Sécurité et conformité

Avant d'installer un cluster dans un site, nous demandons à ce site des preuves de la manière dont il est construit et exploité, et non de simples affirmations.

Ces preuves appartiennent au site, et non à 1Legion. Nous les demandons avec leurs numéros de référence, communicables sous accord de confidentialité. Un numéro de référence permet de vérifier un certificat ou un rapport auprès de l'organisme qui l'a délivré, ce que ne permet pas un logo sur un site web.

Nous demandons aussi un espace contigu dans une cage privée ou une salle dédiée, du personnel sur site 24 h/24, 7 j/7 en place avant la mise en production, et un réseau hors bande. La liste complète des exigences figure sur notre page Centres de données.

L'accès à votre matériel est contrôlé et enregistré : l'accès hors bande est audité, et les modifications passent par une gestion des changements écrite.

• Accès hors bande. Le chemin de gestion vers le BMC d'un serveur, sous son système d'exploitation, permet de couper et de rétablir l'alimentation du serveur, de modifier son micrologiciel et d'ouvrir sa console. C'est pourquoi il est audité.
• Gestion des changements. Les modifications de votre cluster suivent une procédure écrite, de sorte que chacune laisse une trace.
• Inventaire et détection des dérives. Un inventaire de référence couvre chaque baie, nœud, GPU, carte réseau, disque, commutateur, port, émetteur-récepteur et câble, et la détection des dérives signale tout écart par rapport à la configuration de référence convenue.

Ces contrôles font partie de nos engagements d'exploitation écrits, aux côtés de la réponse aux incidents et du traitement des pannes matérielles.

Nous vérifions chaque client au regard des règles canadiennes et américaines de contrôle des exportations et de sanctions, et l'entreprise qui utilisera les serveurs remplit trois formulaires d'ouverture de compte avant la signature de tout contrat.

Les trois formulaires d'ouverture de compte

• Ouverture de compte client et vérification préalable : les informations de connaissance du client (KYC), y compris les bénéficiaires effectifs, c'est-à-dire les personnes qui, en dernier ressort, détiennent ou contrôlent l'entreprise.
• Certification relative au contrôle des exportations, aux sanctions et à l'utilisation finale / à l'utilisateur final : une déclaration signée indiquant à quoi serviront les serveurs, et qui les utilisera.
• Attestation de prise de connaissance de la politique d'utilisation acceptable : la confirmation que le client a lu et accepte notre politique d'utilisation acceptable.

Un courtier peut transmettre les formulaires, mais c'est l'utilisateur final, l'entreprise qui utilisera les serveurs, qui les signe.

Règles de vérification

Nous vérifions chaque client selon les règles canadiennes et américaines, y compris le lieu où se trouve le siège de sa société mère ultime.

• Où nos serveurs peuvent être utilisés. Aucun accès depuis les pays et régions suivants, ni aucun résultat envoyé vers eux : Cuba, l'Iran, la Corée du Nord, la Syrie, les régions de Crimée, de Donetsk, de Louhansk, de Kherson et de Zaporijjia, la Russie et le Bélarus.
• Parties soumises à restrictions. Aucune partie figurant sur la liste des Specially Designated Nationals (SDN) de l'OFAC, l'Entity List du BIS, la Denied Persons List ou l'Unverified List, ni sur les listes de sanctions canadiennes de la LMES (SEMA) ou les listes de sanctions de l'ONU. Nous appliquons la règle de détention de 50 % : une entreprise détenue à 50 % ou plus par des parties inscrites est traitée comme inscrite.
• Société mère. Nous n'acceptons pas de clients dont la société mère ultime a son siège en Chine, à Hong Kong, à Macao, en Russie ou dans un pays ou territoire sous embargo. La règle remonte jusqu'à la société mère ultime : elle s'applique donc même lorsque l'entreprise contractante est constituée ailleurs.

Nos démarches SOC 2 et ISO 27001 sont en cours. Notre documentation de sécurité actuelle est disponible sous accord de confidentialité.

Les preuves SOC 2 et ISO 27001 décrites ci-dessus sont celles que nous demandons aux sites ; elles ne constituent pas une déclaration concernant 1Legion. Pour demander notre documentation, contactez-nous.

Chaque client atteste avoir pris connaissance de notre politique d'utilisation acceptable avant de signer, et cette politique précise ce à quoi nos serveurs ne peuvent pas servir.

Elle reprend les règles de contrôle des exportations et de sanctions présentées sur cette page et explique comment nous la faisons appliquer. Lisez la politique d'utilisation acceptable complète, et consultez la page Comment acheter pour savoir où se situe l'ouverture de compte dans le processus contractuel.