Programme FedRAMP (Federal Risk and Authorization Management Program)

Présentation de FedRAMP

Le programme fédéral américain de gestion des risques et des autorisations (FedRAMP) fournit une approche standardisée pour évaluer, surveiller et autoriser les produits et services de cloud computing en vertu de la loi fédérale sur la gestion de la sécurité des informations (FISMA). Il accélère l’adoption de solutions cloud sécurisées par les agences fédérales.

Le Bureau de la gestion et du budget exige désormais que toutes les agences fédérales exécutives utilisent FedRAMP pour valider la sécurité des services cloud. D’autres agences l’ont également adopté, ce qui est également utile dans d’autres domaines du secteur public. Le National Institute of Standards and Technology (NIST) SP 800-53 établit les normes obligatoires. Il établit des catégories de sécurité des systèmes d’information (confidentialité, intégrité et disponibilité) afin d’évaluer l’impact potentiel sur une organisation si ses informations et ses systèmes d’information étaient compromis. FedRAMP est le programme qui certifie qu’un fournisseur de services cloud (CSP) répond à ces normes.

Les fournisseurs de services de chiffrement souhaitant vendre des services à une agence fédérale peuvent emprunter trois voies pour démontrer leur conformité à FedRAMP :

• Obtenir une autorisation provisoire d’opérer (P-ATO) du Joint Authorization Board (JAB). Le JAB est le principal organe de gouvernance et de prise de décision du FedRAMP. Des représentants du ministère de la Défense, du département de la Sécurité intérieure et de l’Administration des services généraux siègent au conseil. Le conseil d’administration accorde un P-ATO aux CSP qui démontrent leur conformité à FedRAMP.
• Recevoir une autorisation d’exploitation (ATO) d’un organisme fédéral.
• Travailler de manière indépendante pour développer un package fourni par le CSP qui répond aux exigences du programme.

Chacune de ces voies nécessite un examen technique rigoureux par le bureau de gestion du programme FedRAMP (PMO) et une évaluation par une organisation tierce indépendante accréditée par le programme.

Les autorisations FedRAMP sont accordées à trois niveaux d’impact en fonction des directives du NIST : faible, moyen et élevé. Ces niveaux classent l’impact que la perte de confidentialité, d’intégrité ou de disponibilité pourrait avoir sur une organisation : faible (effet limité), moyen (effet négatif grave) et élevé (effet grave ou catastrophique).

Microsoft et FedRAMP

Les services cloud gouvernementaux de Microsoft, notamment Azure Government, Microsoft Dynamics 365 Government et Office 365 U.S. Government, répondent aux exigences strictes du programme fédéral américain de gestion des risques et des autorisations (FedRAMP). Les agences fédérales américaines bénéficient des économies de coûts et de la sécurité rigoureuse du Microsoft Cloud.

Les services cloud gouvernementaux de Microsoft offrent aux clients du secteur public une gamme complète de services conformes à FedRAMP, ainsi que des conseils et des outils de mise en œuvre robustes, y compris le blueprint FedRAMP High, qui aide les clients à déployer un ensemble de stratégies de base pour toute architecture déployée Azure qui doit implémenter des contrôles FedRAMP High.

Services et plateformes cloud intégrés à Microsoft

• Azure et Azure Government
• Dynamics 365 pour le gouvernement américain
• Microsoft Intune
• Office 365 (Gouvernement des États-Unis, Gouvernement des États-Unis – Haut, Défense du gouvernement des États-Unis)
• Service Cloud Power BI soit en service autonome, soit inclus dans un plan ou une suite Office 365
• Windows 365 (gouvernement américain, gouvernement américain - élevé)

Azure, Dynamics 365 et FedRAMP

Pour plus d’informations sur la conformité d’Azure, de Dynamics 365 et d’autres services en ligne, consultez l’offre Azure FedRAMP.

Office 365 et FedRAMP

• Office 365 Gouvernement américain (GCC et GCCH) ont des ATO d’agences américaines. Pour plus d’informations, consultez les entrées FedRAMP Marketplace pour GCC et GCCH.
• Office 365 U.S. Government Defense dispose d’un P-ATO de la Defense Information Systems Agency (DISA) des États-Unis. Si vous souhaitez déployer la défense du gouvernement américain d’Office 365, vous pouvez utiliser le P-ATO DISA pour générer un ATO d’agence afin de documenter votre acceptation de celui-ci.

Environnements Office 365

Microsoft Office 365 est une plateforme cloud hyperscale multi-locataire offrant une expérience intégrée d’applications et de services offerts aux clients dans plusieurs régions du monde. La plupart des services Office 365 permettent aux clients de spécifier la région où se trouvent leurs données client. Microsoft peut répliquer les données client dans d’autres régions de la même zone géographique (par exemple, les États-Unis) pour assurer la résilience des données, mais Microsoft ne réplique pas les données client en dehors de la zone géographique choisie.

Cette section couvre les environnements Office 365 suivants :

• Logiciel client (client): logiciel client commercial en cours d’exécution sur les appareils clients.
• Office 365 (commercial) : service cloud Office 365 public commercial disponible dans le monde entier.
• Cloud de la communauté Office 365 Secteur public (GCC) : répertorié sur la place de marché FedRAMP en tant qu’Office 365 (commercial) et également appelé Office 365 Multitenant, et l’environnement GCC. Le service cloud Office 365 GCC est disponible pour les gouvernements fédéral, étatiques, locaux et tribaux des États-Unis, ainsi que pour les sous-traitants détenant ou traitant des données pour le compte du gouvernement américain.
• Cloud de la communauté du secteur public Office 365 - Haut (GCC High): le Service cloud Office 365 GCC High est conçu conformément aux instructions des exigences de contrôle de sécurité de niveau 4 du Ministère de la défense (DoD) et prend en charge les informations fédérales et de défense strictement réglementées. Cet environnement est utilisé par les agences fédérales, la Base industrielle de défense (DIB) et les sous-traitants du secteur public.
• Office 365 DoD (DoD): le Service cloud Office 365 DoD est conçu conformément aux contrôles de niveau 5 des directives de sécurité et prend en charge des réglementations fédérales et de défense strictes. Cet environnement est destiné à une utilisation exclusive par le département de la Défense des États-Unis.

