FedRAMP 101 : Qu'est-ce que l'autorisation FedRAMP et pourquoi est-elle importante pour les agences fédérales ?

Le paysage des crypto-monnaies devenant de plus en plus complexe, les agences gouvernementales ont besoin de renseignements fiables pour perturber les acteurs menaçants qui exploitent les crypto-monnaies pour mener des activités illicites et blanchir des fonds. Le blockchain intelligence entre en jeu.

Blockchain intelligence améliore les données brutes de la blockchain avec des renseignements sur les menaces qui relient l'activité sur la chaîne avec des entités du monde réel, donnant aux agences fédérales - y compris les forces de l'ordre, la défense, la sécurité nationale, les organismes civils et les organismes de réglementation - une visibilité sur les flux financiers en temps réel des réseaux financiers de leurs cibles respectives, qui s'éloignent de plus en plus des monnaies traditionnelles au profit des crypto-monnaies. En 2023, l'écosystème cryptographique illicite était évalué à 34,8 milliards USD.

Il y a un certain nombre de considérations à garder à l'esprit lors du choix de la bonne plateforme d'blockchain intelligence pour soutenir la mission de votre agence. Pour les agences gouvernementales, la sécurité, la conformité et la confiance sont en tête de liste. L'blockchain intelligence est également essentielle à la mission de ces équipes, car elle fournit les informations nécessaires pour tracer et perturber les activités malveillantes sur la blockchain qui pourraient déstabiliser les communautés, les économies et les pays. 

En 2021, la Maison Blanche a adopté le décret 14028 (EO 14028), qui définit des mandats pour améliorer la cybersécurité aux États-Unis - y compris les mesures que les agences doivent prendre pour protéger leurs données critiques. Pour les organisations qui fournissent des données critiques à ces agences fédérales - y compris TRM Blockchain Intelligence Platform - unsignal clé qui démontre la conformité avec l'EO 14028 et l'engagement à construire les solutions les plus sécurisées possibles est l'obtention de l'autorisation FedRAMP.

Comment FedRAMP aide les agences gouvernementales

L'autorisation du Federal Risk and Authorization Management Program (FedRAMP® ) est un programme à l'échelle du gouvernement américain qui standardise l'approche du gouvernement fédéral en matière d'évaluation de la sécurité, d'autorisation et de surveillance continue des logiciels et des produits et services cloud. FedRAMP aide les agences gouvernementales de trois manières essentielles :

Normalisation de la sécurité

Le cadre FedRAMP fournit à toutes les organisations gouvernementales une approche normalisée à suivre lorsqu'il s'agit d'évaluer les protocoles de sécurité des outils logiciels, de déterminer leur viabilité en tant que fournisseurs (qui devront traiter des données et des informations très sensibles) et de contrôler en permanence leurs performances et leur fiabilité.

Rationalisation des processus

FedRAMP contribue à réduire la duplication des efforts entre les agences fédérales en permettant à une seule évaluation de sécurité d'être utilisée par plusieurs agences. Cela permet à différents organismes gouvernementaux de faire confiance et d'utiliser le même logiciel au sein de leurs agences respectives, sans avoir à vérifier et à faire figurer le fournisseur sur la liste des fournisseurs approuvés à plusieurs reprises.

Renforcer la sécurité

L'autorisation FedRAMP est un moyen mesurable de garantir que les logiciels utilisés par les agences fédérales répondent à des exigences de sécurité rigoureuses. Et parce que les organisations doivent continuellement contrôler et prouver leur adhésion aux exigences de sécurité de FedRAMP, les agences fédérales savent qu'elles peuvent faire confiance aux entités autorisées par FedRAMP pour leurs informations critiques.

Principaux éléments du processus d'autorisation FedRAMP

L'obtention de l'autorisation FedRAMP peut prendre de nombreux mois, voire des années, en fonction de la complexité du produit ou du service en question. Mais en général, le processus d'autorisation se déroule en trois étapes.

Étape 1 : Évaluation de la sécurité

Les fournisseurs de logiciels font l'objet d'une évaluation de sécurité approfondie menée par un organisme d'évaluation tiers accrédité. Cette évaluation porte sur les contrôles et les pratiques de sécurité du fournisseur sur la base des exigences rigoureuses de FedRAMP.

Étape 2 : Autorisation

Une fois l'évaluation de la sécurité terminée, le fournisseur soumet les résultats au bureau de gestion du programme FedRAMP. Si le service répond à toutes les exigences nécessaires, il reçoit l'un de ces trois types d'autorisation de la part d'une agence fédérale ou du FedRAMP Joint Authorization Board (JAB) :

Prêt pour FedRAMP

Indique que le fournisseur est prêt à suivre la procédure d'autorisation FedRAMP. Il s'agit d'un statut préliminaire qui montre que le fournisseur a satisfait aux exigences fondamentales, mais qu'il n'est pas encore pleinement autorisé.

