FAQ sur le centre de confiance

Notre tout premier client, c’est nous. Fervent utilisateur de nos propres solutions, notamment d'Elastic Security, Nous nous engageons à vous proposer des produits et des services qui ont été testés dans un environnement de production réel avant d'être largement distribués. Nous utilisons nos produits dès que nous le pouvons, et pas seulement pour les logs. L'équipe d'Elastic chargée de la sécurité des informations utilise les fonctionnalités d'Elasticsearch Platform pour créer, monitorer, détecter et répondre aux événements de sécurité au quotidien.

Visitez Elastic on Elastic et Elastic Security pour en savoir plus.

Elastic a officiellement adopté un système de gestion de la sécurité des informations (ISMS) qui est certifié ISO 27001, notamment ISO 27017 et ISO 27018. Notre politique de gouvernance en matière de sécurité des informations constitue la colonne vertébrale de toutes nos politiques, normes et directives de sécurité des informations. Notre ISMS comprend des mesures techniques et organisationnelles exhaustives, appropriées et conçues pour protéger vos données de cluster contre tout accès, modification ou suppression non autorisé.

Nous avons établi des contrôles d'accès pour authentifier l'identité des personnes qui accèdent aux systèmes qui traitent les données de cluster de nos clients. Le but de ces contrôles est de veiller à ce qu'aucun utilisateur non autorisé n'ait accès à de tels systèmes, et que les personnes autorisées n'aient accès qu'aux éléments appropriés à leur rôle. Parmi ces contrôles, citons notamment l'authentification multifacteurs, les normes sur la complexité des mots de passe et les réseaux privés virtuels (VPN) pour l'accès administratif. Nous avons également mis en œuvre un logging centralisé, comprenant les logs de proxy, les logs d'accès, les logs Elasticsearch et les logs Auditbeat, afin de consigner les accès aux données de cluster des clients et aux systèmes sur lesquels elles se trouvent.

Les solutions adossées à la recherche d'Elastic Cloud sont hébergées sur des plateformes cloud certifiées, gérées par des fournisseurs majeurs d'infrastructure-as-a-service (IaaS), dont Amazon Web Services (AWS), Google Cloud et Microsoft Azure. Elastic vérifie les certificats et pratiques de sécurité de ses sous-traitants pour s'assurer que les mesures de sécurité physique mises en place sur les sites où les données d'Elastic Cloud sont traitées et stockées sont appropriées.

Une alerte de sécurité Elastic (ESA) est une notification d'Elastic à ses utilisateurs qui les informe des problèmes de sécurité rencontrés dans les produits Elastic. Elastic attribue aussi bien un CVE qu'un identifiant ESA à chaque alerte et fournit un résumé et des informations concernant la résolution et l'atténuation. Nous annonçons toutes les nouvelles alertes sur le forum des annonces de sécurité, et vous pouvez les suivre via un flux RSS.

Pour Elastic, le partenariat avec la communauté de la sécurité est précieux et l’objectif commun est de garantir la sécurité de nos utilisateurs — et d’Internet. Veuillez signaler toute vulnérabilité de sécurité potentielle affectant l’un des produits Elastic, le service Elastic Cloud ou le site elastic.co via notre programme de signalement de bugs HackerOne. Pour en savoir plus sur la portée et les règles de participation, veuillez consulter la politique de notre programme HackerOne.

Conformément aux principes de divulgation coordonnée de vulnérabilités, Elastic analyse les vulnérabilités de sécurité potentielles pour déterminer les éventuelles recommandations d'atténuation ou mises à jour de produit et en coordonne la divulgation au moyen des alertes de sécurité Elastic (ESA) et du programme CVE. Merci de ne pas publier ni partager d'informations concernant des vulnérabilités potentielles sur un forum public tant que nous n'avons pas fait de recherches sur le problème rencontré et que nous n'y avons pas apporté de solution.

Les utilisateurs et les clients peuvent signaler tout autre problème de sécurité potentiel à security@elastic.co. Vous pouvez utiliser cette adresse pour toute demande relative à la sécurité (des produits ou autre) qui n'est pas explicitement mentionnée ici. (Cette adresse ne traite que les problèmes de sécurité.) Si vous souhaitez signaler un bug, passez par la base de données des bugs du projet correspondant ou via le support technique Elastic. Si vous souhaitez chiffrer le message que vous souhaitez nous envoyer, utilisez notre clé PGP. L'empreinte digitale est la suivante :

1224 D1A5 72A7 3755 B61A 377B 14D6 5EE0 D2AE 61D2

Cette clé est disponible par l'intermédiaire de nos serveurs de clés. Cherchez 'security@elastic.co'. Exemple sur OpenPGP

Chez Elastic, nous sommes conscients que nous avons tous un rôle à jouer en ce qui concerne la sécurité. C'est pourquoi nous avons intégré la sécurité dans le développement de nos produits et dans les bases d'Elastic Cloud.

C'est à vous qu'il revient ensuite d'assurer la sécurité et la confidentialité des données que vous placez dans Elastic Cloud : veillez à configurer le cluster Elasticsearch de manière appropriée et à préserver la confidentialité de vos identifiants de connexion Elastic Cloud.

