FedRAMP für den Privatsektor: Auch kommerzielle Unternehmen profitieren von einer FedRAMP-konformen privaten Cloud

FedRAMP für den privaten Sektor ermöglicht es kommerziellen Unternehmen, Cloud-Lösungen zu nutzen, die von der US-Bundesregierung zertifiziert wurden, um strenge Sicherheitskontrollen zu bieten, wie dieser Beitrag erklärt.

Was ist FedRAMP?

FedRAMP ist das Federal Risk and Authorization Management Program, ein behördenübergreifendes Programm, das einen standardisierten Ansatz für die Sicherheitsbewertung, Autorisierung und kontinuierliche Überwachung von Cloud-Produkten und -Diensten bietet, die von US-Bundesbehörden genutzt werden. Es ist darauf ausgelegt, das Risiko zu reduzieren und die Sicherheit von Cloud-Diensten zu verbessern, die von US-Bundesbehörden verwendet werden.

FedRAMP ist nicht nur für Regierungsbehörden gedacht, sondern für jede Organisation, einschließlich des privaten Sektors. Kommerzielle Unternehmen können das FedRAMP-Framework nutzen, um ihre Sicherheitsprozesse zu vereinfachen und eine autorisierte (sprich: auf höchstem Niveau geprüfte) Cloud-Lösung für die Speicherung, Verarbeitung, Weitergabe und Verwaltung sensibler Informationen zu verwenden. Darüber hinaus bietet FedRAMP eine Vielzahl von Tools und Leitfäden, die privaten Organisationen dabei helfen können, die Sicherheit ihrer Cloud-Dienste effektiver zu verwalten.

Indem sie eine FedRAMP-konforme Lösung verwenden, demonstrieren Regierungsauftragnehmer und Unternehmen des privaten Sektors ihr Engagement für den Schutz der vertraulichen Informationen, die sie mit US-Behörden, Kunden, Partnern, Regulierungsbehörden und anderen Interessengruppen teilen.

Was es bedeutet, FedRAMP-konform zu sein

Die Einhaltung von FedRAMP ist entscheidend, da FedRAMP das primäre System ist, das von Bundesbehörden verwendet wird, um Cloud-Dienste zu bewerten und deren Nutzung durch Mitarbeiter zu autorisieren. FedRAMP-konform zu werden, bedeutet, einen strengen Satz von Sicherheitsanforderungen und Prozessen zu erfüllen. Die Verwendung einer FedRAMP-konformen Lösung für Filesharing oder Dateitransfer, sei es E-Mail, Managed File Transfer (MFT), Secure File Transfer Protocol (SFTP) oder ein anderer Kommunikationskanal, ist für jede Organisation entscheidend, die das höchste Sicherheitsniveau für die von ihnen verarbeiteten, gespeicherten und geteilten Informationen nachweisen möchte.

Was sind die Governance-Gremien von FedRAMP?

Die Governance-Gremien von FedRAMP erbringen wertvolle Dienstleistungen für die Bundesregierung, den privaten Sektor und andere Organisationen, indem sie helfen, die Sicherheit und Compliance von Cloud-basierten Computing-Produkten und -Diensten sicherzustellen. Die Governance-Gremien entwickeln und etablieren FedRAMP-Richtlinien und -Leitlinien, setzen sich für eine sichere Cloud-Adoption ein, koordinieren und erleichtern die Implementierung in der Regierung, entwickeln und überprüfen FedRAMP-Baselines, prüfen und genehmigen grundlegende Sicherheitsanforderungen und dienen als Quelle für Informationen, Anleitung und Unterstützung.

Diese Governance-Gremien bieten der Regierung und anderen Organisationen die Gewissheit über die Sicherheit von FedRAMP-konformen Cloud-Computing-Diensten und tragen dazu bei, die Privatsphäre, Integrität und Verfügbarkeit der in der Cloud gespeicherten Daten zu schützen. Zu diesen FedRAMP-Governance-Gremien gehören:

1. FedRAMP Program Management Office (PMO): Dieses Büro ist verantwortlich für die Bereitstellung von Anleitungen, Governance und Überwachung des Programms.
2. FedRAMP Joint Authorization Board (JAB): Das JAB ist verantwortlich für die Autorisierung von Cloud-Service-Angeboten auf der Ebene “Moderate Impact” oder höher und für die Überprüfung und Genehmigung von Richtlinien, Verfahren und Anleitungen für das Programm.
3. Third Party Assessor Organization (3PAO): Diese Organisationen sind vom JAB akkreditiert, um unabhängige Bewertungen von Cloud-Service-Anbietern durchzuführen.
4. FedRAMP Tailored Program: Dieses Programm bietet speziell zugeschnittene Anleitungen und Überwachung für Behörden, die eine Autorisierung zur Nutzung von Cloud-Services auf der Ebene “Low Impact” suchen.
5. FedRAMP Oversight Management Council (FOMC): Der FOMC ist verantwortlich für die Bereitstellung von Anleitungen und Überwachung, um den Erfolg des Programms sicherzustellen.
6. FedRAMP Security Monitoring Working Group (SMWG): Diese Arbeitsgruppe ist verantwortlich für die Bereitstellung von Anleitungen und Best Practices im Bereich Sicherheitsüberwachung innerhalb der FedRAMP-Umgebung.

