A Cloudflare anunciou que a plataforma Cloudflare for Government alcançou a certificação FedRAMP Class D (High), em uma iniciativa que busca permitir que órgãos governamentais americanos utilizem seus serviços para lidar com os dados governamentais não classificados mais sensíveis. Paralelamente, a empresa afirmou que começou a utilizar os sistemas desenvolvidos para essa certificação como base de seu compromisso de buscar uma autorização DoD Impact Level 4 (IL4) do Departamento de Defesa dos Estados Unidos.
O anúncio foi feito em colaboração com a entidade que patrocinou o processo de certificação, o Instituto Nacional de Padrões e Tecnologia (NIST). A Cloudflare havia obtido a certificação FedRAMP Moderate em 2022, mas a transição para o nível High não representa um simples aumento gradual: ela exige o cumprimento de requisitos mais complexos, com um aumento significativo dos impactos de qualquer possível falha nos controles de segurança.
O que significa a certificação FedRAMP High?
O programa FedRAMP é um programa governamental americano em nível federal que estabelece uma metodologia unificada para avaliar, autorizar e monitorar continuamente a segurança de produtos e serviços de nuvem. A Cloudflare explica que obter o status de certificação exige a avaliação das capacidades da empresa por uma agência federal, o patrocínio dessa agência para a autorização completa e, depois, a validação da autorização pelo Escritório de Gestão do Programa FedRAMP.
O FedRAMP Class D (High) classifica os sistemas que lidam com os dados governamentais não classificados mais sensíveis, incluindo dados relacionados à aplicação da lei, serviços de emergência, sistemas financeiros e segurança nacional. Segundo a empresa, uma violação dos controles desses sistemas pode ter consequências catastróficas, como causar perda de vidas ou ameaçar a segurança econômica e nacional dos Estados Unidos. Isso difere do Class C (Moderate), que abrange sistemas cuja violação poderia causar um impacto negativo grave, como alguns sistemas do Serviço Nacional de Parques.
Uma única rede com controles de localização de dados
A Cloudflare afirma que sua oferta governamental não depende de uma versão separada, isolada e limitada de sua plataforma comercial. Em vez disso, os serviços FedRAMP High foram construídos sobre a mesma rede global que opera os serviços da empresa, utilizando os mesmos softwares em seus centros de dados e baseando-se no conceito de distribuição regional definida por software.
A empresa utiliza o Data Localization Suite para aplicar controles precisos sobre o local de processamento e armazenamento dos dados. Para os serviços FedRAMP High, a Cloudflare afirma que pode garantir que a inspeção e o processamento do tráfego sejam realizados exclusivamente dentro de seus centros de dados localizados nos Estados Unidos.
De acordo com o anúncio, os órgãos federais dentro dos Estados Unidos terão acesso a ferramentas de segurança Zero Trust, recursos de otimização do desempenho de aplicações e novos recursos de produtos para desenvolvedores quando forem lançados, em vez de utilizar uma plataforma governamental atrasada em relação à plataforma comercial. O texto não especifica detalhes separados sobre condições de disponibilidade ou preços.
O próximo passo: DoD IL4
A Cloudflare explicou que o DoD IL4 é o padrão de cibersegurança do Departamento de Defesa dos Estados Unidos para sistemas que lidam com dados controlados e não classificados. A empresa considera que os sistemas projetados para o processo FedRAMP High formarão a espinha dorsal de sua futura oferta voltada à obtenção da autorização IL4, mas anunciou a busca pela autorização e não afirmou tê-la obtido.
A Cloudflare afirma que essa abordagem poderá permitir que órgãos governamentais e a comunidade de defesa tenham acesso a inovações de segurança e novas ferramentas em um ritmo mais próximo ao de sua plataforma pública, mantendo os requisitos de residência e processamento de dados necessários para ambientes governamentais sensíveis.
A empresa relaciona essa iniciativa aos planos de modernização do setor público, incluindo ajudar órgãos federais a adotar arquiteturas Zero Trust, proteger a infraestrutura contra ataques distribuídos avançados de negação de serviço e oferecer serviços digitais mais rápidos e flexíveis. Ela afirmou que trabalha com órgãos governamentais americanos, entre eles o Departamento de Estado e o Departamento de Comércio.