Cloudflare a annoncé que la plateforme Cloudflare for Government avait obtenu le statut d’autorisation FedRAMP Class D (High), une étape visant à permettre aux organismes gouvernementaux américains d’utiliser ses services pour traiter les données gouvernementales non classifiées les plus sensibles. Parallèlement, l’entreprise a déclaré avoir commencé à utiliser les systèmes développés pour cette autorisation comme base de son engagement à obtenir l’autorisation DoD Impact Level 4 (IL4) du département de la Défense des États-Unis.
L’annonce a été faite en collaboration avec l’organisme parrain du processus d’autorisation, le National Institute of Standards and Technology (NIST). Cloudflare avait obtenu l’autorisation FedRAMP Moderate en 2022, mais le passage au niveau High ne représente pas une simple augmentation progressive : il exige de satisfaire à des exigences plus complexes, avec une hausse importante de l’impact de toute défaillance potentielle des contrôles de sécurité.
Que signifie l’autorisation FedRAMP High ?
Le programme FedRAMP est un programme gouvernemental américain à l’échelle du gouvernement fédéral, qui établit une méthodologie uniforme pour évaluer, autoriser et surveiller en continu la sécurité des produits et services cloud. Cloudflare explique que l’obtention du statut autorisé exige l’examen des capacités de l’entreprise par une agence fédérale, le parrainage de l’autorisation complète par cette agence, puis la validation de l’autorisation par le bureau de gestion du programme FedRAMP.
FedRAMP Class D (High) classe les systèmes qui traitent les données gouvernementales non classifiées les plus sensibles, notamment les données liées à l’application de la loi, aux services d’urgence, aux systèmes financiers et à la sécurité nationale. Selon l’entreprise, la compromission des contrôles propres à ces systèmes pourrait avoir des conséquences catastrophiques, comme entraîner des pertes humaines ou menacer la sécurité économique et nationale des États-Unis. Cela diffère de la Class C (Moderate), qui couvre les systèmes dont la compromission pourrait entraîner un impact négatif grave, comme certains systèmes des services des parcs nationaux.
Un seul réseau avec des contrôles de localisation des données
Cloudflare affirme que son offre gouvernementale ne repose pas sur une version distincte, isolée et limitée de sa plateforme commerciale. Au contraire, les services FedRAMP High ont été construits sur le même réseau mondial que celui qui exploite les services de l’entreprise, avec l’utilisation des mêmes logiciels dans ses centres de données et le recours au concept de distribution régionale défini par logiciel.
L’entreprise s’appuie sur Data Localization Suite pour appliquer des contrôles précis sur le lieu de traitement et de stockage des données. Pour les services FedRAMP High, Cloudflare affirme pouvoir garantir que l’inspection et le traitement du trafic seront réalisés exclusivement dans ses centres de données situés aux États-Unis.
Selon l’annonce, les organismes fédéraux aux États-Unis bénéficieront des outils de sécurité Zero Trust, de capacités d’optimisation des performances des applications et des nouvelles fonctionnalités destinées aux développeurs dès leur lancement, au lieu d’utiliser une plateforme gouvernementale en retard sur la plateforme commerciale. Le texte ne précise pas séparément les conditions de disponibilité ou les tarifs.
Prochaine étape : DoD IL4
Cloudflare a expliqué que le DoD IL4 était la norme de cybersécurité du département de la Défense des États-Unis pour les systèmes traitant des données contrôlées et non classifiées. L’entreprise estime que les systèmes conçus pour le processus FedRAMP High constitueront l’épine dorsale de sa future offre visant à obtenir l’autorisation IL4, mais elle a annoncé son intention de demander cette autorisation sans déclarer l’avoir obtenue.
Cloudflare affirme que cette approche pourrait permettre aux organismes gouvernementaux et à la communauté de la défense d’accéder aux innovations en matière de sécurité et aux nouveaux outils à un rythme plus proche de celui de sa plateforme publique, tout en maintenant les exigences de résidence et de traitement des données nécessaires aux environnements gouvernementaux sensibles.
L’entreprise relie cette démarche aux projets de modernisation du secteur public, notamment en aidant les organismes fédéraux à adopter des architectures Zero Trust, à protéger les infrastructures contre les attaques avancées par déni de service distribué et à fournir des services numériques plus rapides et plus résilients. Elle a indiqué travailler avec des organismes gouvernementaux américains, notamment le département d’État et le département du Commerce.