FedRAMP für Regierungsbehörden

Als Teil seiner “Cloud First”-Initiative zur Förderung der Cloud-Nutzung in der gesamten Bundesregierung wurde das Federal Risk and Authorization Management Program, oder FedRAMP, geschaffen, um Regierungsbehörden zu ermöglichen, die Sicherheitsfähigkeiten von Cloud-Lösungen schnell, gründlich und konsistent zu bewerten.

Als eine von FedRAMP autorisierte Cloud-Lösung haben US-Bundesbehörden die offizielle Bestätigung, dass die Kiteworks-Plattform für sicheres Dateisharing und Governance eine überlegene Lösung ist, um Regierungsmitarbeitern den sicheren Zugriff und Austausch sensibler Informationen zu ermöglichen.

Aber FedRAMP für den privaten Sektor bedeutet, dass auch kommerzielle Unternehmen eine FedRAMP-konforme Cloud-Speicherlösung nutzen können und somit dasselbe Maß an Kontrolle, Sichtbarkeit und Vertrauen genießen, das auch Regierungsbehörden haben, wenn sie sensible Informationen speichern und teilen.

Kiteworks kann eine lange Liste von Compliance- und Zertifizierungserfolgen vorweisen.

FedRAMP für den privaten Sektor

Viele kommerzielle Unternehmen arbeiten mit Regierungsbehörden zusammen und werden nachdrücklich dazu ermutigt, und in einigen Fällen sogar verpflichtet, eine von FedRAMP autorisierte Lösung zum Austausch von Informationen zu nutzen. Ob ermutigt oder vorgeschrieben, der Einsatz einer von FedRAMP autorisierten Lösung zum Austausch sensibler Informationen ist eine bewährte Praxis.

FedRAMP für den privaten Sektor sieht folgendermaßen aus: Ein Herstellerunternehmen, das Komponenten für Raketensysteme produziert. Damit das Unternehmen mit dem Verteidigungsministerium zusammenarbeiten kann, muss es ITAR-konform sein. ITAR, oder International Traffic in Arms Regulations, ist eine Vorschrift, die etabliert wurde, um (lesen: zu begrenzen) den Export von verteidigungs- und militärbezogenen Technologien zu kontrollieren, um die nationale Sicherheit der USA zu schützen. Ein ITAR-Verstoß kann kostspielige strafrechtliche oder zivilrechtliche Strafen, den Ausschluss von zukünftigen Geschäften mit der Regierung und in extremen Fällen Haftstrafen nach sich ziehen. Da hochsensible Informationen geteilt werden, muss das Verteidigungsministerium davon überzeugt sein, dass die Informationen sicher geteilt und gespeichert werden und nur befugten Personen der Zugang gewährt wird.

Weil die Kiteworks-Plattform von FedRAMP autorisiert ist, zeigt die Entscheidung des Komponentenherstellers, sie zu nutzen, dem Verteidigungsministerium ein gemeinsames Engagement für Datensicherheit und Datenschutz.

Aber FedRAMP für den privaten Sektor gilt nicht nur für Regierungsauftragnehmer.

FedRAMP für den privaten Sektor sieht auch so aus: Ein Technologieunternehmen, das ein globales Support-Webportal betreibt, welches es Kunden ermöglicht, große Dateien, Protokolle und Systemdumps hochzuladen und Fallnummern zu erhalten, die den entsprechenden Ordnern zugewiesen werden. Diese Upload-Aktivität erfolgt parallel zu hunderttausenden von Kundengeräten, die “nach Hause telefonieren” und Dateien sowie Systemdumps zu den zuständigen Kundensupport-Teams hochladen. Zu jedem Zeitpunkt gibt es 50-100 gleichzeitige Verbindungen, die Unmengen an Daten auf eigene Lösungen, gemeinsame Laufwerke und einen FTP-Server hochladen. Kurz gesagt, es werden viele Kundendaten generiert, geteilt und gespeichert und all dies muss mit höchsten Sicherheits- und Compliance-Standards erfolgen.

FedRAMP für den privaten Sektor würde es diesem Unternehmen ermöglichen, sicherzustellen, dass das Hochladen und Speichern dieser Daten mit strengen Sicherheitskontrollen gehandhabt wird. Indem das Unternehmen die FedRAMP-konforme Plattform von Kiteworks für diese Dateiübertragungen nutzt, kann das Unternehmen die Gefahr von Datenlecks verringern und seinen Kunden demonstrieren, dass es Sicherheit ernst nimmt.

Welche Arten von Unternehmen müssen FedRAMP-konform sein?

