Implementazione FedRAMP

Il Federal Risk and Authorization Management Program (FedRAMP) è un'iniziativa del governo degli Stati Uniti che prevede un processo standardizzato per la valutazione, l'autorizzazione e il monitoraggio continuo della sicurezza dei prodotti e dei servizi cloud utilizzati dalle agenzie federali. Il suo obiettivo è garantire che le soluzioni cloud utilizzate dalle agenzie federali statunitensi rispettino standard di sicurezza coerenti e rigorosi, contribuendo a salvaguardare i dati sensibili del governo archiviati nel cloud.

Sfide nell'implementazione dei requisiti FedRAMP SSP, POAM e OSCAL

I fornitori di servizi cloud (CSP) che intendono servire le agenzie federali statunitensi tramite l'autorizzazione FedRAMP riscontrano diversi ostacoli significativi. Queste sfide sono dovute ai rigorosi standard di sicurezza del programma, al complesso processo di autorizzazione e ai requisiti di conformità continua.

• Elevato onere di documentazione

  • I report del System Security Plan (SSP) e del Plan of Action and Milestones (POAM) sono ampi e dettagliati e richiedono centinaia di dati su più sezioni e controlli.

  • Gli aggiornamenti manuali di questi documenti richiedono molto tempo e sono soggetti a errori, soprattutto durante i cicli mensili (POAM) o durante i cicli di autorizzazione (SSP).

• Frammentazione dei dati tra strumenti e team

  • I dati sulle vulnerabilità provengono da scansioni di sicurezza, report di valutazione della sicurezza (SAR), risultati manuali e questionari.

  • Ogni fonte utilizza formati, terminologia e struttura diversi, rendendo difficile il consolidamento e la normalizzazione dei dati per il reporting.

• Mancanza di standardizzazione nelle scansioni di sicurezza

  • I CSP devono eseguire almeno tre tipi di scansione di sicurezza, spesso con strumenti di fornitori diversi come Tenable, Rapid7 e Qualys.

  • Queste scansioni generano file CSV con nomi e strutture di colonne incoerenti, che richiedono una mappatura personalizzata per ogni fornitore.

• Rischi di inserimento manuale dei dati e di duplicazione

  Senza automazione, i team copiano e incollano manualmente i dati nei modelli FedRAMP, aumentando il rischio di errori umani, vulnerabilità duplicate e record incompleti.

• Tracciamento dell'implementazione del controllo complesso

  • Ogni controllo FedRAMP richiede prove di implementazione dettagliate, guide dettagliate e metadati.

  • Tracciare centinaia di controlli e garantirne la completezza è una sfida operativa non indifferente.

• Conformità continua e reporting mensile

  • Il report POAM deve essere presentato mensilmente e richiede un'accurata tracciabilità delle vulnerabilità e dello stato di ripristino.

  • I CSP devono mantenere un inventario aggiornato delle vulnerabilità e garantire aggiornamenti ed esportazioni tempestive.

• Requisiti del formato OSCAL

  • FedRAMP richiede sempre più spesso formati leggibili da computer come l'Open Security Control Assessment Language (OSCAL), rendendo più complesso il processo di esportazione.

  • I CSP devono assicurarsi che i loro dati siano strutturati correttamente per soddisfare i requisiti dello schema OSCAL.

• Coordinamento tra i team di sicurezza e conformità

  • Il completamento della documentazione FedRAMP richiede il contributo di più parti interessate: i team di sicurezza per i dati di scansione, i team di conformità per i piani di rimedio e i proprietari dei progetti per i controlli.

  • Garantire la collaborazione e la responsabilità tra i team è essenziale ma impegnativo.

Persone coinvolte nell'implementazione di FedRAMP

Le persone coinvolte nell'implementazione di FedRAMP includono:

• Società di consulenza CSP e FedRAMP

• Organizzazione di valutazione di terze parti (3PAO)

• Professionisti della sicurezza e della conformità

• Agenzie federali e sponsor

• Commissione di autorizzazione congiunta (JAB)

• Organizzazioni di valutazione di terze parti (3PAO)

Guide alla soluzione FedRAMP