FedRAMP voor de particuliere sector: Een FedRAMP-conforme private cloud biedt ook voordelen voor commerciële bedrijven

FedRAMP voor de private sector stelt commerciële bedrijven in staat om gebruik te maken van cloudoplossingen die door de Amerikaanse federale overheid zijn gecertificeerd om grondige beveiligingsmaatregelen te bieden, zoals in deze post wordt uitgelegd.

Wat is FedRAMP?

FedRAMP is het Federal Risk and Authorization Management Program, een overheidsbreed programma dat een gestandaardiseerde aanpak biedt voor beveiligingsbeoordeling, autorisatie en continue monitoring van cloudproducten en -diensten die door Amerikaanse federale instanties worden gebruikt. Het is ontworpen om risico’s te verminderen en de beveiliging van cloudservices die door federale instanties worden gebruikt te verbeteren.

FedRAMP is niet alleen bedoeld voor overheidsinstanties, maar voor elke organisatie, inclusief die in de private sector. Commerciële bedrijven kunnen het FedRAMP-raamwerk gebruiken om hun beveiligingsprocessen te vereenvoudigen en een geautoriseerde (lees: op het hoogste niveau getoetste) cloudoplossing te gebruiken om gevoelige informatie op te slaan, te verwerken, te delen en te beheren. Daarnaast biedt FedRAMP diverse tools en richtlijnen die private organisaties kunnen helpen om de beveiliging van hun cloudservices effectiever te beheren.

Door gebruik te maken van een FedRAMP-conforme oplossing tonen overheidsaannemers en bedrijven in de private sector hun toewijding aan het beschermen van vertrouwelijke informatie die zij delen met Amerikaanse overheidsinstanties, klanten, partners, toezichthouders en andere belanghebbenden.

Wat betekent het om FedRAMP-conform te zijn?

FedRAMP-naleving is essentieel, aangezien FedRAMP het primaire systeem is dat door federale instanties wordt gebruikt om cloudservices te beoordelen en te autoriseren voor gebruik door medewerkers. FedRAMP-conform worden betekent dat er aan een grondige set beveiligingsvereisten en -processen moet worden voldaan. Het gebruik van een FedRAMP-conforme oplossing voor bestandsoverdracht of file sharing, of dat nu via e-mail, beheerde bestandsoverdracht (MFT), secure file transfer protocol (SFTP) of een ander communicatiekanaal is, is cruciaal voor elke organisatie die het hoogste beveiligingsniveau voor de informatie die zij verwerken, opslaan en delen wil aantonen.

Wat zijn FedRAMP Governance Bodies?

FedRAMP Governance Bodies bieden waardevolle diensten aan de federale overheid, de private sector en andere organisaties door te helpen bij het waarborgen van de beveiliging en naleving van cloudgebaseerde computerproducten en -diensten. De Governance Bodies ontwikkelen en stellen FedRAMP-beleid en richtlijnen op, pleiten voor veilige cloudadoptie, coördineren en faciliteren de implementatie binnen de overheid, ontwikkelen en beoordelen FedRAMP-baselines, beoordelen en keuren basisbeveiligingsvereisten goed en fungeren als bron van informatie, begeleiding en ondersteuning.

Deze Governance Bodies bieden zekerheid aan de overheid en andere organisaties over de beveiliging van FedRAMP-conforme cloud computing-diensten en helpen bij het beschermen van de privacy, integriteit en beschikbaarheid van data die in de cloud is opgeslagen. Deze FedRAMP governance bodies omvatten:

1. FedRAMP Program Management Office (PMO): Dit kantoor is verantwoordelijk voor het bieden van begeleiding, governance en toezicht op het programma.
2. FedRAMP Joint Authorization Board (JAB): De JAB is verantwoordelijk voor het autoriseren van cloudservice-aanbiedingen op het niveau van Moderate Impact of hoger, en voor het beoordelen en goedkeuren van beleid, procedures en richtlijnen voor het programma.
3. Third Party Assessor Organization (3PAO): Deze organisaties zijn door de JAB geaccrediteerd om onafhankelijke beoordelingen van cloudserviceproviders uit te voeren.
4. FedRAMP Tailored Program: Dit programma biedt op maat gemaakte begeleiding en toezicht aan instanties die autorisatie zoeken om cloudservices op het Low Impact-niveau te gebruiken.
5. FedRAMP Oversight Management Council (FOMC): De FOMC is verantwoordelijk voor het bieden van begeleiding en toezicht om het succes van het programma te waarborgen.
6. FedRAMP Security Monitoring Working Group (SMWG): Deze werkgroep is verantwoordelijk voor het bieden van begeleiding en beste practices met betrekking tot beveiligingsmonitoring binnen de FedRAMP-omgeving.