Pour vous aider, voici quelques points à garder en tête :

• Ne communiquez pas vos identifiants à d'autres personnes.
• Mettez à jour le profil de votre compte pour veiller à ce que les informations qui s'y trouvent soient exactes et à jour.
• Ajoutez des contacts opérationnels selon les besoins.
• Définissez des mots de passe sécurisés.
• Faites preuve de prudence lorsque vous activez des plug-ins personnalisés sur vos déploiements Elastic Cloud.
• Envisagez de mettre en place une option demandant le nom des index lorsque vous entamez une action de suppression.

Si vous devez effectuer des modifications qui ne sont pas disponibles dans la console Elastic Cloud, veuillez créer un ticket de support technique Elastic. Si vous pensez qu'un compte a été compromis, écrivez à security@elastic.co. Et si vous devez faire une demande d'effacement, contactez l'équipe Elastic chargée de la confidentialité des données.

Oui, les données sont chiffrées au repos via AES-256 et en transit via TLS 1.2.

Nous évaluons minutieusement chacun de nos fournisseurs afin de nous assurer qu'ils respectent les normes d'Elastic en matière de sécurité et de conformité. Elastic s'associe aux principaux fournisseurs d'IaaS afin de proposer Elastic Cloud. Chacun de ces fournisseurs est régulièrement soumis à des audits tiers indépendants, y compris un audit SOC 2 et une certification ISO 27001 au minimum, afin de prouver la sécurité de ses services. Nous passons ensuite en revue ces rapports d'audit et ces certifications dans le cadre de notre programme de gestion des risques tiers.

Elastic étudie également le code tiers et publie des listes des dépendances open source tierces des produits Elastic.

Au moins une fois par an, des tiers réalisent des tests de pénétration sur les applications et sur le réseau par rapport à Elastic Cloud. Contactez votre représentant de compte ou l'équipe de sécurité Elastic pour obtenir une copie de la synthèse du test.

Nous gérons un framework de développement logiciel sécurisé (SSDF) basé sur la norme NIST 800-218 et nous suivons les bonnes pratiques de sécurité en termes de conception et d'architecture afin de produire des logiciels « sécurisés dès la conception » et « sécurisés par défaut ». Notre SSDF dicte le processus pour concevoir, développer, déployer, suivre et assurer la maintenance de tous les logiciels Elastic en toute sécurité. Il comprend également les exigences pour protéger nos systèmes de version et atténuer les risques de compromission de la chaîne des versions.

Les données que vous nous confiez restent les vôtres. Nous utilisons vos données uniquement aux fins prévues dans votre accord, par exemple pour vous fournir le service pour lequel vous payez. Nous mettons en œuvre des mesures de sécurité strictes pour préserver vos données et vous fournir les outils et fonctionnalités nécessaires pour que vous puissiez contrôler vos données selon vos préférences.

Nous traitons les données que vous placez dans Elastic Cloud afin de remplir nos obligations contractuelles et de fournir les services demandés.

• Les données que vous nous confiez restent vos données. Nous les traitons uniquement aux fins prévues par votre accord.
• En aucun cas nous ne les revendons à des tiers.
• Nous nous engageons à faire preuve de transparence, à respecter les réglementations applicables telles que le Règlement général sur la protection des données (RGPD) et la loi California Consumer Privacy Act (CCPA), ainsi qu’aux bonnes pratiques en matière de confidentialité.
• La préservation de votre vie privée passe par la protection des données que vous nous fournissez. La sécurité et la confidentialité sont deux critères incontournables dans la conception de l'ensemble de nos produits.

Nous comprenons l'ampleur de la responsabilité qui nous incombe pour offrir des expériences de recherche de pointe tout en protégeant vos données. C'est pourquoi nous travaillons assidûment pour gagner votre confiance. La sécurité est essentielle dans tout ce que nous faisons, qu'il s'agisse de la supervision du conseil et de la gouvernance exécutive au sommet de l'organisation ou de la façon dont nous intégrons et formons continuellement chaque Elasticien. Nous avons obtenu un ensemble complet d'audits et de certifications de conformité de pointe pour le service Elastic Cloud et notre système de gestion de la sécurité des informations (ISMS). Ces audits et certifications sont la preuve que des pratiques de sécurité efficaces sont inhérentes à toutes nos activités, comme le développement et le déploiement de produits, la gestion des vulnérabilités, la gestion des incidents et les processus de gestion des menaces.

Elastic Cloud utilise des fournisseurs de services cloud, comme Amazon Web Services (AWS), Microsoft Azure et Google Cloud Platform (GCP). Nous proposons des options d'hébergement dans le monde grâce à chacun de nos fournisseurs de service cloud. Vous pouvez sélectionner la région dans laquelle vous souhaitez héberger vos déploiements pour répondre au mieux à vos besoins en matière de résidence des données. Par défaut, les sauvegardes sont stockées dans la même région que votre déploiement.

Elastic n'a pas accès aux données contenues dans les déploiements auto-gérés. Pour fournir notre offre Elastic Cloud, un nombre limité d'employés d'Elastic bénéficient d'un accès privilégié à notre environnement de production. Nous conservons cet accès uniquement à des fins de gestion, de maintenance et de support de la plateforme.