Utilisez cette section pour vous aider à respecter vos obligations de conformité entre les secteurs réglementés et les marchés mondiaux. Pour savoir quels services sont disponibles dans quelles régions, consultez l’articleInformations sur la disponibilité internationale etOù vos données client Microsoft 365 sont stockées. Pour plus d’informations sur l’environnement cloud Office 365 Secteur public, consultez l’article Environnement cloud pour le secteur public Office 365 .

Votre organisation est chargée d’assurer la conformité avec toutes les lois et réglementations applicables. Les informations fournies dans cette section ne constituent pas un avis juridique. Consultez des conseillers juridiques pour toute question relative à la conformité réglementaire de votre organisation.

L’applicabilité d’Office 365 et des services dans l’étendue

Utilisez le tableau suivant pour déterminer l’applicabilité de vos services et abonnements Office 365 :

Audits, rapports et certificats Office 365

Microsoft recertifie ses services cloud chaque année pour assurer la maintenance de ses P-ATO et ATO. Pour ce faire, Microsoft surveille et évalue en permanence ses contrôles de sécurité et démontre que la sécurité de ses services reste conforme.

• Rapports d’audit FedRAMP de Microsoft

Foire aux questions

Les services de cloud computing Microsoft sont-ils conformes à la loi fédérale sur la gestion de la sécurité des informations (FISMA) ?

La FISMA est la loi fédérale qui oblige les agences fédérales américaines et leurs partenaires à acheter des systèmes et des services d’information uniquement auprès d’organisations qui adhèrent aux exigences de la FISMA. La plupart des agences et de leurs fournisseurs qui indiquent qu’ils sont conformes à la FISMA se réfèrent à la façon dont ils respectent les contrôles identifiés par le NIST dans la publication spéciale 800-53 rev 4. Le processus FISMA (mais pas les normes sous-jacentes elles-mêmes) a été remplacé par FedRAMP en 2011.

À qui s’applique FedRAMP ?

FedRAMP est obligatoire pour les déploiements cloud et les modèles de service des agences fédérales aux niveaux d’impact de risque faible et modéré. Toute agence fédérale qui souhaite engager un CSP peut être tenue de respecter les spécifications FedRAMP. De plus, les entreprises qui utilisent des technologies cloud dans des produits ou des services utilisés par le gouvernement fédéral peuvent être tenues d’obtenir un ATO.

Où mon agence commence-t-elle son propre effort de conformité ?

Pour obtenir une vue d’ensemble des étapes que les agences fédérales doivent suivre pour naviguer avec succès dans FedRAMP et répondre à ses exigences, accédez à Rev5 Agency Authorization.

Puis-je utiliser la conformité Microsoft dans le processus d’autorisation de mon agence ?

Oui. Vous pouvez utiliser les certifications des services de cloud computing Microsoft comme base pour tout programme ou initiative nécessitant un ATO d’un organisme du gouvernement fédéral. Toutefois, vous devez obtenir vos propres autorisations pour les composants en dehors de ces services.

Comment configurer et gérer en toute sécurité mon locataire Microsoft 365 pour répondre aux exigences du Guide de configuration sécurisée de FedRAMP ?

La documentation et les ressources de Microsoft 365 pour les entreprises sont la page d’accueil des administrateurs de clients Microsoft 365. La documentation de Microsoft Entra couvre des rubriques liées à l’utilisation d’ID Entra pour la gestion des accès.

Les pages spécifiques de Microsoft Learn intéressantes sont les suivantes :

Gestion des comptes

• Configurer Microsoft Entra ID pour répondre au niveau d’impact élevé FedRAMP
• Configurez les contrôles d’accès aux identités pour respecter le niveau d’impact élevé FedRAMP avec Microsoft Entra ID
• Gérer les comptes d’administrateur d’accès d’urgence

Valeurs par défaut sécurisées

• Configurer les paramètres de sécurité par défaut pour Microsoft Entra ID
• Autorisations de l’utilisateur par défaut
• Paramètres du mode de sécurité de base

Comparaison des paramètres actuels aux valeurs par défaut recommandées

• Qu’est-ce que le score d’identité sécurisée ?
• Niveau de sécurité Microsoft
• Gestionnaire de conformité Microsoft Purview
• Vue d’ensemble de l’évaluation de la confiance nulle

Export et gestion des paramètres de sécurité via API

• Présentation de Microsoft Graph

Utiliser le Gestionnaire de conformité Microsoft Purview pour évaluer vos risques

Le gestionnaire de conformité Microsoft Purview est une fonctionnalité du portail Microsoft Purview qui vous aide à comprendre le statut de conformité de votre organisation et à prendre des mesures pour réduire les risques. Le Gestionnaire de Conformité offre un modèle Premium pour la création d’une évaluation de ce règlement. Recherchez le modèle sur la page modèles d’évaluation dans le Gestionnaire de Conformité. Découvrez comment créer des évaluations dans le Gestionnaire de Conformité.

Ressources

• Programme fédéral de gestion des risques et des autorisations
• Gestion de la conformité dans le cloud chez Microsoft
• Cloud Microsoft Service publique