Souveraineté des données et assistance Microsoft sécurisée : retour à la réalité.

Si vous faites appel au support unifié Microsoft, vous vous posez probablement une question simple : pouvons-nous obtenir une aide rapide et experte sans mettre nos données en danger ? Selon des rapports récents, la réponse à cette question n'est plus évidente, en particulier pour le secteur public et les charges de travail réglementées.

Les dirigeants ne craignent pas seulement les temps d'arrêt, mais aussi les dangers liés à l'assistance technique elle-même : qui a accès aux tickets, aux journaux et aux sessions en direct, et sous la législation de quel pays ? ProPublica a découvert que Microsoft faisait appel à des ingénieurs basés en Chine pour plusieurs agences américaines (avec des « escortes numériques »). Bien que Microsoft ait pris des mesures pour mettre fin à cette pratique pour les systèmes du ministère de la Défense, des questions subsistent pour d'autres environnements.

US Cloud suit ces évolutions pour les DSI/RSSI et résume les raisons pour lesquelles la juridiction et les artefacts d'assistance (tickets, dumps, enregistrements de session) doivent faire partie de votre modèle de risque, et pas seulement les données de production. Cet article s'adresse aux organisations qui recherchent une assistance Microsoft sécurisée sans ambiguïté quant à la localisation du personnel, aux sous-traitants ou à l'accès transfrontalier.

Quiconque a déjà collé un journal dans un ticket Sev-A à 2 heures du matin sait que le support est un point vulnérable où des secrets ou des informations privilégiées peuvent potentiellement fuiter. Nous vous montrerons comment préserver l'efficacité et la souveraineté des services d'assistance, ce qu'il faut demander à votre fournisseur et ce qu'il faut sécuriser dès aujourd'hui.

• Une enquête journalistique menée en 2025 a révélé que Microsoft avait fait appel à des ingénieurs basés en Chine pour aider à la maintenance de systèmes sensibles du gouvernement américain, sous la supervision à distance d'« escortes numériques » moins bien rémunérées.
• Après la publication du rapport, Microsoft a déclaré avoir cessé de faire appel à des ingénieurs basés en Chine pour le soutien du ministère de la Défense (DoD), mais des questions subsistent concernant d'autres charges de travail fédérales et commerciales.
• Le risque réside dans l'exposition juridictionnelle : les lois de quel pays pourraient imposer l'accès à vos artefacts et sessions d'assistance, quelle que soit la nationalité de l'organisation assistée.
• La loi chinoise sur le renseignement national (article 7) et les mesures connexes augmentent le risque d'accès forcé lorsque l'assistance est fournie depuis la Chine, ce qui fait de la souveraineté des données et de la localisation du personnel d'assistance une question importante en matière de conformité.
• Le support génère naturellement des artefacts sensibles qui peuvent contenir des secrets ou des données réglementées. De nombreux programmes traitent les données de production avec soin, mais négligent ces flux de données de support.
• Agissez dès maintenant : exigez des informations sur la sécurité de vos fournisseurs. Les commentateurs du secteur ont déjà commencé à répertorier ces alternatives.

Lorsque vous ouvrez un ticket Sev A, partagez des journaux ou transmettez un correctif, vous devez souvent créer ou exposer :

• Contenu des tickets et des chats pouvant inclure des configurations, des adresses IP ou des identifiants collés sous la pression du temps.
• Téléchargements de diagnostics (journaux, vidages de mémoire, traces) pouvant contenir des clés, des jetons ou des informations personnelles identifiables.
• Sessions à distance (partage d'écran/administration JIT) qui accordent un accès privilégié pour le dépannage.
• Télémétrie et rapports d'erreurs qui reflètent l'état du système et, parfois, des extraits de données.

Si ces artefacts ou sessions privilégiées sont gérés par du personnel physiquement situé dans une autre juridiction, vos obligations contractuelles et légales (lois du secteur public, règles sectorielles ou politiques internes) peuvent être déclenchées.

Au cours de l'année écoulée, ProPublica s'est intéressé à l'origine du personnel d'assistance de Microsoft. Voici un historique de ce que nous savons sur les personnes qui traitent les tickets Unified dans ces scénarios :

• 15 juillet 2025 : ProPublica a rapporté que Microsoft faisait appel à des ingénieurs en Chine pour aider à la maintenance des systèmes du Pentagone, sous la supervision de « gardes numériques » qui manquaient souvent des compétences techniques nécessaires pour assurer un contrôle efficace.
• 18 juillet 2025 : À la suite de ce rapport, Microsoft a déclaré avoir cessé de faire appel à des ingénieurs basés en Chine pour les systèmes cloud du ministère américain de la Défense (DoD).
• 18-20 juillet 2025 : Plusieurs médias ont relayé cette information et les activités d'examen menées par le gouvernement fédéral.
• 1er août 2025 : ProPublica a établi un lien entre cette pratique et SharePoint, soulignant l'implication d'ingénieurs basés en Chine à une période marquée par d'importantes préoccupations en matière de sécurité.
• 25 juillet 2025 : ProPublica a également fait état d'un soutien chinois à d'autres clients fédéraux (par exemple, le ministère de la Justice, le Trésor), soulignant que l'annonce du ministère de la Défense ne couvrait pas nécessairement toutes les agences.
• Réaction du secteur : l'analyse de US Cloud a résumé la réponse fédérale et souligné l'intérêt pour les alternatives tierces basées aux États-Unis pour les charges de travail sensibles. US Cloud
• Signaux du marché : les commentaires des dirigeants sur LinkedIn ont amplifié les inquiétudes et attiré l'attention des cadres supérieurs sur l'angle SharePoint.

