage. Une fois déclenché, il n'existe aucun chemin de récupération. Il n'y a rien à remettre et rien à extraire, même pour quelqu'un qui détient physiquement le matériel ensuite. C'est la commande manuelle du propriétaire.
Nous décrivons ce que le mécanisme garantit. Nous ne décrivons pas son fonctionnement, et nous en discutons le détail directement avec les clients lors de la consultation.
3. Pourquoi l'irréversibilité est le but
Un mécanisme qui peut être annulé offre une protection plus faible. Si les données peuvent être restaurées, quelqu'un qui a assez d'accès et de temps peut les restaurer, et une personne sous pression peut être contrainte de le faire elle-même.
La garantie qui compte pour un propriétaire est simple : une fois le mécanisme exécuté, le contenu a disparu, pour le propriétaire comme pour tout le monde. Le prix de cette garantie est que le propriétaire perd aussi le contenu, c'est pourquoi la décision de l'employer relève d'une préparation anticipée, pas de l'improvisation.
L'irréversibilité protège contre quiconque obtiendrait les données et coûte au propriétaire ses données. Une famille ne doit accepter cet arbitrage qu'en connaissance de cause, avec un plan de reprise pour tout ce qu'elle ne peut pas se permettre de perdre.
4. Décider des conditions avant l'urgence
Comme l'effet est définitif, les règles d'emploi doivent être écrites par ceux qui vivront avec le résultat.
- Qui peut le déclencher ? Le propriétaire, bien sûr. Qu'une autre personne détienne ce pouvoir est une décision délibérée.
- Dans quelles circonstances ? Définissez les incidents qui le justifient, en termes assez précis pour s'appliquer sous tension.
- Que doit-il exister ailleurs au préalable ? Tout ce que la famille ne peut pas perdre demande une sauvegarde distincte et sécurisée, selon une politique distincte. La destruction sur l'appliance ne doit jamais être la seule façon pour une famille de perdre ses archives.
- Qui est prévenu ensuite ? Le conseil, un responsable de la sécurité et les conseillers concernés doivent savoir ce qui a été fait et pourquoi.
5. La question juridique est réelle
Ce point compte autant que le point technique. Dans beaucoup de pays, détruire une information alors qu'une procédure légale, une enquête ou une obligation de conservation s'applique peut constituer en soi une infraction. Des mandats de perquisition réguliers, des obligations réglementaires de conservation et des gels contentieux peuvent créer des obligations que le mécanisme ne peut pas écarter et dont le propriétaire reste responsable.
Le mécanisme existe pour protéger la confidentialité contre le vol, la contrainte et l'accès illicite. Ce n'est pas un moyen d'échapper à des obligations que la loi impose. Avant la mise en service, un propriétaire doit demander l'avis de son propre conseil dans chaque juridiction concernée sur les cas où l'emploi serait licite et ceux où il ne le serait pas. Rien dans cette note ne constitue un avis juridique.
6. Ce qu'il ne remplace pas
- La sécurité physique. Le contrôle d'accès, la vérification des personnes et une salle sécurisée comptent toujours. Le mécanisme est une dernière ligne, pas la première.
- L'isolation réseau. Le mécanisme manuel d'isolation des niveaux Confidant et Regent répond à un autre risque, l'entrée et la sortie de données depuis l'extérieur.
- La politique de sauvegarde. Comme plus haut, les archives de la famille ont leur propre protection.
- Le jugement. Aucun mécanisme ne décide du moment où il est juste d'agir.
7. Questions pour le propriétaire
- Dans quels scénarios voudrais-je que le contenu disparaisse, plutôt que simplement verrouillé ?
- Qui d'autre, s'il y en a un, doit pouvoir agir ?
- Que perdrais-je, et l'ai-je protégé ailleurs ?
- Quelles sont mes obligations légales dans chaque lieu où le matériel peut se trouver ?
- Les personnes concernées, y compris mon conseil, connaissent-elles la politique ?
8. Disponibilité
La destruction d'urgence est une fonction avancée de SARION Regent et SARION Sovereign. Pour une discussion confidentielle sur sa place dans votre profil de risque, contactez-nous sur volta.quest.