Tout savoir sur les exigences FedRAMP et CMMC

À mesure que les entreprises s’appuient de plus en plus sur l’infrastructure numérique pour se développer efficacement, le risque de cybermenaces et de violations de données continue de croître. Le gouvernement américain a mis en place des cadres de cybersécurité pour relever ce défi, y compris le Federal Risk and Authorization Management Program (FedRAMP) et la Cybersecurity Maturity Model Certification (CMMC). Ce guide explorera ces deux programmes en détail, y compris leurs exigences, avantages et comment obtenir la certification.

Comprendre les cadres de cybersécurité

Avec la croissance rapide des services basés sur le cloud, qui stockent des quantités croissantes de données sensibles susceptibles d’être accédées sans autorisation, la cybersécurité est devenue une priorité absolue pour les entreprises et les gouvernements. Les cyberattaques et les violations de données peuvent entraîner des pertes financières importantes, des dommages à la réputation et des litiges. Le gouvernement américain a établi des cadres de cybersécurité qui standardisent et améliorent les pratiques de cybersécurité à travers différentes industries et secteurs pour relever ces défis.

L’un des cadres de cybersécurité essentiels est le Federal Risk and Authorization Management Program (FedRAMP). FedRAMP fournit une approche standardisée pour l’évaluation de la sécurité, l’autorisation et la surveillance continue pour les services basés sur le cloud utilisés par le gouvernement fédéral. Un autre cadre est la Cybersecurity Maturity Model Certification (CMMC), conçue pour garantir que les entrepreneurs de la défense et les sous-traitants répondent à des exigences de cybersécurité spécifiques avant de soumissionner pour des contrats gouvernementaux.

Exigences et avantages de FedRAMP

Le Federal Risk and Authorization Management Program (FedRAMP) est un programme à l’échelle du gouvernement qui fournit une approche standardisée pour l’évaluation de la sécurité, l’autorisation et la surveillance continue pour les services basés sur le cloud. Le programme a été établi en 2011 pour relever les défis de la sécurité basée sur le cloud et pour promouvoir l’adoption de solutions cloud sécurisées par les agences fédérales. Obtenir l’autorisation FedRAMP offre de nombreux avantages aux entreprises, y compris une confiance accrue avec les agences gouvernementales, une meilleure posture de sécurité et conformité avec les meilleures pratiques, la continuité des opérations et un processus rationalisé pour obtenir l’autorisation. De plus, les entreprises peuvent tirer parti des économies d’échelle grâce au partage des ressources de sécurité, à la réduction des frais de gestion et de vérification, et à la capacité d’offrir des services cloud au gouvernement fédéral.

Quelles sont les exigences de FedRAMP?

Pour obtenir l’autorisation FedRAMP, les fournisseurs de services cloud (CSPs) doivent subir un processus d’évaluation de sécurité rigoureux qui comprend trois phases : Initiation, Évaluation de la sécurité et Autorisation. Au cours du processus d’évaluation, les CSPs doivent répondre aux exigences suivantes :

Mettre en œuvre les contrôles NIST SP 800-53

FedRAMP exige que les CSPs mettent en œuvre les contrôles de la Publication spéciale (SP) 800-53 du National Institute of Standards and Technology (NIST), qui fournissent un ensemble complet de contrôles de sécurité pour les systèmes d’information fédéraux.

Effectuer une évaluation de sécurité indépendante

Les CSPs doivent engager une Organisation d’évaluateurs tiers indépendante (3PAO) pour effectuer une évaluation de sécurité de leur offre de service cloud (CSO).

Obtenir une ATO d’une agence

Les CSPs doivent obtenir une Autorité de Fonctionnement (ATO) d’une agence fédérale avant de fournir leur CSO à cette agence.

Kiteworks affiche une longue liste de réalisations en matière de conformité et de certification.

Quels sont les avantages de la certification FedRAMP?

Obtenir l’autorisation FedRAMP nécessite un investissement considérable de temps et de ressources. La plupart, sinon toutes, les organisations qui ont obtenu l’autorisation FedRAMP admettront, cependant, que les avantages l’emportent largement sur les coûts. En fait, l’autorisation FedRAMP offre plusieurs avantages pour les fournisseurs de services cloud et les agences fédérales, y compris :

Évaluations de sécurité rationalisées

Les CSPs qui souhaitent travailler avec plusieurs agences fédérales peuvent éviter plusieurs évaluations de sécurité en obtenant une certification FedRAMP.

Économies de coûts

Les CSPs peuvent réduire le coût et l’effort associés aux évaluations de sécurité parce que l’autorisation FedRAMP, qui adhère aux exigences de FedRAMP, fournit une approche standardisée et cohérente.

Sécurité améliorée

La certification FedRAMP garantit que les CSPs et leurs plateformes répondent à des normes de sécurité rigoureuses et sont continuellement surveillés pour la conformité.