Conclusion : le changement opéré par Microsoft spécifiquement pour le DoD est notable, mais les clients du secteur public et commercial hors DoD ne doivent pas présumer bénéficier de protections identiques sans garanties écrites.

À l'origine de ce problème, il n'y a pas seulement les personnes et le lieu d'où elles fournissent leur assistance. Il y a aussi les lois auxquelles ces experts sont soumis. Si l'assistance est fournie depuis la Chine, le personnel et les entreprises sont soumis aux lois chinoises sur la sécurité nationale et le renseignement. L'article 7 de la loi sur le renseignement national stipule que les organisations et les citoyens doivent « soutenir, aider et coopérer » avec les services de renseignement. Les experts juridiques et les analystes politiques soulignent que cela peut contraindre à fournir une assistance, notamment en matière d'accès aux données et aux systèmes.

Pour un RSSI, cela signifie que l'assistance transfrontalière peut élargir votre surface d'attaque et de contrainte. La souveraineté des données consiste à garantir que vos données (et les artefacts liés à vos données) restent sous votre juridiction et votre contrôle, y compris la couche d'assistance.

• Secteur public : ProPublica a documenté le soutien apporté par la Chine au ministère de la Défense (aujourd'hui modifié), au ministère de la Justice et au Trésor, ce qui implique une exposition au-delà des charges de travail liées à la défense.
• Secteurs réglementés : les services financiers, les soins de santé et les infrastructures critiques font souvent appel à l'assistance technique et transmettent fréquemment des diagnostics pouvant contenir des informations réglementées ou confidentielles (par exemple, des données médicales protégées, des journaux d'authentification, des secrets dans des dumps). Même lorsque les données de production sont séparées, les artefacts d'assistance peuvent réintroduire un risque.

Le support Microsoft sécurisé et le support Microsoft non sécurisé peuvent sembler identiques selon la personne qui fournit ce service. Les scénarios suivants ne présentent aucun risque si vous faites appel à un support réputé, mais ils peuvent poser de sérieux risques pour la sécurité dans le cas d'un support non sécurisé.

• Fuite de tickets : les ingénieurs demandent des « journaux complets » ou des captures d'écran ; des secrets s'immiscent dans des artefacts stockés en dehors de votre région principale.
• Vidéos d'accident et traces : les captures de mémoire peuvent inclure des clés API ou des informations personnelles identifiables ; où sont-elles traitées et par qui ?
• Sessions d'administration à distance : l'accès « Break-glass » augmente les privilèges ; le contenu des sessions peut être observé, enregistré ou soumis à la législation locale.
• Correctifs/révisions des sources : dans les escalades approfondies, les fournisseurs peuvent demander du code ou des configurations, ce qui augmente le risque d'exposition des adresses IP/secrets.

Il s'agit là d'événements courants dans les environnements Microsoft complexes ; ils sont souvent nécessaires pour résoudre des problèmes informatiques complexes. La différence réside toutefois dans le lieu où se trouvent les personnes qui s'en occupent.

Il existe un moyen de contourner le support Microsoft peu sûr. La première étape consiste à faire part de vos préoccupations en matière de sécurité à votre fournisseur. Vous trouverez ci-dessous quelques sujets à aborder avec votre interlocuteur chez votre fournisseur. S'il ne peut répondre à vos questions, vous devrez peut-être faire remonter vos préoccupations ou commencer à envisager d'autres solutions de support.

Si vous pensez que votre assistance Microsoft n'est peut-être pas aussi sécurisée que vous le croyiez auparavant, il existe des stratégies que vous pouvez mettre en œuvre pour aider votre équipe à sécuriser à nouveau votre assistance Microsoft.

Le changement apporté par Microsoft uniquement pour le DoD est un début, mais les agences et entreprises non rattachées au DoD devraient demander par écrit des conditions équivalentes ou plus strictes, en particulier lorsque le secret légal ou les informations personnelles identifiables/informations médicales protégées sont en jeu. Selon certaines informations, le personnel basé en Chine a également soutenu d'autres clients fédéraux par le passé ; posez les questions qui dérangent et consignez les réponses dans vos contrats.

La conformité dans le domaine du support informatique ne se limite pas aux accords de niveau de service (SLA) et aux délais de réponse. Elle concerne également le lieu où travaillent vos assistants, les lois qui les régissent et l'emplacement de vos artefacts. Alignez le support sur la souveraineté des données dès la conception, insistez sur la clarté juridictionnelle et renforcez le parcours de support à l'aide de contrôles techniques et contractuels. Les faits qui émergent en 2025 montrent les enjeux et la voie à suivre.

Réservez dès aujourd'hui un appel avec US Cloud pour commencer à rechercher des solutions de remplacement sécurisées pour le support Microsoft si votre CSAM unifié ou vos représentants ne peuvent pas vous fournir de réponses satisfaisantes.