Transfert sécurisé de fichiers conforme à FedRAMP

Si vous êtes un entrepreneur du Département de la Défense (DoD), la solution de transfert sécurisé de fichiers (MFT) que vous utilisez pour échanger des CUI et FCI doit répondre aux exigences rigoureuses de FedRAMP. Ne pas le faire risque de non-conformité avec le CMMC, ce qui peut entraîner des amendes et sanctions coûteuses, ainsi que la perte de contrats gouvernementaux. En résumé, la non-conformité doit être évitée à tout prix.

Cependant, si votre logiciel de transfert sécurisé de fichiers est conforme à FedRAMP, vous pouvez être assuré que les données fédérales que vous transférez le sont avec les normes les plus élevées en matière de sécurité cloud.

Dans cet article, nous explorerons les exigences en matière de fonctionnalités dont les entrepreneurs de la défense et autres sous-traitants gouvernementaux ont besoin dans leur solution de transfert sécurisé de fichiers pour s’assurer que le logiciel adhère à FedRAMP et est donc conforme au CMMC.

Le processus de certification CMMC est ardu mais notre feuille de route de conformité CMMC 2.0 peut aider.

Pourquoi FedRAMP est important

FedRAMP est un cadre de conformité requis par le gouvernement fédéral pour tous les fournisseurs de services cloud (CSP) qui souhaitent travailler avec des agences fédérales. Il utilise différentes spécifications technologiques et de sécurité, principalement la publication spéciale 800-53 du NIST, pour définir les exigences de sécurité pour tout CSP traitant des informations gouvernementales fédérales.

Bien qu’il existe plusieurs autres cadres de conformité fédérale pertinents pour les fournisseurs de TI dans l’espace fédéral, FedRAMP est un cadre de conformité fondamental pour les fournisseurs cloud qui souhaitent travailler avec une agence fédérale.

FedRAMP est crucial pour toutes les agences gouvernementales et les contractants, mais particulièrement pour le DoD et pour les contractants et sous-contractants de la défense car cela garantit que les informations sensibles relatives aux initiatives et programmes du DoD restent confidentielles et hors de portée du personnel non autorisé, y compris les cybercriminels et les États voyous.

Le processus de certification FedRAMP est long et rigoureux, et il comprend des tests et audits nécessaires effectués par des Organisations d’Évaluation Tierces Partie (3PAOs) qualifiées. Mais une fois la certification achevée, le CSP est considéré comme autorisé FedRAMP et ses offres de produits sont approuvées pour être utilisées avec les agences fédérales et les contractants et sous-contractants partenaires.

Exigences pour l’autorisation FedRAMP

Au cœur, FedRAMP exige des CSP d’adopter des contrôles (spécifiés dans NIST 800-53) liés à différentes zones potentielles d’intrusion. Cela inclut des contrôles dans des familles telles que :

• Contrôle d’accès
• Sensibilisation et formation
• Audit et responsabilité
• Évaluation des risques
• Protection physique et environnementale
• Entre autres

Ces contrôles détaillent ce qu’un CSP doit mettre en œuvre, compte tenu des données qu’ils gèrent. Selon ces informations, le CSP peut avoir besoin de contrôles plus avancés en place pour obtenir la certification.

FedRAMP est-il obligatoire ?

Oui, FedRAMP est obligatoire pour tous les fournisseurs de services cloud (CSP) traitant, stockant ou partageant des données fédérales, y compris les informations classifiées contrôlées (CUI). Toutes les acquisitions de services cloud par les agences fédérales doivent obtenir l’autorisation FedRAMP avant utilisation. La mise en œuvre de FedRAMP garantit que toutes les agences fédérales disposent d’une base de sécurité convenue avant de pouvoir utiliser des services cloud. Cela permet également aux agences d’adopter rapidement et de manière rentable des solutions cloud tout en maintenant un environnement sécurisé et en protégeant les données du gouvernement. En fin de compte, se conformer à FedRAMP aidera les agences à protéger leurs réseaux et données lors de la migration vers le cloud.

Niveaux d’impact FedRAMP : Lequel me faut-il ?

Le cadre FedRAMP catégorise les exigences système en différents « Niveaux d’Impact » qui soulignent les différents types de données qu’un CSP pourrait stocker ou gérer. Ces niveaux sont définis dans FIPS 199, qui catégorise les données et les responsabilités des agences utilisant ces types de données sur la base de critères tels que la confidentialité, la sécurité et l’intégrité nécessaire.