Service de confiance

La certification FedRAMP offre aux agences fédérales un service cloud sûr et fiable qui répond à leurs exigences de sécurité spécifiques.

Exigences et avantages du CMMC

Le Cybersecurity Maturity Model Certification (CMMC) est un nouveau programme introduit en 2020 pour garantir que les entrepreneurs et sous-traitants du Département de la Défense (DoD) répondent à des exigences de sécurité spécifiques avant de pouvoir soumissionner sur des contrats gouvernementaux. Il est conçu pour s’assurer que les organisations disposent de mesures de sécurité adéquates pour protéger les informations des contrats fédéraux (FCI) et les informations non classifiées contrôlées (CUI) au sein de la base industrielle de la défense (DIB). Le CMMC propose cinq niveaux de maturité croissante, garantissant que les organisations disposent des pratiques et processus nécessaires pour protéger les données gouvernementales et les CUI. La certification CMMC est une opportunité pour les entrepreneurs et sous-traitants de défense de démontrer leur engagement envers la cybersécurité et de prouver au DoD qu’ils prennent au sérieux la protection des informations sensibles.

Quelles sont les exigences du CMMC ?

La certification CMMC exige que les entrepreneurs de défense mettent en œuvre un ensemble de pratiques et processus de cybersécurité répartis sur cinq niveaux. Chaque niveau se construit sur le précédent, le Niveau 1 représentant l’hygiène de cybersécurité de base et le Niveau 5 représentant les pratiques de cybersécurité les plus avancées. (Note : Le CMMC 2.0, introduit en novembre 2021, propose de réduire les niveaux de maturité de cinq à trois dans le but de rationaliser le cadre en le rendant moins coûteux et moins chronophage.) Les exigences du CMMC incluent, sans s’y limiter :

Mettre en œuvre une hygiène de cybersécurité de base

Le Niveau 1 exige que les entrepreneurs de défense mettent en œuvre une hygiène de cybersécurité de base, telle que l’utilisation de logiciels antivirus et la réalisation de sauvegardes régulières.

Documenter les pratiques de cybersécurité

Le Niveau 2 exige que les entrepreneurs de défense documentent leurs pratiques et politiques de cybersécurité, y compris la réponse aux incidents et le contrôle d’accès.

Mettre en œuvre des pratiques de cybersécurité intermédiaires

Le Niveau 3 exige que les entrepreneurs de défense mettent en œuvre des pratiques de cybersécurité intermédiaires, telles que la segmentation du réseau et le chiffrement des données.

Examiner et mesurer l’efficacité des pratiques

Le Niveau 4 exige que les entrepreneurs de défense examinent et mesurent l’efficacité de leurs pratiques de cybersécurité, y compris les évaluations de vulnérabilité et les tests de pénétration.

Optimiser les pratiques de cybersécurité

Le Niveau 5 exige que les entrepreneurs de défense optimisent leurs pratiques de cybersécurité en fonction de l’amélioration continue et des dernières tendances et menaces en matière de cybersécurité.

Quels sont les avantages de la certification CMMC ?

Démontrer la certification CMMC peut augmenter la commercialisabilité, améliorer la posture de sécurité et augmenter la fiabilité d’une entreprise. La certification CMMC peut également aider à rationaliser les processus de sécurité, résultant en une efficacité améliorée, et offrir un avantage sur les concurrents en leur permettant de soumissionner sur des contrats exigeant la conformité CMMC. Les avantages supplémentaires incluent :

Garantir la protection des informations non classifiées contrôlées (CUI)

La certification CMMC garantit que les entrepreneurs de défense ont mis en œuvre des mesures de cybersécurité adéquates pour protéger les CUI, qui sont des informations sensibles qui ne sont pas classifiées mais qui nécessitent néanmoins une protection.

Améliorer la sécurité de la base industrielle de défense

La certification CMMC améliore la sécurité de la base industrielle de défense (DIB) en garantissant que tous les entrepreneurs de défense répondent aux exigences minimales de cybersécurité.

Augmenter la compétitivité des entrepreneurs de défense

La certification CMMC peut augmenter la compétitivité des entrepreneurs de défense en démontrant leur engagement envers la cybersécurité et leur capacité à répondre aux exigences des contrats gouvernementaux.

Rationaliser le processus d’acquisition

La certification CMMC peut rationaliser le processus d’acquisition pour les contrats gouvernementaux en garantissant que tous les entrepreneurs de défense répondent aux mêmes exigences de cybersécurité.

Comment obtenir l’autorisation FedRAMP et la certification CMMC

Obtenir l’autorisation FedRAMP et la certification CMMC peut être des processus complexes et chronophages. Néanmoins, ils sont essentiels pour les fournisseurs de services cloud et les entrepreneurs de défense qui souhaitent faire affaire avec le gouvernement fédéral.