Elastic adhère au principe du moindre privilège lorsqu'il s'agit de fournir un accès aux utilisateurs internes. Les employés d'Elastic ne se voient accorder que le niveau d'accès nécessaire à leur rôle. Nous révisons régulièrement les droits d'accès et modifions les permissions en conséquence en cas de changement d'emploi ou autres circonstances dans lesquelles l'accès d'un utilisateur n'est plus nécessaire.

Notre équipe chargée de la sécurité des informations, de la détection et de la réponse aux menaces a également développé et mis en œuvre des règles de détection pour repérer les activités de comptes internes suspectes et les accès non autorisé, avec notamment le monitoring de l'intégrité des fichiers et les indicateurs d'usurpation de compte ou d'exfiltration des données. Ces règles de détection font partie de workflows automatisés qui alertent l'équipe en cas d'activité suspecte et qui déclenchent une enquête par les analystes.

Les produits Elastic comprennent également des contrôles d'accès basés sur les rôles pour permettre à nos clients de mettre en œuvre une gestion d'accès granulaire pour les utilisateurs au sein de leurs déploiements Elastic et de la plateforme de gestion d'Elastic Cloud.

Oui, nous faisons appel à certains sous-traitants pour l'infrastructure et le support client afin de fournir des services à nos clients. Les sous-traitants que nous sollicitons dépendent de l'emplacement des données, des services et des fonctionnalités dont vous vous servez. (Consultez les listes de nos sous-traitants externes ou internes ).

Pour tout transfert de vos données au-delà des frontières d'un pays, nous nous conformons à la législation applicable. Nous avons mis en œuvre des mesures de protection appropriées pour protéger vos données lorsqu'elles sont traitées par nos sous-traitants, notamment en concluant des accords de traitement des données et des mécanismes de transfert approuvés (tels que les clauses contractuelles types et la conformité au cadre de protection des données – voir ci-dessous), ainsi qu'en mettant en œuvre des mesures supplémentaires. Nous disposons de processus robustes pour passer en revue les contrôles de confidentialité et de sécurité concernant les sous-traitants qui ont accès aux données personnelles des clients.

Les fonctionnalités d'Elastic Cloud soutiennent la conformité au RGPD et à d'autres lois mondiales sur la protection des données et la vie privée :

• Nous mettons l'accent sur la sécurité de vos données personnelles grâce à des mesures techniques et organisationnelles efficaces par défaut, qui font régulièrement l'objet de tests et de validations.
• Nous proposons un addendum concernant le traitement des données conforme au RGPD, vous aidant à respecter vos obligations contractuelles au titre du RGPD.
• Elastic se conforme au Data Privacy Framework concernant le traitement des données personnelles reçues de l’Union européenne, du Royaume-Uni et de la Suisse.
• C'est vous qui choisissez le fournisseur de service cloud qui hébergera les données que vous stockerez dans Elastic Cloud, ainsi que la possibilité de sélectionner votre région de déploiement d'Elastic Cloud.

Outre ces fonctionnalités, Elastic met en place des équipes de confidentialité et de sécurité dédiées. Ces équipes supervisent notre conformité au RGPD et à d'autres lois applicables sur la confidentialité, tout en traitant les données personnelles au nom de nos clients.

Elastic est une entreprise mondiale et nous pouvons être amenés à transférer des données personnelles provenant de l'EEE, de la Suisse ou du Royaume-Uni vers des entreprises affiliées à Elastic qui ne sont pas européennes, ainsi qu'aux organisations tierces nécessaires pour fournir nos services. (Ces entreprises et leurs adresses sont indiquées dans la section concernant les sous-traitants ci-dessus.) Dans de tels cas, nous nous appuyons sur les clauses contractuelles types (CCT) actuelles — y compris le module responsable du traitement-sous-traitant ou sous-traitant-sous-traitant (selon le cas) avec nos clients et le module sous-traitant-sous-traitant avec nos sous-traitants de second rang — sur notre participation au cadre de protection des données pour les transferts de données européens vers les États-Unis, ainsi que sur des mesures complémentaires robustes.

Oui. Elasticsearch, Inc. se conforme au Data Privacy Framework UE-États-Unis, à l'extension britannique du Data Privacy Framework UE-États-Unis, et au Data Privacy Framework Suisse-États-Unis (collectivement, le « Data Privacy Framework ») tel que défini par le Département du Commerce des États-Unis. Elastic a certifié auprès du Département du Commerce qu'elle adhère aux principes du framework de protection des données en ce qui concerne le traitement des données personnelles reçues de l'Union européenne, du Royaume-Uni et de la Suisse, selon le cas, en se fondant sur le framework de protection des données.

Consultez la notice de certification d'Elastic en vertu du framework de confidentialité des données.

Pour en savoir plus sur le programme données Privacy framework et consulter notre certification, veuillez consulter https://www.dataprivacyframework.gov/s/.

Notre but est de vous aider à respecter les lois et réglementations mondiales. À la lumière des directives du Comité européen de la protection des données (EDPB) suite à l'application des règles de l'arrêt « Schrems II », nous nous sommes penchés sur nos pratiques, que nous avons étudiées dans le détail pour nous assurer que les transferts de données internationaux respectent les exigences en matière de protection des données.