FedRAMP voor overheidsinstanties

Als onderdeel van het “Cloud First”-initiatief om cloudadoptie binnen de federale overheid te stimuleren, is het Federal Risk and Authorization Management Program, oftewel FedRAMP, opgezet om overheidsinstanties in staat te stellen snel, grondig en consistent de beveiligingsmogelijkheden van cloudoplossingen te beoordelen.

Als een FedRAMP-geautoriseerde cloudoplossing hebben Amerikaanse federale instanties een officiële bevestiging dat het Kiteworks secure file sharing and governance platform een superieure oplossing is voor het veilig laten openen en delen van gevoelige informatie door overheidsmedewerkers.

Maar FedRAMP voor de private sector betekent dat commerciële bedrijven ook gebruik kunnen maken van een FedRAMP-conforme cloudopslagoplossing en daardoor hetzelfde niveau van controle, zichtbaarheid en vertrouwen kunnen benutten als overheidsinstanties bij het opslaan en delen van gevoelige informatie.

Kiteworks beschikt over een lange lijst van nalevings- en certificeringsprestaties.

FedRAMP voor de private sector

Veel commerciële bedrijven sluiten contracten af met overheidsinstanties en worden sterk aangemoedigd, en in sommige gevallen verplicht, om een FedRAMP-geautoriseerde oplossing te gebruiken voor het delen van informatie. Of het nu wordt aangemoedigd of verplicht, het gebruik van een FedRAMP-geautoriseerde oplossing voor het delen van gevoelige informatie is een best practice.

FedRAMP voor de private sector ziet er bijvoorbeeld zo uit: een productiebedrijf dat componenten maakt voor raketsystemen. Om met het Department of Defense samen te werken, moet het bedrijf ITAR-conform zijn. ITAR, of International Traffic in Arms Regulations, is een regelgeving die is opgesteld om (lees: beperken van) de export van defensie- en militair gerelateerde technologieën te controleren ter bescherming van de nationale veiligheid van de VS. Een ITAR-overtreding kan leiden tot kostbare strafrechtelijke of civielrechtelijke sancties, uitsluiting van toekomstige samenwerking met de overheid en in extreme gevallen gevangenisstraf. Omdat er zeer gevoelige informatie wordt gedeeld, moet het DoD ervan overtuigd zijn dat deze informatie veilig wordt gedeeld en opgeslagen, met alleen geautoriseerde personen die toegang krijgen.

Omdat het Kiteworks-platform FedRAMP-geautoriseerd is, toont de keuze van de componentenfabrikant om het te gebruiken aan DoD een gedeelde toewijding aan gegevensbeveiliging en privacy.

Maar FedRAMP voor de private sector is niet alleen van toepassing op overheidsaannemers.

FedRAMP voor de private sector ziet er ook zo uit: een technologiebedrijf dat een wereldwijd supportwebportaal host waarmee klanten grote bestanden, logs en systeemdumps kunnen uploaden en casenummers toegewezen krijgen aan de juiste mappen. Deze uploadactiviteiten vinden gelijktijdig plaats met honderdduizenden klantapparaten die “thuis rapporteren” en bestanden en systeemdumps uploaden naar aangewezen klantenserviceteams. Op elk moment zijn er 50-100 gelijktijdige verbindingen die grote hoeveelheden data uploaden naar zelfgebouwde oplossingen, gedeelde schijven en een FTP-server. Kortom, er wordt veel klantdata gegenereerd, gedeeld en opgeslagen en dit moet allemaal gebeuren met het hoogste niveau van beveiliging en naleving.

FedRAMP voor de private sector zou dit bedrijf in staat stellen ervoor te zorgen dat het uploaden en opslaan van deze data wordt afgehandeld met grondige beveiligingsmaatregelen. Door het FedRAMP-conforme Kiteworks-platform te gebruiken voor het beheren van deze bestandsoverdrachten, kan het bedrijf de dreiging van datalekken verminderen en aan klanten laten zien dat het veiligheid serieus neemt.

Welke soorten bedrijven moeten FedRAMP-conform zijn?

