FedRAMP « élevé » ou « modéré »

Vue d’ensemble

Le niveau « High Baseline » du programme FedRAMP constitue un cadre complexe de contrôles de sécurité mis en place par FedRAMP pour protéger les données gouvernementales sensibles non classifiées. Ce niveau élevé de sécurité s’étend à la sécurité nationale, à la sécurité publique et à la stabilité financière, garantissant la confidentialité, l’intégrité et la disponibilité des informations critiques. Il va notamment au-delà des exigences du niveau « Moderate » de FedRAMP afin de traiter les données dont la compromission aurait de graves conséquences.

Cas d’utilisation et recommandations

Le niveau « FedRAMP Moderate » est recommandé pour l’hébergement d’informations non sensibles et non classifiées nécessitant un niveau modéré de protection. Il convient aux applications traitant des informations à caractère personnel (PII) ainsi que des informations sensibles mais non classifiées. Les organisations dont les exigences de sécurité sont moins strictes et dont le budget est plus limité peuvent trouver le niveau « FedRAMP Moderate » plus approprié.

Le niveau « FedRAMP High » est recommandé pour l’hébergement d’informations hautement sensibles, classifiées ou critiques pour la mission. Il est indispensable pour les applications dont la compromission pourrait avoir de graves conséquences pour la sécurité nationale, la sécurité publique ou la continuité des opérations gouvernementales. Les organisations traitant des données top secrètes ou nécessitant le plus haut niveau de sécurité doivent opter pour le niveau « FedRAMP High ».

Éléments clés

1. Classification des données : La classification des données est fondamentale dans le cadre de FedRAMP High ; elle implique la définition de critères de catégorisation des données en fonction de leur sensibilité. Cela garantit la protection la plus élevée pour les données dont la compromission aurait des conséquences importantes, et implique l’évaluation et la mise en place de contrôles de sécurité. En revanche, FedRAMP Moderate adopte une approche moins stricte, exigeant le respect d’un ensemble de base de contrôles de sécurité.

2. Contrôles d’accès : les contrôles d’accès sont essentiels dans le cadre de FedRAMP High, car ils permettent de gérer et de restreindre l’accès aux informations sensibles. Des mécanismes robustes d’authentification et d’autorisation garantissent que seul le personnel autorisé puisse accéder aux données. Dans le cadre de FedRAMP Moderate, les contrôles d’accès restent importants, mais ils répondent à un ensemble d’exigences moins rigoureuses que celles de la norme de base « High ».

3. Normes de chiffrement : le chiffrement constitue une mesure de protection fondamentale dans le cadre de FedRAMP High, qui impose des protocoles de chiffrement robustes pour les données au repos, en transit et pendant leur traitement. Cela garantit que les données restent confidentielles et illisibles même en cas d’accès non autorisé. FedRAMP Moderate exige également le chiffrement, mais avec des exigences moins strictes.

4. Réponse aux incidents et signalement : une réponse efficace aux incidents est cruciale dans le cadre du niveau « FedRAMP High », avec des protocoles permettant d’identifier, de traiter et de signaler rapidement les incidents de sécurité. Cela permet une réponse rapide et coordonnée afin d’atténuer les risques potentiels. La réponse aux incidents dans le cadre du niveau « FedRAMP Moderate » suit un principe similaire, mais avec moins d’exigences spécifiques.

5. Surveillance continue : la surveillance continue est un processus permanent dans le cadre de FedRAMP High, avec des vérifications régulières des contrôles de sécurité et des systèmes afin de détecter et de corriger les vulnérabilités potentielles. Des évaluations et des audits réguliers permettent de maintenir un niveau élevé de « Readiness » en matière de sécurité. Le niveau « FedRAMP Moderate » exige également une surveillance continue, mais avec des exigences moins strictes que celles du niveau « High Baseline ».

FedRAMP High et les environnements cloud

1. Conformité des fournisseurs de services cloud (CSP) : le niveau « High » de FedRAMP accorde une importance particulière à la conformité des CSP hébergeant des données gouvernementales. Il exige des évaluations rigoureuses pour garantir le respect des contrôles de sécurité spécifiés. Le niveau « Moderate » de FedRAMP exige également la conformité, mais avec un ensemble de contrôles moins exhaustif que celui de la référence « High ».

2. Résidence et souveraineté des données : FedRAMP High répond aux préoccupations concernant l’emplacement physique des données, en garantissant le respect des réglementations gouvernementales en matière de résidence et de souveraineté des données. Les considérations relatives à la résidence et à la souveraineté des données sont également présentes dans FedRAMP Moderate, mais avec des exigences moins strictes que celles du niveau « High Baseline ».