• Elastic ne contrôle pas les données que nos clients ingèrent dans Elastic Cloud. Elastic estime que ses services ne relèvent généralement pas du champ d'application des lois américaines sur la surveillance.
• Si nous recevions une demande d'une autorité publique concernant les données des clients, nous suivons les principes et procédures établis pour gérer ces demandes, qui incluent des protocoles pour contester la demande, informer les parties concernées et solliciter des dérogations aux interdictions de notification lorsque cela est approprié.
• Nous proposons des mesures supplémentaires robustes pour protéger vos données, parmi lesquelles le chiffrement des données à la fois en transit et au repos pour préserver la confidentialité et l'intégrité de vos données tout au long de leur parcours.
• Les clients d'Elastic Cloud ont la possibilité de sélectionner des serveurs européens pour l'hébergement afin de répondre au mieux à leurs besoins de résidence des données. Par défaut, les sauvegardes sont également configurées dans la même région que vous sélectionnez pour votre déploiement.
• Elastic a certifié sa conformité au cadre de protection des données framework concernant le traitement des données personnelles reçues de l'Union européenne, du Royaume-Uni et de la Suisse (voir ci-dessus).
• Les clauses contractuelles standard (SCC) peuvent être utilisées pour protéger les transferts de données. C'est possible notamment dans le cas où les clients optent pour un hébergement aux États-Unis ou interagissent avec notre entité américaine, ou dans le cadre de transferts d'Elastic à ses sous-traitants.
• Nous évaluons et développons continuellement nos dispositifs de protection contractuels, techniques et organisationnels afin de protéger les transferts de données.

Nous proposons plusieurs mesures supplémentaires pour garantir la protection de vos données dans Elastic Cloud. Nous nous engageons à limiter le traitement des données client au strict minimum possible lors de la fourniture de nos services. Nous avons mis en place des processus, des structures organisationnelles et des mesures techniques dans l’ensemble de notre entreprise pour garantir que nous respectons — ou dépassons — les principes mondiaux de confidentialité.

Elastic s'engage contractuellement à prendre des mesures appropriées de protection des données et de confidentialité dans le cadre de notre addendum concernant le traitement des données, qui inclut les SCC, ainsi que notre addendum concernant la sécurité des informations. Nous examinons et mettons à jour régulièrement notre addendum concernant le traitement des données pour qu'il reflète les exigences applicables de confidentialité des données, notamment les dispositions suivantes :

• Le traitement des données personnelles est exécuté uniquement selon vos instructions.
• Nous nous contentons d'héberger vos données dans la région que vous sélectionnez.
• Tout le personnel autorisé à traiter des données personnelles est soumis à des politiques, procédures et accords de confidentialité stricts.
• Vous pouvez récupérer, corriger ou supprimer les données personnelles que vous mettez dans Elastic Cloud à tout moment.
• Nous vous informerons si nous recevons une demande de divulgation concernant vos données, sauf si la loi nous en interdit la divulgation.
• Nous sommes totalement transparents concernant nos sous-processeurs, qui sont également soumis aux mêmes normes strictes et exigences organisationnelles. Nous sommes responsables des actes et oublis de ses sous-traitants, au même titre que si nous fournissions nous-mêmes ce service.

Nous concevons nos produits pour vous aider à protéger les données de votre entreprise, vous conformer aux réglementations mondiales et entretenir la confiance. Nous appliquons des normes de sécurité de pointe :

• Chiffrement des données en transit et au repos : Elastic applique des procédures de gestion des clés de chiffrement et chiffre les données client en transit et au repos grâce à des messages cryptés avec la norme AES-128 bits au minimum.
• Mises à jour et correctifs réguliers du système : pour aider à réduire la probabilité d’incidents liés aux vulnérabilités, les instances Elasticsearch sont déployées sur les noyaux des systèmes d’exploitation les plus récents, avec application des correctifs appropriés dès qu’une vulnérabilité/exposition commune est découverte dans un composant logiciel.
• Utilisation de prestataires de services majeurs : les services d'Elastic sont hébergés dans des data centers gérés par des prestataires de services majeurs, qui proposent des mesures de sécurité techniques et organisationnelles de pointe, conçues pour protéger les données qu'ils hébergent.
• Contrôles d'accès : Elastic met en œuvre des contrôles techniques, logiques et administratifs conçus pour limiter l'accès aux données aux utilisateurs autorisés, notamment des processus d'authentification multifacteurs. En outre, Elastic met en œuvre un logging centralisé, comprenant les logs de proxy, les logs d'accès, les logs Elasticsearch et les logs Auditbeat pour consigner les accès aux données des clients et les systèmes sur lesquels elles se trouvent.
• Détection et réponse aux incidents : nous avons mis en place et actualisons en permanence des règles de détection des activités suspectes et des accès non autorisés, y compris des indicateurs de contrôle de l'intégrité des fichiers et de prise de contrôle des comptes. Ces règles de détection font partie de workflows automatisés qui alertent l'équipe en cas d'activité suspecte et qui déclenchent une enquête par les analystes.