Autorisé par FedRAMP

Indique que le fournisseur a passé avec succès le processus d'autorisation FedRAMP et qu'il satisfait à tous les contrôles de sécurité requis. Les organisations qui obtiennent l'autorisation FedRAMP se voient délivrer une "autorisation d'exploitation" (ATO) par l'agence avec laquelle elles travaillent, ce qui indique formellement qu'elles sont en mesure de fournir leurs services à toutes les agences gouvernementales. 

Il existe trois niveaux principaux d'autorisation de sécurité FedRAMP basés sur le niveau de sensibilité et d'impact des données que le fournisseur traitera, chacun ayant des exigences et des implications distinctes en matière de sécurité : Modéré et Élevé.

• FedRAMP Low est le niveau le plus bas de la catégorisation de sécurité dans le cadre de FedRAMP. Il est destiné aux prestataires qui fournissent des services pour lesquels le risque pour les opérations de l'organisation, les actifs ou les individus est faible, et pour lesquels l'impact potentiel d'un accès non autorisé ou d'une perturbation est limité. Ce niveau d'autorisation est généralement accordé aux systèmes qui traitent des données désignées comme ayant un "faible impact", conformément aux normes fédérales de sécurité de l'information.
• FedRAMP Moderate est conçu pour les fournisseurs qui traitent des données avec des niveaux d'impact modérés - par exemple, les plateformes qui traitent, stockent ou transmettent des informations qui pourraient avoir un effet négatif modéré sur les opérations, les actifs ou les individus d'une agence si elles étaient compromises. Ce niveau d'autorisation convient aux logiciels qui traitent des informations non publiques, comme les données sensibles (mais non classifiées). De nombreuses agences fédérales utilisent des contrôles de niveau modéré pour une série d'applications.
• FedRAMP High est destiné aux fournisseurs qui traitent des données ayant un niveau d'impact élevé - en d'autres termes, des logiciels et des plateformes qui traitent, stockent ou transmettent des informations qui pourraient avoir un effet négatif grave ou catastrophique sur les opérations, les actifs ou les individus d'une agence si elles étaient compromises. Ce niveau d'autorisation est destiné aux systèmes qui traitent des données sensibles telles que des informations personnelles identifiables (PII), des dossiers médicaux ou d'autres types d'informations privées.

Autorisation JAB FedRAMP

Une autorisation spéciale accordée par le FedRAMP Joint Authorization Board (JAB), qui comprend des représentants d'agences fédérales telles que la General Services Administration (GSA), le Department of Defense (DoD) et le Department of Homeland Security (DHS). L'obtention de l'autorisation FedRAMP JAB est un processus extrêmement rigoureux qui implique un niveau d'examen très élevé.

Étape 3 : Contrôle continu

Une fois autorisés, les fournisseurs doivent continuer à "mériter" leur autorisation en s'assurant que leurs produits et services continuent à répondre aux exigences de conformité FedRAMP, longtemps après avoir reçu l'autorisation initiale. Cela inclut des mises à jour de sécurité régulières, des évaluations de vulnérabilité et des rapports d'incidents.

La route de TRM vers l'autorisation FedRAMP

TRM Labs a investi dans un environnement sécurisé conforme à la norme FedRAMP afin de garantir votre conformité au décret 14028. Nous sommes actuellement soumis à l'évaluation de sécurité 3PAO et attendons l'autorisation imminente de FedRAMP Moderate, qui marque une étape critique dans notre parcours vers l'obtention de l'autorisation FedRAMP High dans le courant de l'année.

L'obtention de l'autorisation FedRAMP High souligne notre engagement à respecter les normes fédérales strictes en matière de sécurité et de conformité, ce qui nous permet de mieux servir nos clients fédéraux, d'adapter notre plateforme aux besoins en constante évolution des agences de défense, d'application de la loi, civiles et de sécurité nationale, et de fournir les solutions les plus sécurisées et les plus fiables sur lesquelles les clients du gouvernement américain peuvent compter pour leurs opérations critiques. Conformément au décret 14028, notre autorisation permettra également à nos clients et utilisateurs fédéraux de.. :

• Accéder à l'blockchain intelligence critique dans un environnement cloud sécurisé et conforme.
• Aider les agences à se conformer au décret 14028 en améliorant la cybersécurité de leur chaîne d'approvisionnement en logiciels
• Maintenir la CRT en conformité avec les exigences de l'ATO, en éliminant les dérogations afin de réduire les délais, les risques et les efforts liés à la réautorisation.

Pour en savoir plus sur le parcours de TRM jusqu'à l'obtention de l'autorisation FedRAMP, consultez ce communiqué de presse.