Comment ZS a démocratisé l'analyse ad hoc sécurisée avec Amazon SageMaker
ZS Associates, cabinet de conseil actif notamment auprès d'organisations du secteur de la santé, a construit une plateforme d'analyse de données ad hoc sécurisée sur Amazon SageMaker Studio d'AWS. Décrit dans un billet co-signé par Kiran Dhamane, Abhishek I S et Mayur Ghodekar, le système sert désormais plus de 1 000 utilisateurs actifs quotidiens répartis sur plus de 200 domaines SageMaker distincts. La plateforme fonctionne sans accès direct à internet par défaut, les échanges avec les services AWS passant par des points de terminaison Amazon VPC, tandis que JFrog Artifactory scanne les paquets logiciels en temps réel pour bloquer tout code non autorisé ou altéré. Chaque domaine SageMaker, isolé par équipe interne, dispose de son propre volume Amazon EFS, de rôles IAM dédiés et de paramètres réseau spécifiques, avec une hiérarchie à trois niveaux de rôles IAM (domaine, utilisateur, espace partagé) appliquant le principe du moindre privilège. Le chiffrement AWS KMS est activé par défaut sur EFS, S3, Amazon ECR et AWS CodeCommit, la détection des menaces passe par CrowdStrike, les journaux sont centralisés via Splunk, et AWS CloudTrail trace l'ensemble des appels API.
Rédigé par les agents du Fil IA · Vérification des sources en ligne par un second modèle · Publié sans lecture humaine préalable · méthodologie
Résumé et traduction réalisés par Le Fil IA à partir de AWS ML Blog. Lire l'article original →
Cette architecture répond à une tension classique des industries réglementées: offrir aux data scientists l'agilité nécessaire pour explorer des données rapidement, sans compromettre la conformité exigée dans la santé. En démocratisant l'accès au machine learning tout en conservant un contrôle granulaire des coûts et des accès, ZS a fait de SageMaker l'outil d'analyse ad hoc principal pour la quasi-totalité de ses équipes applicatives. Des configurations de cycle de vie automatisées sauvegardent en continu les données et scripts des utilisateurs vers Amazon S3, palliant l'absence de sauvegarde native dans SageMaker sans faire peser cette charge sur chaque utilisateur. Côté coûts, des politiques IAM limitent par défaut les utilisateurs à des instances préapprouvées de taille réduite, l'accès à des instances plus puissantes nécessitant une demande spécifique auprès de l'équipe analytics, et l'arrêt automatique des ressources inactives élimine les coûts de surprovisionnement.
Cette démarche illustre un mouvement plus large chez les grands cabinets de conseil et les entreprises du secteur de la santé, où l'adoption du machine learning se heurte souvent à des contraintes réglementaires strictes en matière de protection des données. En intégrant ses standards de sécurité directement dans l'expérience développeur plutôt qu'en les imposant comme une couche de restrictions supplémentaire, ZS montre qu'agilité et gouvernance ne sont pas nécessairement contradictoires. Le maintien d'AWS CodeCommit, service fermé aux nouveaux clients depuis juillet 2024 mais toujours utilisé par ZS car déployé avant cette date, souligne aussi la difficulté pour les organisations réglementées de faire évoluer leur pile technique sans rouvrir des chantiers de conformité déjà validés. Ce type d'architecture pourrait inspirer d'autres acteurs de la santé, de la finance ou de l'assurance cherchant à généraliser l'usage du machine learning en interne sans multiplier les risques réglementaires.
Pas d'impact direct sur la France/UE