3. Transfert sécurisé des données : la norme impose des mécanismes de transfert sécurisé des données, exigeant la mise en place de canaux sécurisés pour le transfert des données entre les systèmes gouvernementaux et l’environnement cloud. Le transfert sécurisé des données dans le cadre de FedRAMP Moderate suit des principes similaires, mais avec des exigences moins strictes.

Comparaison avec FedRAMP Moderate

FedRAMP « Moderate » et FedRAMP « High » correspondent à deux niveaux d’impact distincts au sein du programme, chacun avec son propre ensemble d’exigences et de considérations.

1. Contrôles de sécurité :

· FedRAMP « Moderate » : les CSP doivent mettre en œuvre un ensemble de base de contrôles de sécurité définis par la publication spéciale (SP) 800-53 du National Institute of Standards and Technology (NIST). Ces contrôles couvrent un large éventail de domaines de sécurité, notamment le contrôle d’accès, la réponse aux incidents, ainsi que l’intégrité des systèmes et des informations.

· FedRAMP « High » : outre les contrôles de base requis pour le niveau « Moderate », les CSP de niveau « High » doivent mettre en œuvre des contrôles de sécurité supplémentaires spécifiques à la

protection des informations sensibles et classifiées. Ces contrôles sont décrits dans la publication spéciale 800-53 du NIST, révision 4, annexe F, et comprennent des exigences plus strictes en matière de chiffrement, de sécurité physique et de vérification des antécédents du personnel.

2. Sensibilité des données :

· FedRAMP « Moderate » : Convient à l’hébergement d’informations non sensibles et non classifiées nécessitant un niveau modéré de protection. Ce niveau couvre un large éventail de données fédérales, y compris les informations à caractère personnel (PII) et les informations sensibles mais non classifiées.

· FedRAMP « High » : Conçu pour l’hébergement d’informations hautement sensibles, classifiées ou essentielles à la mission. Il inclut les données dont la compromission pourrait avoir de graves conséquences pour la sécurité nationale, la sécurité publique ou la continuité des opérations gouvernementales.

3. Processus d’autorisation :

· FedRAMP « Moderate » : implique une évaluation de sécurité exhaustive et la documentation des contrôles de sécurité mis en œuvre. Les fournisseurs de services cloud (CSP) sont soumis à une évaluation indépendante réalisée par des organismes d’évaluation tiers (3PAO) accrédités par FedRAMP. Celle-ci démontre la conformité aux exigences de sécurité.

· FedRAMP « High » : le processus d’autorisation est plus rigoureux et exigeant. Les fournisseurs de services cloud doivent satisfaire à toutes les exigences du niveau « Moderate », ainsi qu’à des contrôles supplémentaires spécifiques au niveau « High ». L’évaluation de sécurité et le processus d’autorisation pour les services de haut niveau impliquent un examen plus approfondi et peuvent nécessiter une documentation supplémentaire ainsi que des preuves de conformité.

4. Surveillance continue :

· FedRAMP « Moderate » : nécessite la mise en œuvre d’un programme de surveillance continue afin de garantir le respect permanent des contrôles de sécurité. Cela inclut des analyses régulières de vulnérabilité, des tests de réponse aux incidents et des évaluations de sécurité périodiques.

· FedRAMP « High » : les exigences de surveillance continue pour les services cloud de niveau « High » sont plus strictes. Les fournisseurs de services cloud doivent mettre en œuvre des activités de surveillance plus fréquentes et plus complètes. Cela inclut la surveillance continue des contrôles de sécurité, la veille sur les menaces en temps réel et des évaluations de sécurité plus fréquentes.

Conclusion

En conclusion, les niveaux FedRAMP « Moderate » et « High » offrent des cadres sécurisés pour les services cloud. Le niveau « Moderate » convient aux données non sensibles soumises à des contraintes budgétaires, tandis que le niveau « High » est particulièrement adapté aux informations hautement classifiées, qui exigent une approche nécessitant davantage de ressources. Le choix dépend de la nature des données, des besoins en matière de sécurité et des considérations budgétaires. L’importance du niveau

« High » ne cesse de croître à mesure que le cloud computing évolue, soulignant la nécessité d’une approche stratégique de la sécurité dans les opérations gouvernementales. Un cadre plus rigoureux garantit la conformité et protège les informations critiques dans un environnement numérique en constante évolution. Consultez un expert Commvault pour obtenir des conseils.