Cloudflare anunció que la plataforma Cloudflare for Government obtuvo el estado de autorización FedRAMP Class D (High), en un paso destinado a permitir que las entidades gubernamentales estadounidenses utilicen sus servicios para gestionar los datos gubernamentales no clasificados más sensibles. Paralelamente, la empresa afirmó que comenzó a utilizar los sistemas desarrollados para esta autorización como base de su compromiso de buscar la obtención de la autorización DoD Impact Level 4 (IL4) del Departamento de Defensa de Estados Unidos.
El anuncio se realizó en colaboración con la entidad patrocinadora del proceso de autorización, el Instituto Nacional de Estándares y Tecnología (NIST). Cloudflare había obtenido la autorización FedRAMP Moderate en 2022, pero el paso al nivel High no representa un simple aumento gradual, sino que exige cumplir requisitos más complejos, con un incremento significativo de las consecuencias de cualquier posible incumplimiento de los controles de seguridad.
¿Qué significa la autorización FedRAMP High?
El programa FedRAMP es un programa gubernamental estadounidense a nivel del Gobierno federal que establece una metodología unificada para evaluar, autorizar y supervisar continuamente la seguridad de los productos y servicios en la nube. Cloudflare explica que obtener el estado autorizado requiere que una agencia federal examine las capacidades de la empresa, que dicha agencia patrocine la autorización completa y que la autorización sea validada por la Oficina del Programa de Gestión de FedRAMP.
FedRAMP Class D (High) clasifica los sistemas que gestionan los datos gubernamentales no clasificados más sensibles, incluidos los datos relacionados con la aplicación de la ley, los servicios de emergencia, los sistemas financieros y la seguridad nacional. Según la empresa, una vulneración de los controles de estos sistemas podría tener consecuencias catastróficas, como causar pérdidas de vidas o amenazar la seguridad económica y nacional de Estados Unidos. Esto difiere de Class C (Moderate), que cubre los sistemas cuya vulneración podría provocar un impacto negativo grave, como algunos sistemas de los servicios de parques nacionales.
Una sola red con controles de localización de datos
Cloudflare afirma que su oferta gubernamental no depende de una versión independiente, aislada y limitada de su plataforma comercial. En su lugar, los servicios FedRAMP High se construyeron sobre la misma red global que opera los servicios de la empresa, utilizando el mismo software en sus centros de datos y basándose en el concepto de distribución regional definida mediante software.
La empresa utiliza Data Localization Suite para aplicar controles precisos sobre el lugar donde se procesan y almacenan los datos. Para los servicios FedRAMP High, Cloudflare afirma que puede garantizar que la inspección y el procesamiento del tráfico se realicen exclusivamente dentro de sus centros de datos ubicados en Estados Unidos.
Según el anuncio, las entidades federales dentro de Estados Unidos obtendrán herramientas de seguridad Zero Trust, capacidades de optimización del rendimiento de las aplicaciones y nuevas funciones de productos para desarrolladores cuando se publiquen, en lugar de utilizar una plataforma gubernamental rezagada respecto de la plataforma comercial. El texto no especifica detalles separados sobre las condiciones de disponibilidad o los precios.
El siguiente paso: DoD IL4
Cloudflare explicó que DoD IL4 es el estándar de ciberseguridad del Departamento de Defensa de Estados Unidos para los sistemas que gestionan datos controlados y no clasificados. La empresa considera que los sistemas diseñados para el proceso FedRAMP High constituirán la columna vertebral de su futura oferta orientada a obtener la autorización IL4, pero anunció que busca la autorización y no que la haya obtenido.
Cloudflare afirma que este enfoque podría permitir a las entidades gubernamentales y a la comunidad de defensa acceder a innovaciones de seguridad y nuevas herramientas a un ritmo más cercano al de su plataforma pública, manteniendo al mismo tiempo los requisitos de residencia y procesamiento de datos necesarios para los entornos gubernamentales sensibles.
La empresa vincula este paso con sus planes de modernización del sector público, incluida la ayuda a las entidades federales para adoptar arquitecturas Zero Trust, proteger la infraestructura frente a ataques distribuidos avanzados de denegación de servicio y ofrecer servicios digitales más rápidos y flexibles. Indicó que trabaja con entidades gubernamentales estadounidenses, entre ellas el Departamento de Estado y el Departamento de Comercio.