En utilisant ces critères, FedRAMP définit ses trois Niveaux d’Impact comme Faible, Modéré et Élevé :

1. Impact Faiblefait référence aux contrôles nécessaires pour protéger les informations dont la perte, le vol ou les dommages auront un impact minimal sur l’agence ou les citoyens. Généralement, ces données sont déjà publiques par quelque moyen, mais nécessitent toujours une protection dans un environnement cloud.
2. Impact Modéréfait référence aux contrôles qui protègent les données dont la perte, le vol ou les dommages auront un impact significatif sur le fonctionnement d’une agence ou de ses constituants. Ces contrôles couvrent les données privées qui peuvent causer un préjudice financier ou, dans certains cas, même un préjudice physique, selon les informations.
3. Impact Élevéfait référence aux contrôles qui protègent les données privées dont les dommages ou le vol causeront un impact catastrophique à une agence ou à ses constituants. La perte de ces données peut significativement ou complètement nier la capacité d’une agence à même continuer son opération. De plus, la perte de ces données pourrait causer une perte financière sévère ou un préjudice physique, incluant la perte de vie.

À mesure que les enjeux de protection et de conformité augmentent dans ces trois catégories d’Impact FedRAMP, le nombre de contrôles nécessaires pour chaque catégorie augmente également.

Le Niveau d’Impact, et le volume de contrôles que vous devez mettre en place ou avoir en place, dépend du type de données que vous gérez pour une agence fédérale.

Les implications de FedRAMP pour le transfert sécurisé de fichiers

Tout système basé sur le cloud utilisé pour partager, transférer, recevoir ou stocker des CUI et FCI doit être autorisé par FedRAMP. Cela s’applique à la messagerie électronique, au partage de fichiers, au protocole de transfert de fichiers sécurisé (SFTP) et, oui, au transfert de fichiers géré.

Au minimum, tout CSP conforme à FedRAMP devra disposer d’une forme de chiffrement et de sécurité pour gérer la sécurité des données en transit. La plupart des solutions de transfert de fichiers géré utilisent un transfert de fichiers sécurisé, comme le SFTP, qui peut s’intégrer dans une stratégie de conformité.

Le transfert sécurisé de fichiers (MFT) joue un rôle crucial dans les efforts de collaboration des agences fédérales avec les entrepreneurs partenaires. Le transfert sécurisé de fichiers permet un transfert de fichiers sécurisé, fiable et efficace, y compris des données sensibles ou confidentielles, entre ces entités.

Le transfert sécurisé de fichiers offre des fonctionnalités cruciales qui permettent aux organisations d’automatiser l’échange de fichiers uniques, de fichiers en masse ou de gros fichiers entre personnes, ordinateurs ou lieux, tout en garantissant l’intégrité des données, la sécurité et la conformité aux normes réglementaires.

Une solution de transfert sécurisé de fichiers géré inclut plusieurs fonctionnalités, telles que :

1. Analyses pour aider à fournir des aperçus sur l’utilisation des données, les temps de transfert, etc.
2. Journaux d’audit et audits complets pour aider avec la sécurité et la conformité
3. Autorisation et chiffrement pour la sécurité et la confidentialité du contenu
4. Tableaux de bord pour la visibilité et l’accessibilité des données à travers une organisation entière

Il devrait être évident à présent que le transfert sécurisé de fichiers peut jouer un rôle intégral dans la collaboration entre agences / partenaires. En conséquence, une application de transfert sécurisé de fichiers d’un CSPdoitrépondre aux exigences FedRAMP. Étant donné le travail requis pour que les CSP deviennent autorisés par FedRAMP, une solution de transfert sécurisé de fichiers autorisée par FedRAMP devrait se démarquer des solutions non autorisées par FedRAMP qui peuvent ne pas offrir.

Une solution de transfert sécurisé de fichiers autorisée par FedRAMP devrait avoir des fonctionnalités avancées comme :

