Cloudflareは、Cloudflare for GovernmentプラットフォームがFedRAMP Class D（High）認定ステータスを取得したと発表しました。これは、米国政府機関が最も機密性の高い非機密政府データを扱うために同社のサービスを利用できるようにすることを目的としたものです。これと並行して同社は、この認定のために開発したシステムを、米国国防総省からDoD Impact Level 4（IL4）ライセンスを取得する取り組みの基盤として利用し始めたと述べました。
この発表は、認定プロセスのスポンサー機関である米国国立標準技術研究所（NIST）との協力で行われました。Cloudflareは2022年にFedRAMP Moderate認定を取得していましたが、Highレベルへの移行は単純な段階的向上ではなく、より複雑な要件を満たす必要があり、セキュリティ管理策における潜在的な不備がもたらす影響も大幅に大きくなります。
FedRAMP High認定は何を意味するのか？
FedRAMPは、連邦政府全体を対象とする米国政府のプログラムで、クラウド製品およびサービスのセキュリティを評価・認可し、継続的に監視するための統一された方法論を定めています。Cloudflareによると、認定ステータスを取得するには、連邦政府機関による同社の能力の審査、その機関による完全な認可のスポンサー、そしてFedRAMPプログラム管理局による認可の検証が必要です。
FedRAMP Class D（High）は、法執行、緊急サービス、金融システム、国家安全保障に関連するデータを含む、最も機密性の高い非機密政府データを扱うシステムを分類します。同社によると、これらのシステムに関する管理策が侵害された場合、人命の損失や米国の経済および国家安全保障への脅威など、壊滅的な結果を招く可能性があります。これは、侵害によって深刻な悪影響が生じる可能性のあるシステムを対象とするClass C（Moderate）とは異なります。国立公園局の一部のシステムなどがその例です。
データローカリゼーション管理を備えた単一ネットワーク
Cloudflareによると、同社の政府向けサービスは、商用プラットフォームから分離され、限定された別個のコピーに依存していません。その代わり、FedRAMP Highサービスは同社のサービスを稼働させているものと同じグローバルネットワーク上に構築され、同社のデータセンターでは同じソフトウェアを使用し、ソフトウェアで定義されたリージョナル分散の概念に基づいています。
同社はData Localization Suiteを利用して、データを処理・保存する場所に対するきめ細かな管理を適用しています。FedRAMP HighサービスについてCloudflareは、トラフィックの検査と処理を米国内にある自社のデータセンター内だけで実行できることを保証できると述べています。
発表によると、米国内の連邦政府機関は、商用プラットフォームに遅れた政府向けプラットフォームを利用するのではなく、Zero Trustセキュリティツール、アプリケーションのパフォーマンス最適化機能、リリース時の新しい開発者向け製品機能を利用できるようになります。提供条件や価格に関する個別の詳細は本文では明らかにされていません。
次の段階：DoD IL4
Cloudflareは、DoD IL4が、管理対象の非機密データを扱うシステムを対象とする米国国防総省のサイバーセキュリティ基準であると説明しました。同社は、FedRAMP Highのプロセス向けに設計されたシステムが、IL4ライセンス取得を目指す将来のサービスの中核になると考えていますが、発表したのはライセンス取得を目指すことであり、取得したとは発表していません。
Cloudflareによると、このアプローチにより、政府機関および防衛コミュニティは、機密性の高い政府環境に必要なデータの所在および処理要件を維持しながら、同社の一般向けプラットフォームに近いペースでセキュリティイノベーションや新しいツールにアクセスできる可能性があります。
同社はこの取り組みを、公共部門の近代化計画と結び付けています。これには、連邦政府機関によるZero Trustアーキテクチャの導入支援、高度な分散型サービス拒否攻撃からのインフラ保護、より高速で柔軟なデジタルサービスの提供が含まれます。同社は、米国務省や米国商務省などの米国政府機関と協力していると述べました。