Comment obtenir l’autorisation FedRAMP

Pour obtenir l’autorisation FedRAMP, les fournisseurs de services cloud doivent suivre ces étapes :

Déterminer le niveau de base FedRAMP approprié

Les CSP doivent déterminer le niveau de base FedRAMP approprié pour leur offre de service cloud (CSO) en fonction du niveau de risque et de l’impact sur le système d’information fédéral.

Engager une Organisation d’Évaluation Tiers Partie (3PAO)

Les CSP doivent engager une Organisation d’Évaluation Tiers Partie (3PAO) indépendante pour réaliser une évaluation de sécurité de leur CSO.

Soumettre un dossier au Joint Authorization Board (JAB)

Les CSP peuvent soumettre leur dossier de sécurité au Joint Authorization Board (JAB), qui est composé de représentants du Département de la Défense (DoD), du Département de la Sécurité Intérieure (DHS) et de l’Administration des Services Généraux (GSA).

Obtenir une ATO d’une agence fédérale

Les CSP doivent obtenir une Autorité d’Opération (ATO) d’une agence fédérale avant de fournir leur CSO à cette agence.

Comment obtenir la certification CMMC

Pour obtenir la certification CMMC, les entrepreneurs de défense doivent suivre ces étapes :

Effectuer une auto-évaluation

Les entrepreneurs et sous-traitants de défense doivent effectuer une auto-évaluation pour déterminer leur niveau actuel de maturité en cybersécurité.

Engager une Organisation d’Évaluation Tiers Partie CMMC (C3PAO)

Les entrepreneurs de défense doivent engager une Organisation d’Évaluation Tiers Partie CMMC (C3PAO) pour évaluer leurs pratiques et processus de cybersécurité.

Soumettre l’évaluation au Département de la Défense

Les entrepreneurs de la défense doivent soumettre l’évaluation au Département de la Défense (DoD) pour examen et approbation.

Obtenir un certificat CMMC

Les entrepreneurs de la défense répondant aux exigences du CMMC recevront un certificat valable trois ans.

Kiteworks : Fournir des solutions pour l’autorisation FedRAMP et les exigences de certification CMMC

Le réseau de contenu privé de Kiteworks fournit des services de collaboration sécurisée, de partage de fichiers et de transfert de fichiers pour les entreprises du secteur privé et les agences gouvernementales dans le monde entier. Kiteworks est autorisé par FedRAMP pour les CUI modérés et offre aux organisations une option de déploiement FedRAMP afin de démontrer à leurs clients un engagement envers les niveaux les plus élevés de sécurité et de protection des données.

Kiteworks prend en charge près de 90 % des exigences du niveau 2 du CMMC 2.0 dès le départ. Kiteworks pour la certification CMMC fournit aux entrepreneurs du DoD des solutions conformes pour l’email sécurisé et le partage de fichiers sécurisé, le transfert de fichiers sécurisé comme le transfert de fichiers géré (MFT) et le protocole de transfert de fichiers sécurisé (SFTP), ainsi que les formulaires Web sécurisés, les API, les plugins sécurisés pour les applications d’entreprise comme Salesforce (SFDC), Microsoft Office 365 (O365), Google (G Suite), et d’autres.

Avec Kiteworks, les organisations axées sur la sécurité, comme les entrepreneurs de la défense, peuvent contrôler l’accès aux informations sensibles et garantir que seules les personnes autorisées peuvent accéder et partager des informations. Kiteworks propose plusieurs fonctionnalités de sécurité, y compris une appliance virtuelle durcie, la validation FIPS 140-2, un chiffrement avancé, l’authentification multifactorielle, des intégrations avec des outils de sécurité comme la protection avancée contre les menaces (ATP), la prévention des pertes de données (DLP), la gestion des incidents de sécurité et des événements (SIEM), et plus encore pour protéger le contenu le plus sensible et privé que les organisations partagent, garantissant que les données financières, les contrats, la propriété intellectuelle, et les informations personnelles identifiables et les informations médicales protégées (PII/PHI) sont sécurisées contre l’accès non autorisé et les violations de données.

Kiteworks fournit également un audit complet et des capacités de reporting qui suivent qui envoie quoi à qui et quand, en conformité avec des exigences et normes strictes de confidentialité des données comme la Health Information Portability and Accountability Act (HIPAA), le Règlement Général sur la Protection des Données (RGPD), la California Consumer Privacy Act (CCPA), l’Organisation Internationale de Normalisation (comme ISO 27001), et d’autres. Pour en savoir plus sur comment Kiteworks peut aider votre organisation à répondre aux exigences pour l’autorisation FedRAMP et la certification CMMC, et simplifier le processus d’acquisition pour les contrats gouvernementaux, planifiez une démo sur mesure dès aujourd’hui.

 

Retour au glossaire Risque & Conformité