Nous avons mis en place des structures organisationnelles robustes dans toute l'entreprise, afin de démontrer notre engagement sans failles consistant à respecter, voire dépasser, les principes mondiaux de confidentialité :

• Programmes de sécurité et de confidentialité : nous assurons la maintenance de programmes complets de sécurité de l'information et de confidentialité des données qui comprennent des mesures appropriées conçues pour protéger vos données.
• Cadre de confidentialité des données : Elastic a certifié sa conformité avec le cadre de protection des données personnelles concernant le traitement des données personnelles reçues de l'Union européenne, du Royaume-Uni et de la Suisse. Pour en savoir plus sur le programme Data Privacy Framework, et pour consulter notre certification, veuillez visiter https://www.dataprivacyframework.gov/s/.
• Principes d'Elastic concernant les demandes des autorités publiques d'informations sur les clients : nous disposons de principes et de procédures pour gérer toute demande d'accès aux informations client formulée par les autorités publiques, incluant des protocoles pour contester ces demandes, informer les parties concernées et solliciter des dérogations aux interdictions de notification. Consultez les principes d'Elastic concernant les demandes d'informations sur les clients émanant des autorités publiques.
• Évaluations de l'impact des transferts : nous avons évalué le risque d'interférence avec les données des clients dans les différents pays où nous pourrions les transférer. Nous mettons périodiquement à jour ces évaluations en fonction des évolutions réglementaires.
• Gestion de la chaîne d'approvisionnement : nous procédons à une sélection et à un contrôle rigoureux de nos fournisseurs. Nous informons nos clients à l'avance de tout changement apporté à nos sous-traitants.
• Autres politiques internes : nous disposons de politiques internes qui régissent l'utilisation et l'accès aux données personnelles. Ces politiques nous permettent de gérer de façon appropriée les violations de données, les demandes d'accès aux données, la conservation des données et les politiques de contrôle d'accès.
• Normes industrielles : Elastic a officiellement adopté un programme de sécurité des informations conforme à la norme ISO 27001, incluant ISO 27701, ISO 27017 et ISO 27018. La politique de gouvernance en matière de sécurité des informations d'Elastic constitue la colonne vertébrale de toutes nos politiques, normes et directives de sécurité des informations. Un tiers indépendant a audité et certifié les services Elastic Cloud au moyen d'un rapport de conformité SOC 2 Type 2.
• Tests réguliers : nous réalisons périodiquement des tests de vulnérabilités sur le réseau et les applications, et nous mettons en œuvre des procédures pour documenter et résoudre les vulnérabilités découvertes pendant les tests de vulnérabilité et de pénétration.
• Formation des employés : nous demandons à tous les employés de suivre une formation sur la sécurité de l'information et la protection des données et de la vie privée au moment de leur embauche, puis une fois par an au minimum.

Nous avons établi les principes d'Elastic pour les demandes d'informations des clients par les autorités publiques, qui adhèrent aux lois applicables en matière de protection des données et à votre contrat client. Elastic divulguera vos données ou en fournira l'accès uniquement dans la mesure où cela est strictement requis par la loi. En aucun cas nous ne divulguerons vos données en masse, de manière disproportionnée ou à tort et à travers, au-delà de ce qui est nécessaire dans une société démocratique.

Nous n'avons jamais créé de porte dérobée ni de passe-partout pour aucun de nos produits ou services, et nous n'avons jamais autorisé aucune instance gouvernementale à accéder directement ou en toute liberté à nos serveurs.

À ce jour, Elastic ne s'est pas engagée dans des activités qui mériteraient d'être divulguées dans un rapport de transparence. Nous n'avons donc pas publié de tels rapports. Si de nouveaux développements, des exigences réglementaires ou les bonnes pratiques du secteur l'exigent, nous nous réservons le droit de modifier notre approche.

Pour en savoir plus sur la façon dont Elastic collecte et utilise les données personnelles, consultez nos déclarations de confidentialité ci-dessous :

Déclaration générale de confidentialité

Déclaration de confidentialité relative aux produits

Déclaration de confidentialité relative aux candidats

Déclaration relative aux droits en matière de protection de la vie privée en Californie

Déclaration de confidentialité d'Elastic concernant les cookies

Déclaration de confidentialité libre et ouverte

Nous nous engageons à adhérer aux réglementations mondiales concernant la confidentialité, y compris le RGPD et le CCPA. Pour soumettre une demande d'exercice des droits des personnes concernées, contactez l'équipe Elastic chargée de la confidentialité des données.

Elastic Cloud est conforme aux directives ISO 27001, ISO 27017, ISO 27018, SOC 2 Type II, CSA CCM 4.0, PCI-DSS, HIPAA, Cyber Essentials+ et NIS2 pour les fournisseurs de services cloud, ainsi qu'à d'autres frameworks industriels, comme TISAX. Pour en savoir plus, consultez notre page sur la conformité.

Elastic Cloud est certifié aux niveaux d'impact FedRAMP Moderate et FedRAMP High, et peut être déployé sur AWS GovCloud (US). Les utilisateurs des administrations fédérales, étatiques et locales, ainsi que les établissements d'enseignement supérieur et les utilisateurs manipulant des données gouvernementales peuvent s'inscrire dès aujourd'hui.

Nous nous engageons à respecter les normes éthiques les plus strictes et à nous conformer à l’ensemble des lois applicables, tout en assurant la protection des données qui nous sont confiées. Veuillez consulter notre page sur l’éthique et la conformité d’entreprise pour plus de détails, y compris notre Code de conduite professionnelle et d’éthique, notre Code de conduite des fournisseurs, ainsi que nos politiques de signalement d’alerte.