1. Sécurité renforcée :Les solutions de transfert sécurisé de fichiers autorisées par FedRAMP garantissent que les données sont stockées de manière sécurisée et ne sont pas accessibles par des utilisateurs non autorisés. Ces solutions assurent également que tous les protocoles de sécurité sont constamment mis à jour avec les dernières évolutions technologiques.
2. Conformité :Les solutions de transfert sécurisé de fichiers autorisées par FedRAMP aident les organisations à respecter les normes de sécurité gouvernementales. Cela permet aux organisations d’économiser du temps et de l’argent pour répondre aux exigences de réglementations ou de politiques particulières.
3. Réduction de la complexité :En utilisant une solution de transfert sécurisé de fichiers autorisée par FedRAMP, les organisations peuvent éviter les complexités liées à la mise en place et à la gestion de leur propre solution de transfert de fichiers. Cela inclut la gestion des mises à jour matérielles et logicielles, la garantie que les protocoles de sécurité sont à jour, et la surveillance de l’accès et de l’activité des utilisateurs.
4. Automatisation :L’automatisation est clé lorsqu’il s’agit de gérer les transferts de fichiers. Les solutions de transfert sécurisé de fichiers autorisées par FedRAMP fournissent des outils automatisés pour créer, surveiller et analyser les transferts de données. Cela facilite le suivi de l’activité de transfert, l’automatisation des flux de données et l’identification des problèmes potentiels.
5. Économies de coûts :Enfin, l’utilisation d’une solution de transfert sécurisé de fichiers autorisée par FedRAMP peut permettre de réaliser des économies en éliminant le besoin de déployer, maintenir, mettre à niveau et surveiller votre propre système de transfert de fichiers. Le coût de la licence et de la maintenance d’une solution de transfert de fichiers peut être considérablement réduit lorsque vous utilisez un fournisseur autorisé par FedRAMP.

Le transfert sécurisé de fichiers autorisé par FedRAMP de Kiteworks favorise la collaboration entre agences et contractants

LeRéseau de contenu privéde Kiteworks estautorisé par FedRAMP pour les informations de niveau d’impact modéré, permettant aux agences fédérales et à leurs partenaires d’envoyer, partager et stocker en toute sécurité des CUI et FCI sensibles.

Les fonctionnalités de transfert sécurisé de fichiers géré de Kiteworks comprennent plusieurs capacités de sécurité et de conformité critiques requises pour l’autorisation FedRAMP, y compris :

• Journalisation et documentation :Kiteworks comprend des outils de journalisation et de reporting qui peuvent être conformes à FedRAMP. Certains des contrôles de sécurité nécessaires, en particulier ceux aux niveaux d’impact Modéré et Elevé, exigent un journal d’audit ou une documentation FedRAMP pour suivre l’utilisation, l’accès et les violations de données.
• Visibilité et accessibilité des données :Le tableau de bord Kiteworks est accessible via le cloud et contient des outils de niveau entreprise pour aider à gérer, auditer et contrôler les données à travers une organisation. Plus important encore, un tableau de bord visuel pour le RSSI, couplé à des journaux d’audit détaillés, offre plusieurs couches efficaces de visibilité des données et des événements, incluant les téléchargements, les téléversements et les tentatives de violation d’accès par les utilisateurs.
• Sécurité et conformité :Les données sur les serveurs Kiteworks sont chiffrées pour atteindre les niveaux de conformité requis pour l’utilisation de FedRAMP, y compris les données au repos sur un serveur et en transit via unSFTPpour une connexion FedRAMP. De même, d’autres formes de communication comme l’email pour FedRAMP peuvent également être utilisées via des connexions chiffrées.
• Sauvegardes physiques et administratives :Kiteworks maintient les sauvegardes physiques et administratives requises pour la certification FedRAMP. Cela signifie des protections appropriées contre l’accès physique non autorisé à une salle serveur ou à un poste de travail.
• Déploiement en cloud privé : Les clouds publics partagés peuvent poser des problèmes pour les agences et les fournisseurs qui souhaitent s’assurer que leurs données sont isolées des surfaces d’attaque potentielles. Avec Kiteworks, vous bénéficiez d’une infrastructure cloud privée, incluant la communication de contenu privé, les systèmes de fichiers, les services de base de données, ainsi que les outils de visualisation et de journalisation, pour suivre le trafic des tiers entrant et sortant de votre système.

Pour en savoir plus sur les capacités de transfert sécurisé de fichiers gérées et autorisées par FedRAMP de Kiteworks, planifiez une démo personnalisée dès aujourd’hui.

Ressources supplémentaires

• eBook 5 raisons pour lesquelles les entreprises axées sur la sécurité choisissent FedRAMP
• Article de Blog SFTP pour FedRAMP : Solutions de conformité et d’autorisation
• Article de Blog Pourquoi FedRAMP est votre meilleur choix, même pour les entreprises commerciales
• Article Conformité et Certification FedRAMP | Pourquoi c’est important
• Article de Blog Quelles sont les normes de conformité des données ?