Bedrijven die federale overheidsinformatie verwerken, opslaan of verzenden—of dit nu in de vorm van data of diensten is—moeten een FedRAMP-autorisatie hebben. Dit omvat cloudserviceproviders, Software-as-a-Service (SaaS)-leveranciers en andere organisaties die diensten aan de federale overheid of hun contractpartners leveren. Voorbeelden van bedrijven die mogelijk FedRAMP-conform moeten zijn: IT-dienstverleners, telecommunicatiebedrijven, softwarebedrijven, zorgorganisaties, overheidsaannemers en onderwijsinstellingen.

FedRAMP-autorisatieproces

Het FedRAMP-autorisatieproces begint met een cloudserviceprovider (CSP) die een systeembeveiligingsplan (SSP) indient bij het FedRAMP Program Management Office (PMO). Het PMO beoordeelt vervolgens het SSP en wijst een door het FedRAMP PMO goedgekeurde Third Party Assessor Organization (3PAO) aan die een onafhankelijke beveiligingsbeoordeling van het systeem van de CSP uitvoert. Zodra de 3PAO de beoordeling heeft afgerond, beoordeelt het PMO de beoordeling en verstrekt het een voorlopige of volledige Authority to Operate (ATO) aan de CSP.

De CSP start vervolgens de fase van voortdurende monitoring, die bestaat uit voortdurende beveiligingsmonitoring, dreigingsbeoordeling en algemene beveiligingsgezondheid van het systeem. Tijdens deze fase moet de CSP voldoen aan de FedRAMP-vereisten voor beveiligings- en auditdocumentatie, systeembeveiligingsplannen en beveiligingsbeleid. De CSP moet ook regelmatige beoordelingen van hun systeem uitvoeren om eventuele beveiligingsrisico’s of kwetsbaarheden te identificeren en aan te pakken.

Het FedRAMP PMO beoordeelt vervolgens de beveiligingsdocumentatie van de CSP en verstrekt certificering dat de CSP voldoet aan de FedRAMP-vereisten. Zodra het PMO de beoordeling heeft afgerond, ontvangt de CSP een continuous monitoring ATO (CM-ATO). Nadat de CSP de CM-ATO heeft ontvangen, kan de CSP een volledige ATO aanvragen, waarmee de CSP hun clouddiensten aan federale instanties mag aanbieden.

Het FedRAMP-autorisatieproces is een grondige, maar noodzakelijke procedure die CSP’s moeten doorlopen om clouddiensten aan federale instanties te mogen leveren. Het omvat het indienen van een systeembeveiligingsplan, het ondergaan van beveiligingsbeoordelingen en het naleven van voortdurende monitoringvereisten. Door dit proces te volgen, kunnen CSP’s de beveiliging van hun systemen waarborgen en met vertrouwen diensten aan de federale overheid leveren.

Kiteworks en FedRAMP voor de private sector

Of u nu FedRAMP voor de private sector of voor overheidsinstanties nodig heeft, organisaties die het Kiteworks-platform gebruiken hebben volledige controle over hun gevoelige content. Ze hebben ook volledig inzicht in waar gevoelige content wordt opgeslagen, wie er toegang toe heeft en wat ermee gebeurt. Alle bestandsactiviteiten zijn te auditen en stellen organisaties in staat om naleving van diverse strenge overheidsvoorschriften aan te tonen.

En als een FedRAMP-geautoriseerde cloudoplossing voldoet het Kiteworks-platform aan alle beveiligingsvereisten die zijn opgenomen in NIST 800-171.

Wanneer commerciële bedrijven kiezen voor de FedRAMP Moderate-geautoriseerde oplossing van Kiteworks voor secure file sharing en governance, tonen ze aan hun partners en klanten dat gegevensbeveiliging topprioriteit is. En het hebben van een FedRAMP Moderate-autorisatie als basisset van beveiligingsmaatregelen biedt commerciële bedrijven een duidelijk competitief voordeel. Het is een toewijding aan het hoogste niveau van contentbeveiliging.

Of u nu moet voldoen aan het Cloud First-beleid van de overheid of meer wilt weten over FedRAMP voor de private sector, het FedRAMP-geautoriseerde secure file sharing and governance platform van Kiteworks kan u helpen.

Aanvullende bronnen

• Woordenlijst Wat is een FedRAMP Compliance Provider?
• eBook FedRAMP Private Cloud: De gouden standaard voor communicatie van gevoelige content
• Samenvatting Kiteworks Enterprise – Waarom FedRAMP Hosted vs. Standard Hosted
• Blog Post Beste FedRAMP-geautoriseerde oplossing voor e-mailbeveiliging
• Blog Post FedRAMP-autorisatie voor Kiteworks Secure File Sharing Platform