Elastic est une entreprise technologique et nous nous engageons à exercer nos activités avec honnêteté et intégrité, dans le strict respect des lois et réglementations des États-Unis qui limitent les exportations et qui régissent les activités commerciales internationales. Nous nous engageons notamment à respecter les sanctions commerciales, les contrôles en matière d’exportation et les lois et réglementations applicables à la lutte contre le boycott. Nos clients et prospects demandent souvent le numéro ECCN affecté à nos produits. Tous nos produits payants sont classés sous ECCN 5D002.c.1 et éligibles pour l'exportation en vertu de l'exemption de licence ENC conformément à la Section 740.17 (b)(1) des règlements américains en matière d'administration des exportations.

Consultez une liste détaillée et actualisée des ECCNs des produits. Ces informations peuvent changer étant donné que nous développons de nouveaux produits et ajoutons de nouvelles fonctionnalités. Aussi, consultez systématiquement le tableau d'ECCN le plus récent publié par Elastic. Nous vous invitons en outre à consulter votre conseiller en exportation pour déterminer en quoi lesdites informations affectent vos exportations ou l'utilisation des produits Elastic.

Oui. Elastic dispose d’un programme formel de gouvernance de l’IA conforme au framework de systèmes de management de l’IA ISO/IEC 42001:2023. Tous les outils d’IA et cas d’utilisation font l’objet d’un examen et d’une approbation par une équipe d’examen pluridisciplinaire composée de représentants de la sécurité de l’information, du juridique, de l’informatique et de l’ingénierie. Cette équipe évalue la qualité des performances, la provenance des données d’entraînement, les risques juridiques et réglementaires, ainsi que les fonctionnalités de sécurité avant qu’une capacité d’IA ne soit approuvée pour utilisation. Un registre des systèmes d’IA utilisés est tenu à jour, et les rôles et responsabilités liés à l’IA sont définis officiellement.

Les fonctionnalités d’IA d’Elastic sont fournies dans une infrastructure certifiée selon les normes ISO/IEC 27001:2022, ISO/IEC 27017, ISO/IEC 27018, ISO/IEC 27701:2019, SOC 2 Type II et PCI DSS v4.0, ainsi que dans des configurations éligibles à la conformité HIPAA (pour Elastic Cloud Hosted et Serverless). Elastic entreprend actuellement les démarches nécessaires pour obtenir la certification ISO/IEC 42001:2023. Les cas d’utilisation de l’IA d’Elastic ont été évalués et ne sont pas considérés comme « à haut risque » au sens du règlement européen sur l’intelligence artificielle (AI Act). Toutefois, les clients restent responsables de déterminer si leurs workflows personnalisés ou certains usages opérationnels entraînent l’application d’exigences supplémentaires relatives aux systèmes à haut risque. Les fonctionnalités d’IA fournies par l’intermédiaire de l’Elastic Inference Service et des assistants IA relèvent du périmètre des mesures de contrôle de sécurité de ces certifications.

Elastic a évalué ses fonctionnalités d’IA comme ne présentant pas de « risque élevé » au titre du règlement européen sur l’IA. Elastic AI Assistant et Elastic Inference Service sont des outils à usage général destinés aux cas d’utilisation de recherche, de sécurité et d’observabilité, ils ne relèvent pas des catégories à haut risque énumérées dans le règlement européen sur l’IA, telles que la prise de décisions en matière d’emploi, l’identification biométrique, l’accès aux services essentiels ou le contrôle des infrastructures critiques. Toutes les sorties de l’IA sont fournies à titre consultatif, une supervision humaine étant nécessaire avant toute action ayant des conséquences. Comme la classification juridique dépend du contexte opérationnel final, les clients restent responsables de leurs implémentations spécifiques. Si un client intègre Elastic AI à des workflows personnalisés relevant des catégories à haut risque visées à l’annexe III du règlement européen sur l’IA, il agit en tant que déployeur d’IA au sens du règlement et est responsable du respect des obligations de conformité qui incombent aux déployeurs.

Les clients disposent de trois options :

• Utilisez les LLM gérés par Elastic via EIS : le service d’inférence d’Elastic donne accès aux modèles de fournisseurs tels qu’Anthropic, OpenAI (GPT), Google (Gemini), Meta et Amazon. Afficher tous les modèles pris en charge par EIS.
• Apportez votre propre LLM : les clients peuvent configurer leurs propres connecteurs tiers de LLM (par ex., Azure OpenAI Service, Amazon Bedrock, OpenAI, Google Vertex). Dans ce cas, le modèle et toutes les pratiques relatives aux données associées sont régis par le contrat conclu entre le client et ce fournisseur.
• Refus : les clients peuvent choisir de ne pas utiliser les fonctionnalités d’IA générative. Elastic propose également des modèles d’IA non générative — ELSER, E5 et Elastic Rerank — qui fonctionnent entièrement au sein du cluster du client.

