FedRAMP-implementatie

Het Federal Risk and Authorization Management Program (FedRAMP) is een initiatief van de Amerikaanse overheid dat voorziet in een gestandaardiseerd proces voor het evalueren, autoriseren en continu bewaken van de beveiliging van cloudproducten en -services die door federale instanties worden gebruikt. Het doel is ervoor te zorgen dat cloud-oplossingen die door de Amerikaanse federale instanties worden gebruikt, voldoen aan consistente, strenge beveiligingsnormen, waardoor gevoelige overheidsgegevens die in de cloud zijn opgeslagen, worden beschermd.

Uitdagingen bij de implementatie van FedRAMP SSP-, POAM- en OSCAL-vereisten

Cloud service providers (CSP's) die Amerikaanse federale agentschappen via FedRAMP-autorisatie willen bedienen, stuiten op een aantal belangrijke hindernissen. Deze uitdagingen ontstaan als gevolg van de strenge beveiligingsnormen, het complexe autorisatieproces en de eis van continue naleving van het programma.

• Hoge documentatielast

  • De rapporten over het System Security Plan (SSP) en het Plan of Action and Milestones (POAM) zijn uitgebreid en gedetailleerd, en vereisen honderden gegevenspunten over meerdere secties en controles.

  • Handmatige updates van deze documenten zijn tijdrovend en gevoelig voor fouten, vooral tijdens maandelijkse (POAM) of tijdens autorisatiecycli (SSP).

• Fragmentatie van gegevens tussen tools en teams

  • Kwetsbaarheidsgegevens zijn afkomstig van beveiligingsscans, Security Assessment Reports (SAR's), handmatige bevindingen en vragenlijsten.

  • Elke bron gebruikt verschillende indelingen, terminologie en structuur, waardoor het moeilijk is om gegevens voor rapportage te consolideren en te normaliseren.

• Gebrek aan standaardisatie bij beveiligingsscans

  • CSP's moeten ten minste drie soorten beveiligingsscans uitvoeren, vaak met tools van verschillende leveranciers zoals Tenable, Rapid7 en Qualys.

  • Deze scans genereren CSV-bestanden met inconsistente kolomnamen en -structuren, waarvoor een aangepaste toewijzing voor elke provider vereist is.

• Risico's van handmatige gegevensinvoer en duplicatie

  Zonder automatisering kunnen teams handmatig gegevens kopiëren en plakken in FedRAMP-sjablonen, waardoor het risico op menselijke fouten, dubbele kwetsbaarheden en onvolledige records toeneemt.

• Complexe controle-implementatie volgen

  • Voor elke FedRAMP-controle zijn gedetailleerde implementatiegegevens, walkthroughs en metadata vereist.

  • Het volgen van honderden controles en het waarborgen van volledigheid is een belangrijke operationele uitdaging.

• Continue naleving en maandelijkse rapportage

  • Het POAM-rapport moet maandelijks worden ingediend, zodat de kwetsbaarheden nauwkeurig kunnen worden gevolgd en de status van de oplossing kan worden verholpen.

  • CSP's moeten een actuele inventaris van kwetsbaarheden bijhouden en zorgen voor tijdige updates en export.

• Vereisten voor OSCAL-indeling

  • FedRAMP verplicht steeds vaker machineleesbare formaten zoals Open Security Control Assessment Language (OSCAL), waardoor het exportproces complexer wordt.

  • CSP's moeten ervoor zorgen dat hun gegevens correct zijn gestructureerd om te voldoen aan de vereisten van het OSCAL-schema.

• Coördinatie tussen beveiligings- en nalevingsteams

  • Het voltooien van FedRAMP-documentatie vereist input van meerdere belanghebbenden: beveiligingsteams voor scangegevens, nalevingsteams voor herstelplannen en projecteigenaren voor controleprocedures.

  • Samenwerking en verantwoordelijkheid tussen teams garanderen is essentieel, maar uitdagend.

Mensen die betrokken zijn bij de implementatie van FedRAMP

De personen die betrokken zijn bij implementatie van FedRAMP zijn onder andere:

• CSP- en FedRAMP-adviesbureau

• Externe beoordelingsorganisatie (3PAO)

• Professionals op het gebied van beveiliging en naleving

• Federale en sponsorende instanties

• Gezamenlijke autorisatiecommissie (JAB)

• Externe beoordelingsorganisaties (3PAO)

FedRAMP-richtlijnen