Cloudflare gab bekannt, dass die Plattform Cloudflare for Government den FedRAMP-Status Class D (High) erhalten hat. Damit sollen US-Behörden ihre Dienste für den Umgang mit den sensibelsten nicht klassifizierten Regierungsdaten nutzen können. Parallel dazu erklärte das Unternehmen, es habe begonnen, die für diese Zertifizierung entwickelten Systeme als Grundlage für sein Vorhaben zu nutzen, eine DoD-Impact-Level-4-Lizenz (IL4) vom US-Verteidigungsministerium zu erhalten.
Die Ankündigung erfolgte in Zusammenarbeit mit der für den Zertifizierungsprozess zuständigen federführenden Stelle, dem National Institute of Standards and Technology (NIST). Cloudflare hatte 2022 die FedRAMP-Moderate-Zertifizierung erhalten. Der Übergang zur Stufe High stellt jedoch keine einfache schrittweise Erweiterung dar, sondern erfordert die Erfüllung komplexerer Anforderungen, wobei die möglichen Auswirkungen eines Versagens der Sicherheitskontrollen erheblich größer sind.
Was bedeutet die FedRAMP-High-Zertifizierung?
Das FedRAMP-Programm ist ein US-Regierungsprogramm auf Ebene der Bundesbehörden, das eine einheitliche Methodik für die Sicherheitsbewertung, Zulassung und kontinuierliche Überwachung von Cloud-Produkten und -Diensten festlegt. Cloudflare erklärt, dass der Erhalt des zertifizierten Status eine Prüfung der Fähigkeiten des Unternehmens durch eine Bundesbehörde, die Übernahme der Patenschaft dieser Behörde für die vollständige Autorisierung sowie die Validierung der Autorisierung durch das FedRAMP Program Management Office erfordert.
FedRAMP Class D (High) stuft Systeme ein, die mit den sensibelsten nicht klassifizierten Regierungsdaten umgehen, darunter Daten im Zusammenhang mit der Strafverfolgung, Notfalldiensten, Finanzsystemen und der nationalen Sicherheit. Nach Angaben des Unternehmens kann ein Versagen der Kontrollen für diese Systeme katastrophale Folgen haben, etwa den Verlust von Menschenleben verursachen oder die wirtschaftliche und nationale Sicherheit der Vereinigten Staaten gefährden. Dies unterscheidet sich von Class C (Moderate), die Systeme abdeckt, deren Kompromittierung zu schwerwiegenden negativen Auswirkungen führen könnte, etwa bestimmte Systeme der Nationalparkverwaltung.
Ein Netzwerk mit Kontrollen zur Datenlokalisierung
Cloudflare zufolge basiert das Regierungsangebot nicht auf einer separaten, isolierten und eingeschränkten Version seiner kommerziellen Plattform. Stattdessen wurden die FedRAMP-High-Dienste auf demselben globalen Netzwerk aufgebaut, das die Unternehmensdienste betreibt, wobei in den Rechenzentren des Unternehmens dieselbe Software eingesetzt wird und das Konzept einer softwaredefinierten regionalen Verteilung zugrunde liegt.
Das Unternehmen nutzt die Data Localization Suite, um präzise Kontrollen für den Ort der Datenverarbeitung und -speicherung anzuwenden. Für FedRAMP-High-Dienste erklärt Cloudflare, es könne gewährleisten, dass die Prüfung und Verarbeitung des Datenverkehrs ausschließlich innerhalb seiner Rechenzentren in den Vereinigten Staaten erfolgt.
Der Ankündigung zufolge erhalten Bundesbehörden innerhalb der Vereinigten Staaten Sicherheitswerkzeuge für Zero Trust, Funktionen zur Optimierung der Anwendungsleistung sowie neue Entwicklerproduktfunktionen nach deren Veröffentlichung, anstatt eine Regierungsplattform zu verwenden, die hinter der kommerziellen Plattform zurückliegt. Der Text nennt keine gesonderten Einzelheiten zu Verfügbarkeitsbedingungen oder Preisen.
Der nächste Schritt: DoD IL4
Cloudflare erklärte, dass DoD IL4 der Cybersicherheitsstandard des US-Verteidigungsministeriums für Systeme ist, die mit kontrollierten und nicht klassifizierten Daten umgehen. Das Unternehmen ist der Ansicht, dass die für den FedRAMP-High-Prozess entwickelten Systeme das Rückgrat seines künftigen Angebots bilden werden, das eine IL4-Lizenz anstrebt. Es gab jedoch lediglich das Streben nach der Lizenz bekannt und nicht deren Erhalt.
Cloudflare zufolge könnte dieser Ansatz Regierungsbehörden und der Verteidigungsgemeinschaft den Zugang zu Sicherheitsinnovationen und neuen Werkzeugen in einem Tempo ermöglichen, das näher am Tempo seiner öffentlichen Plattform liegt, während die für sensible Regierungsumgebungen erforderlichen Anforderungen an Datenresidenz und Datenverarbeitung gewahrt bleiben.
Das Unternehmen stellt diesen Schritt in den Zusammenhang mit Plänen zur Modernisierung des öffentlichen Sektors. Dazu gehören die Unterstützung von Bundesbehörden bei der Einführung von Zero-Trust-Architekturen, der Schutz der Infrastruktur vor fortschrittlichen verteilten Denial-of-Service-Angriffen sowie die Bereitstellung schnellerer und resilienterer digitaler Dienste. Cloudflare erklärte, mit US-Regierungsstellen zu arbeiten, darunter dem Außenministerium und dem Handelsministerium.