Non. Elastic AI Assistant est conçu comme un outil consultatif. Il présente les sorties (résumés, requêtes recommandées, actions suggérées et informations contextuelles enrichies) aux équipes chargées des opérations afin qu’elles puissent les examiner. La confirmation de l’utilisateur est requise avant la mise en œuvre de toute suggestion, et l’Assistant n’exécute pas de manière autonome d’actions sur les systèmes de production. Elastic Agent Builder peut être configuré par les clients pour activer des workflows agentiques, mais la portée et les autorisations de toute action automatisée sont définies et contrôlées par le client, et l’accès de l’agent est limité aux données auxquelles l’utilisateur à l’origine de la demande est autorisé à accéder.

Oui. Elastic a réalisé des tests d’intrusion couvrant EIS et les fonctionnalités d’IA associées, notamment des tentatives automatisées et manuelles d’injection de prompt et de jailbreak. Les constatations sont suivies dans le cadre du processus standard de gestion des vulnérabilités d’Elastic. Un rapport de test d’intrusion et un addendum sont disponibles pour les clients remplissant les critères requis, via le profil d’assurance d’Elastic, à l’adresse assurance.elastic.co.

Tous les nouveaux outils d’IA et cas d’utilisation font l’objet d’un examen formel avant leur approbation, qui prend en compte la provenance des données, les vulnérabilités connues, les risques de biais et les fonctionnalités de sécurité applicables. Des évaluations de l’impact des systèmes d’IA sont réalisées pour les modèles développés par Elastic. Le programme de gouvernance de l’IA d’Elastic comprend une déclaration formelle d’applicabilité couvrant tous les contrôles de l’annexe A de la norme ISO/IEC 42001, des politiques d’IA documentées, des processus d’évaluation des risques, ainsi que des rôles et des responsabilités définis. Les fournisseurs d’IA tiers font également l’objet d’une évaluation portant sur la sécurité, la conformité et la sûreté avant d’être intégrés au service d’inférence géré d’Elastic.

Elastic fournit des modèles de Machine Learning propriétaires et non génératifs pour des tâches telles que la recherche sémantique (plongement), l’amélioration de la pertinence (reclassement) et la détection des anomalies. Ces modèles s’exécutent entièrement au sein du cluster Elasticsearch du client et n’effectuent aucun appel réseau externe. Aucune donnée client ne quitte l’environnement Elastic suite à l’utilisation de ces modèles. Ils sont disponibles sur Elastic Cloud Hosted, Elastic Cloud Serverless et les déploiements autogérés.

Les modèles intégrés d’Elastic sont entraînés uniquement à partir de données publiques et open source. Les données des clients ne sont jamais utilisées pour entraîner, valider ou affiner ces modèles. Les performances des modèles sont évaluées publiquement à l’aide de tests de référence standard mesurant la précision de la recherche. Les biais et l’équité sont également évalués au cours du développement des modèles, conformément au cadre de gouvernance de l’IA d’Elastic.

Les artefacts des modèles de ML intégrés sont distribués dans le cadre du processus standard de publication logicielle d’Elastic et sont soumis aux mêmes procédures de gestion des vulnérabilités et des correctifs qui s’appliquent à l’ensemble des produits d’Elastic. Les mises à jour des modèles sont fournies par le biais des mises à niveau standard des produits. Pour les déploiements Elastic Cloud Hosted et Serverless, Elastic gère et applique les mises à jour des modèles. Pour les déploiements autogérés, le client est responsable de l’application des mises à jour des produits.

Elastic Inference Service (EIS) est la passerelle gérée d’Elastic qui achemine les requêtes d’inférence d’IA générative vers un ensemble sélectionné de fournisseurs tiers éprouvés de grands modèles linguistiques (LLM), notamment OpenAI, Anthropic, Amazon, Google et Meta. EIS est disponible sous la forme d’un service entièrement intégré et sans configuration sur Elastic Cloud Serverless, et en tant que service optionnel sur Elastic Cloud Hosted ainsi que sur les déploiements autogérés (à partir de la version 9.0+ d’Elastic Stack avec une licence Entreprise via Cloud Connect). Tous les fournisseurs d’EIS opèrent dans le cadre d’accords de non-rétention des données avec Elastic, ce qui signifie que les charges utiles d’inférence ne sont ni stockées ni utilisées par ces fournisseurs pour l’entraînement de modèles.

Oui. Les clients peuvent configurer leurs propres connecteurs de LLM tiers (par exemple, Azure OpenAI Service, Amazon Bedrock ou tout point de terminaison compatible) comme alternative au service EIS géré d’Elastic. Dans cette configuration, le trafic d’inférence circule directement depuis le déploiement Elastic du client vers le fournisseur de LLM de son choix, conformément au contrat du client. Elastic n’a aucune visibilité sur ce trafic, et les pratiques relatives aux données ainsi que les contrôles de sécurité associés à cette voie sont entièrement régis par le contrat liant le client à son fournisseur de LLM.

Elastic effectue des tests visant à détecter les attaques par injection de prompts dans le cadre d’évaluations de sécurité offensives réalisées par des tiers. Les vulnérabilités identifiées sont ensuite suivies selon les procédures standard de gestion des vulnérabilités. Elastic AI Assistant prend en charge l’anonymisation configurable des données avant l’envoi du contexte au LLM ; les clients peuvent définir des règles d’anonymisation pour masquer les champs sensibles (tels que les adresses IP ou les noms d’utilisateur) dans la fenêtre de contexte avant sa transmission. Toute faiblesse liée à l’injection de prompt identifiée lors des tests est traitée conformément au framework de développement logiciel sécurisé (SSDF) d’Elastic.

