Cloudflare объявила, что платформа Cloudflare for Government получила статус аккредитации FedRAMP Class D (High) — шаг, призванный обеспечить американским государственным органам возможность использовать её услуги для работы с наиболее чувствительными несекретными государственными данными. Параллельно компания заявила, что начала использовать системы, разработанные для этой аккредитации, в качестве основы для своего обязательства стремиться получить разрешение DoD Impact Level 4 (IL4) от Министерства обороны США.
Объявление было сделано совместно с организацией, курирующей процесс аккредитации, — Национальным институтом стандартов и технологий (NIST). Cloudflare получила аккредитацию FedRAMP Moderate в 2022 году, однако переход на уровень High не является простым постепенным повышением: он требует выполнения более сложных требований, а потенциальные последствия любого сбоя в работе средств контроля безопасности значительно возрастают.
Что означает аккредитация FedRAMP High?
Программа FedRAMP — это государственная программа США на уровне федерального правительства, устанавливающая единую методологию оценки безопасности облачных продуктов и услуг, их авторизации и постоянного мониторинга. Cloudflare поясняет, что получение аккредитованного статуса требует проверки возможностей компании федеральным агентством, курирования этим агентством полной авторизации, а затем подтверждения авторизации Управлением программы FedRAMP.
FedRAMP Class D (High) классифицирует системы, работающие с наиболее чувствительными несекретными государственными данными, включая данные, связанные с правоохранительной деятельностью, службами экстренной помощи, финансовыми системами и национальной безопасностью. По словам компании, нарушение средств контроля для таких систем может иметь катастрофические последствия, например привести к гибели людей или поставить под угрозу экономическую и национальную безопасность США. Это отличается от Class C (Moderate), охватывающего системы, нарушение работы которых может привести к серьёзному негативному воздействию, например некоторые системы Службы национальных парков.
Единая сеть с механизмами локализации данных
Cloudflare утверждает, что её государственное предложение не основано на отдельной, изолированной и ограниченной версии коммерческой платформы. Вместо этого услуги FedRAMP High построены на той же глобальной сети, на которой работают сервисы компании, с использованием того же программного обеспечения в принадлежащих ей центрах обработки данных и опорой на концепцию программно заданного регионального распределения.
Компания использует Data Localization Suite для применения точных ограничений на место обработки и хранения данных. Для услуг FedRAMP High Cloudflare заявляет, что может гарантировать выполнение проверки и обработки трафика исключительно в принадлежащих ей центрах обработки данных, расположенных в США.
Согласно объявлению, федеральные органы США получат инструменты безопасности Zero Trust, возможности повышения производительности приложений и новые функции продуктов для разработчиков по мере их выпуска, вместо использования государственной платформы, отстающей от коммерческой. В тексте не указаны отдельные подробности об условиях доступности или ценах.
Следующий шаг: DoD IL4
Cloudflare пояснила, что DoD IL4 — это стандарт кибербезопасности Министерства обороны США для систем, работающих с контролируемыми несекретными данными. Компания считает, что системы, разработанные для процесса FedRAMP High, станут основой её будущего предложения, нацеленного на получение разрешения IL4, однако она объявила о стремлении получить это разрешение, а не о его получении.
Cloudflare заявляет, что такой подход может предоставить государственным органам и оборонному сообществу доступ к инновациям в сфере безопасности и новым инструментам с темпами, близкими к темпам её общедоступной платформы, при сохранении требований к размещению и обработке данных, необходимых для чувствительных государственных сред.
Компания связывает этот шаг с планами модернизации государственного сектора, включая помощь федеральным органам во внедрении архитектур Zero Trust, защиту инфраструктуры от современных распределённых атак типа «отказ в обслуживании» и предоставление более быстрых и гибких цифровых услуг. Она сообщила, что работает с государственными органами США, включая Государственный департамент и Министерство торговли.