Services

FedRAMP

FedRAMP est le processus normalisé que les agences fédérales américaines exigent avant de pouvoir utiliser un service cloud : un ensemble défini de contrôles de sécurité (basé sur la norme NIST SP 800-53, adapté au cloud), une évaluation indépendante réalisée par un organisme tiers accrédité, ainsi qu’une surveillance continue une fois l’autorisation obtenue. Sans cela, une offre cloud ne peut généralement pas être commercialisée auprès des agences fédérales, ce qui explique pourquoi elle figure dans la feuille de route de nombreux fournisseurs de cloud qui cherchent à remporter des marchés publics.

Il faut le dire d’emblée : l’autorisation FedRAMP est une entreprise de grande envergure, et non une certification rapide. Elle prend généralement de plusieurs mois à plus d’un an, selon votre niveau d’impact (faible, modéré ou élevé) et selon que vous optiez pour une autorisation parrainée par une agence ou pour la voie du Comité mixte d’autorisation FedRAMP, et elle nécessite un véritable investissement technique, et pas seulement de la documentation.

C’est là que les choses tournent mal

Le mode de défaillance le plus courant consiste à sous-estimer l’écart entre « nous disposons d’une bonne sécurité » et « nous disposons de contrôles de sécurité précisément cartographiés et présentés comme des preuves par rapport au catalogue de contrôles NIST 800-53, exigé par FedRAMP ». Il s’agit là de deux exercices distincts, et les organisations qui entament le processus de documentation avant d’avoir réellement comblé les lacunes en matière de contrôles ont tendance à s’enliser à mi-parcours, ce qui leur coûte cher.

Comment je travaillerais avec vous

Je commencerais par une évaluation honnête de votre état de préparation par rapport à votre niveau d’impact cible — c’est-à-dire les contrôles qui existent réellement aujourd’hui par rapport à ceux dont on suppose l’existence — avant de vous engager auprès d’un commanditaire ou d’un évaluateur. À partir de là, il s’agit d’élaborer un plan hiérarchisé visant à combler les lacunes réelles, à établir le plan de sécurité du système et la documentation d’accompagnement en fonction de votre architecture réelle, et à vous préparer à l’évaluation de manière à ne pas vous retrouver déstabilisé face aux questions de l’évaluateur.

Si le programme FedRAMP figure dans votre feuille de route et que vous souhaitez obtenir une vision réaliste de ce que cela implique concrètement au regard de votre situation actuelle, contactez-moi.