La persistance de l’historique des conversations dans Elastic AI Assistant est désactivée par défaut. Si un administrateur client l’active, les enregistrements de conversation sont stockés dans un index Elasticsearch contrôlé par le client au sein de son propre déploiement — et non dans l’infrastructure d’Elastic. Les administrateurs clients peuvent supprimer des enregistrements de conversation individuels ou effacer tout l’historique des interactions avec l’IA via les API de gestion des index Elasticsearch ou l’interface de gestion des données de Kibana. Elastic prend en charge la suppression des données en fournissant une attestation écrite à la résiliation du contrat.

Télécharger la FAQ complète sur l’IA des produits Elastic (PDF)

Nous utilisons l’IA générative dans nos solutions pour aider nos clients et utilisateurs à accomplir un large éventail de tâches :

• Security : aide nos clients et utilisateurs à répondre aux incidents et à détecter les alertes plus rapidement
• Observability : accélère l'analyse des causes premières
• Search : fournit aux développeurs des outils pour créer des applications de recherche modernes et conversationnelles

Nous utilisons également l'IA générative dans le Support AI Assistant de notre hub de support technique, qui s'appuie sur la documentation interne d'Elastic pour répondre aux questions fréquentes des clients. Ceux-ci peuvent choisir de ne pas utiliser les fonctionnalités d'IA générative d'Elastic, et nous n'exploitons pas les données des clients pour entraîner Elastic AI.

Les données client restent la propriété du client. Elastic ne traite ces données qu’aux fins spécifiées dans le contrat du client et ne vend jamais les données client à des tiers. Les plongements, les champs enrichis et les autres sorties d’inférence stockés dans les index du client sont conservés conformément aux politiques de conservation et de cycle de vie des index définies par le client, qui peut les supprimer à tout moment.

Les déploiements Elastic Cloud sont hébergés sur AWS, GCP et Microsoft Azure, et les clients sélectionnent la région géographique de leur déploiement, où sont hébergées les données du déploiement. Elastic Inference Service (EIS) est un service géré distinct, disponible dans certaines régions AWS et GCP. Lorsque EIS est utilisé, les requêtes d’inférence sont acheminées vers la région disponible la plus proche, qui peut différer de la région où le déploiement du client est hébergé. La sélection de la région s’applique à l’emplacement d’hébergement de votre déploiement ; elle ne s’applique pas au routage de l’inférence EIS. Les requêtes ELSER et Jina sont traitées entièrement au sein de l’infrastructure d’inférence d’Elastic ; les requêtes adressées aux grands modèles de langage peuvent impliquer un traitement supplémentaire par les fournisseurs de modèles concernés, qui peuvent opérer sur différentes plateformes cloud ou dans différentes régions.

Elastic traite les données personnelles des clients conformément à l’avenant relatif au traitement des données applicable. Elasticsearch, Inc. est certifiée au titre du cadre de protection des données UE-États-Unis, de son extension britannique et du cadre de protection des données Suisse-États-Unis, et s’appuie sur les clauses contractuelles types pour les transferts transfrontaliers, complétées par des mesures telles que le chiffrement des données en transit et au repos et des options d’hébergement régional.

Les données client sont chiffrées au repos à l’aide d’AES-256 et en transit via TLS 1.2 ou une version ultérieure. Les contrôles d’accès basés sur les rôles s’étendent aux fonctionnalités d’IA, permettant un contrôle granulaire des index et des outils auxquels les agents et les clés API peuvent accéder. Pour le serveur MCP d’Agent Builder, les outils s’exécutent dans le périmètre de la clé API présentée par le client qui se connecte — Elastic recommande des clés API en lecture seule dont la portée est limitée à un index et qui sont assorties de dates d’expiration, afin que les données exposées aux agents et aux clients externes respectent le principe du moindre privilège.

Lorsque des clients externes (par exemple, des applications compatibles MCP) se connectent aux outils d’Agent Builder par l’intermédiaire des serveurs MCP ou A2A, les requêtes qu’ils envoient et les données d’index renvoyées dans les résultats des outils sont traitées. L’accès est limité aux privilèges de la clé API utilisée, de sorte que les clients contrôlent précisément les index et les outils qui sont exposés.

Elastic collecte automatiquement certaines données d’utilisation du produit liées à l’utilisation des fonctionnalités d’IA, qui sont traitées comme décrit dans la Déclaration de confidentialité des produits Elastic. Dans les déploiements sur site et certains déploiements hybrides, les clients peuvent limiter ou désactiver cette collecte dans la configuration du produit ; dans les déploiements cloud (SaaS), elle est nécessaire au bon fonctionnement du service.

Consultez la fiche de confidentialité d’Elastic AI

Consultez l’avenant relatif au traitement des données / la confidentialité du Centre de confiance

Elastic Cloud est disponible sur les plus grands fournisseurs de services cloud au niveau mondial. Lancez des déploiements sur Elastic Cloud dans les régions que nous prenons en charge avec Amazon Web Services (AWS), Microsoft Azure et Google Cloud (GCP). Consultez notre liste à jour.

Veuillez visiter la page relative au statut d'Elastic Cloud pour consulter des informations sur sa disponibilité.