Unternehmen, die Informationen der Bundesregierung verarbeiten, speichern oder übermitteln – sei es in Form von Daten oder Dienstleistungen – müssen eine FedRAMP-Autorisierung besitzen. Dies umfasst Cloud-Dienstanbieter, Software-as-a-Service (SaaS)-Anbieter und andere Organisationen, die Dienstleistungen für die Bundesregierung oder deren Vertragspartner bereitstellen. Beispiele für Unternehmen, die FedRAMP-konform sein müssen, sind: IT-Dienstleister, Telekommunikationsunternehmen, Softwareunternehmen, Gesundheitsorganisationen, Regierungsauftragnehmer und Bildungseinrichtungen.

FedRAMP-Autorisierungsprozess

Der Autorisierungsprozess von FedRAMP beginnt damit, dass ein Cloud Service Provider (CSP) einen System-Sicherheitsplan (SSP) an das FedRAMP Program Management Office (PMO) übermittelt. Das PMO überprüft den SSP und weist eine von FedRAMP PMO anerkannte Dritte Partei Assessoren Organisation (3PAO) zu, die eine unabhängige Sicherheitsbewertung des Systems des CSP durchführt. Sobald die 3PAO die Bewertung abgeschlossen hat, überprüft das PMO die Bewertung und erteilt dem CSP entweder eine vorläufige oder vollständige Betriebsgenehmigung (ATO).

Danach beginnt der CSP mit der Phase des fortlaufenden Monitorings, die ein kontinuierliches Sicherheitsmonitoring, Bedrohungsanalysen und die allgemeine Sicherheitsgesundheit des Systems umfasst. Während dieser Phase muss der CSP den Anforderungen von FedRAMP für Sicherheits- und Audit-Artefakte, System-Sicherheitspläne und Sicherheitsrichtlinien entsprechen. Der CSP muss auch regelmäßige Überprüfungen seines Systems durchführen, um Sicherheitsrisiken oder Schwachstellen zu identifizieren und zu adressieren.

Das FedRAMP PMO überprüft dann die Sicherheitsartefakte des CSP und bescheinigt, dass der CSP den Anforderungen von FedRAMP entspricht. Nach Abschluss der Überprüfung durch das PMO erhält der CSP eine kontinuierliche Monitoring-Betriebsgenehmigung (CM-ATO). Nach Erhalt der CM-ATO kann der CSP dann eine vollständige ATO beantragen, die es dem CSP erlaubt, seine Cloud-Dienste für Bundesbehörden anzubieten.

Der FedRAMP-Autorisierungsprozess ist ein strenges, aber notwendiges Verfahren, das CSPs durchlaufen müssen, um Cloud-Dienste für Bundesbehörden bereitzustellen. Er beinhaltet die Einreichung eines System-Sicherheitsplans, die Durchführung von Sicherheitsbewertungen und die Einhaltung von Anforderungen des fortlaufenden Monitorings. Indem sie diesem Prozess folgen, können CSPs die Sicherheit ihrer Systeme gewährleisten und Dienste für die Bundesregierung mit Vertrauen anbieten.

Kiteworks und FedRAMP für den Privatsektor

Ob Sie FedRAMP für den privaten Sektor oder für Regierungsbehörden benötigen, Organisationen, die die Kiteworks-Plattform nutzen, haben die volle Kontrolle über ihre vertraulichen Inhalte. Sie haben auch volle Sichtbarkeit darüber, wo vertrauliche Inhalte gespeichert sind, wer Zugang dazu hat und was damit gemacht wird. Alle Dateiaktivitäten sind nachvollziehbar und ermöglichen es Organisationen, die Einhaltung einer Vielzahl strenger Regierungsvorschriften nachzuweisen.

Als FedRAMP-autorisierte Cloud-Lösung erfüllt die Kiteworks-Plattform alle in NIST 800-171 aufgeführten Sicherheitsanforderungen.

Wenn kommerzielle Unternehmen sich für die FedRAMP Moderate autorisierte sichere Dateiaustausch- und Governance-Lösung von Kiteworks entscheiden, zeigen sie ihren Partnern und Kunden, dass Datensicherheit höchste Priorität hat. Und das Vorhandensein einer FedRAMP Moderate-Autorisierung als Grundlage für Sicherheitskontrollen verschafft kommerziellen Unternehmen einen deutlichen Wettbewerbsvorteil. Es ist ein Bekenntnis zur höchsten Stufe der Inhaltsicherheit.

Ob Sie die Cloud-First-Politik der Regierung einhalten müssen oder mehr über FedRAMP für den privaten Sektor erfahren möchten, die FedRAMP-autorisierte sichere Dateiaustausch- und Governance-Plattform von Kiteworks kann Ihnen helfen.

Zusätzliche Ressourcen

• Glossar Was ist ein FedRAMP Compliance Provider?
• eBook FedRAMP Private Cloud: Der Goldstandard für die Kommunikation sensibler Inhalte
• Brief Kiteworks Enterprise – Warum FedRAMP-gehostet vs. Standard-gehostet
• Blogbeitrag Beste FedRAMP-autorisierte Lösung für E-Mail-Sicherheit
• Blogbeitrag FedRAMP-Autorisierung für die sichere Filesharing-Plattform von Kiteworks
• Kitetoon Knute entdeckt, dass FedRAMP-Autorisierung ein Muss für einen DoD-Deal ist