Trois façons dont l'autorisation FedRAMP permet de se conformer au décret 14028

La sécurité, le coût et l'échelle ont toujours été essentiels pour les équipes techniques chargées de mettre en œuvre des logiciels d'entreprise au sein de leurs organisations. Mais pour les agences fédérales qui s'appuient sur des outils qui touchent des données très sensibles - par exemple, blockchain intelligence-ces critères sont plus que des cases à cocher : ils sont essentiels à la mission. 

L'Executive Order 14028 (EO 14028) a encore accru la pression sur les agences fédérales américaines pour qu'elles vérifient de manière exhaustive les fournisseurs avec lesquels elles travaillent, et exige que tous les produits utilisés par le gouvernement fédéral soient conformes à FedRAMP. Dans un article précédent, nous avons exploré les fondements de l'autorisation FedRAMP, les raisons de son importance pour les agences fédérales et les étapes à suivre pour obtenir une autorisation FedRAMP. TRM Labs pour obtenir l'autorisation FedRAMP High cette année. Examinons maintenant de plus près les principaux avantages dont bénéficient les agences en choisissant des produits et services conformes à FedRAMP, et comment cela les aide à se conformer à l'EO 14028.

1. Renforcer la posture de sécurité et réduire les risques

Le décret 14028 souligne l'importance d'améliorer les mesures de cybersécurité et de réduire les vulnérabilités des systèmes fédéraux. La conformité au FedRAMP garantit que les fournisseurs de services respectent les mêmes normes de sécurité que celles décrites dans l'ordonnance, notamment en se soumettant à des évaluations de sécurité approfondies et en satisfaisant à 125 à 425 contrôles uniques, en fonction de leur niveau d'autorisation (faible, modéré ou élevé).

Le décret appelle également à l'adoption d'une architecture de confiance zéro, qui exige des contrôles de sécurité rigoureux et une validation continue de la conformité. Étant donné que les fournisseurs agréés par FedRAMP font déjà l'objet d'évaluations rigoureuses et d'une surveillance continue afin de gérer et d'atténuer les risques de sécurité sur leurs plateformes, ils sont, par défaut, conformes aux principes de la confiance zéro. Cela signifie que les équipes techniques et de sécurité peuvent réduire le temps et les ressources qu'elles consacrent aux enquêtes secondaires - utilisées pour déterminer si les fournisseurs adhèrent à des approches basées sur le risque - et consacrer plus de temps à des travaux stratégiques de grande valeur.

2. Simplifier et réduire les coûts de gestion de la conformité

En rendant obligatoire l'utilisation de solutions conformes à FedRAMP, le décret 14028 aide les agences à rationaliser leur approche de l'intégration de nouveaux fournisseurs et du maintien de la conformité des systèmes. Grâce au cadre normalisé de FedRAMP pour l'évaluation de la sécurité des fournisseurs actuels et potentiels, les équipes techniques peuvent suivre le même "playbook" pour évaluer chaque outil de leur pile technologique. En d'autres termes, tous les fournisseurs sont évalués selon les mêmes critères dans toutes les agences fédérales, grâce aux niveaux d'autorisation universellement acceptés de FedRAMP.

Travailler avec des fournisseurs agréés FedRAMP peut également permettre de réaliser des économies d'échelle considérables, en particulier si les solutions sont exploitées par plusieurs agences fédérales différentes. En outre, comme les fournisseurs conformes à FedRAMP doivent disposer de fonctions de sécurité de premier ordre et de protocoles de surveillance continue, les équipes techniques et informatiques peuvent réduire considérablement leurs dépenses en contrôles de sécurité supplémentaires et en audits de conformité coûteux réalisés par des tiers.

3. Accélérer la passation de marchés et la mise en œuvre à grande échelle

Les fournisseurs agréés par FedRAMP font déjà l'objet d'évaluations de sécurité rigoureuses pour répondre aux normes de sécurité fédérales. Les agences fédérales peuvent s'appuyer sur les autorisations FedRAMP existantes pour intégrer et mettre en œuvre rapidement des services logiciels sans avoir à procéder à des évaluations de sécurité distinctes, ce qui permet d'accélérer les processus d'achat et de renouvellement.

Le cadre de sécurité normalisé de FedRAMP permet également aux agences fédérales d'intégrer et d'adapter plus facilement les solutions dans différents départements et fonctions. L'uniformité inhérente aux exigences d'autorisation de FedRAMP simplifie la manière dont les équipes techniques gèrent de multiples services au sein de l'environnement d'une agence donnée. De plus, les solutions conformes à FedRAMP sont conçues pour fonctionner dans l'ensemble de l'écosystème informatique fédéral, ce qui peut faciliter l'intégration de nouveaux services et simplifier les changements à grande échelle sans interruption importante.

Pour en savoir plus sur le parcours de TRM vers l'obtention de l'autorisation FedRAMP, consultez ce communiqué de presse. Ou pour en savoir plus sur les différents niveaux d'autorisation FedRAMP, lisez ce blog.

‍