Passer au contenu

Comment Modern Requirements4DevOps soutient la conformité FedRAMP

Modern Requirements soutient la conformité FedRAMP.

Points clés

  • Les agences fédérales aux États-Unis devraient travailler avec des outils infonuagiques relevant des environnements autorisés par FedRAMP. C’est une exigence de conformité de base pour tout système qui gère des données gouvernementales.
  • Azure DevOps Services, qui est la version cloud publique de Microsoft, ne fait pas partie de la liste approuvée par FedRAMP. Donc, si vous utilisez cette version, les outils à l’intérieur, y compris les extensions, ne respectent pas automatiquement les normes FedRAMP.
  • D’un autre côté, Azure Government est conçu spécifiquement pour les charges de travail fédérales et est officiellement indiqué comme FedRAMP High, autorisé sur le marché gouvernemental lui-même.
  • Modern Requirements4DevOps, une solution de gestion des exigences de bout en bout, ne possède pas de certification FedRAMP distincte. Cependant, lorsque vous installez Modern Requirements4DevOps dans Azure Government ou dans un environnement sur site qui répond déjà aux exigences FedRAMP, toute la configuration reste dans une zone conforme. C’est ce qui le rend adapté au travail réglementé sans avoir besoin de certification supplémentaire.

Qu’est-ce que FedRAMP et pourquoi c’est important?

Le programme FedRAMP (Federal Risk and Authorization Management Program) a été lancé en décembre 2011 par le gouvernement américain afin d’introduire une approche standardisée pour établir des règles sur la protection des données fédérales sensibles des services cloud en vertu de la Federal Information Security Management Act (FISMA). Son objectif principal est d’accélérer l’adoption d’outils infonuagiques sécurisés et fiables au sein des agences fédérales américaines.

FedRAMP offre trois façons pour les services infonuagiques d’être autorisés :

  • Autorisation provisoire d’exploitation (P-ATO) : Examiné et approuvé par le Conseil conjoint d’autorisation de FedRAMP (JAB).
  • Autorisation d’exploitation (ATO) : Accordé directement par une agence fédérale spécifique qui a l’intention d’utiliser le service.

Forfait fourni par CSP : Créé par le fournisseur de services infonuagiques (CSP) lui-même pour montrer comment il répond aux exigences FedRAMP.

Les trois voies nécessitent une évaluation complète de la sécurité par un organisme d’évaluation tiers approuvé (3PAO), suivie d’un examen technique par le Bureau de gestion du programme FedRAMP (PMO).

Pourquoi est-ce important?

Parce que si un service infonuagique n’est pas conforme à FedRAMP, plusieurs agences fédérales ne peuvent légalement pas l’utiliser. Et pour les entrepreneurs ou partenaires, l’utilisation d’outils non approuvés peut entraîner des retards, voire la disqualification des projets.

Options de déploiement Azure et conformité FedRAMP

Type de déploiement
Conformité FedRAMP
Détails
Azure DevOps Services (Public)
Non autorisé par FedRAMP
C’est la version commerciale dans le nuage. Cela ne relève pas de l’autorisation FedRAMP de Microsoft. Les outils utilisés ici sont considérés en dehors des limites de FedRAMP.
Azure DevOps Server (On-Premises)
Ça dépend de ton installation
S’il est hébergé dans un réseau autorisé par FedRAMP, il peut répondre à la conformité. Mais la responsabilité de la sécurité et de la documentation reste à votre équipe.
Azure Government
FedRAMP High autorisé
C’est le cloud dédié de Microsoft pour l’usage gouvernemental américain. Il est listé sur le marché officiel FedRAMP et inclut les services DevOps dans le cadre de la limite conforme.

Sur la capture d’écran ci-dessous, vous pouvez clairement voir qu’Azure Government est listé comme un produit autorisé par FedRAMP. Ce n’est pas une supposition; C’est vérifié publiquement.

Azure Government obtient l’autorisation et l’inscription FedRAMP.
Azure Government est maintenant entièrement autorisé par FedRAMP et inscrit sur le marché FedRAMP.

Voici comment Requirements 4DevOps moderne fonctionne dans des limites conformes à FedRAMP

Modern Requirements4DevOps est une solution de gestion des exigences de bout en bout conçue pour fonctionner dans Azure DevOps.

Parce que Modern Requirements4DevOps fonctionne comme une extension au sein d’Azure DevOps, son statut de conformité dépend entièrement de l’endroit où Azure DevOps est hébergé.

  • Lorsque Modern Requirements4DevOps est installé dans Azure DevOps Services (nuage public), il s’exécute en dehors des limites FedRAMP, car la version publique d’Azure DevOps n’est pas autorisée par FedRAMP.
  • Lorsque Modern Requirements4DevOps est installé dans Azure Government, qui est déjà autorisé par FedRAMP High, il fonctionne entièrement à l’intérieur des limites conformes. Dans ce cas, aucune certification supplémentaire n’est requise.
  • Il en va de même pour les configurations Azure DevOps Server sur site qui font déjà partie d’un environnement approuvé par FedRAMP. Modern Requirements4DevOps hérite de cette conformité tant que tout reste à l’intérieur du réseau sécurisé.

Il est clair que Modern Requirements4DevOps ne stocke ni ne traite les données en dehors d’Azure DevOps. Ainsi, aucun risque externe n’est introduit. Tout reste dans votre infrastructure choisie et autorisée, ce qui permet à Modern Requirements4DevOps d’être utilisé en toute sécurité dans des environnements de haute conformité, tant que la plateforme d’hébergement est déjà conforme à FedRAMP.

Débuter avec Modern Requirements4DevOps : une liste de vérification

Avant de commencer à utiliser Modern Requirements4DevOps dans Azure, suivez la liste de vérification ci-dessous :

  • Évaluez où fonctionne votre Azure DevOps. Est-ce dans le nuage public, Azure Government, ou sur un serveur auto-hébergé?
  • Ensuite, assurez-vous que votre installation correspond aux exigences de FedRAMP. Le nuage public ne fonctionnera pas si vous devez rester dans une limite certifiée. Vous devez utiliser soit Azure Government, soit une instance Azure auto-hébergée certifiée FedRAMP.
  • Installez Modern Requirements 4DevOps dans cette même limite.
  • Utilisez des outils intégrés comme Azure Policy et Microsoft Defender pour vous assurer que l’environnement auto-hébergé reste conforme au fil du temps.

Foire aux questions (FAQ)

1. Est-ce que Modern Requirements4DevOps possède sa propre certification FedRAMP?

Non, ce n’est pas le cas. Modern Requirements4DevOps n’a pas besoin d’obtenir la certification FedRAMP puisqu’il ne s’agit pas d’un service cloud distinct et fonctionne au sein d’Azure Government, qui est déjà autorisé par FedRAMP. Donc, MR4DevOps hérite de toutes les fonctionnalités de sécurité d’Azure Government.

Du tout. Tout, y compris les exigences, les diagrammes, les cas d’usage et les commentaires, reste dans Azure. Modern Requirements4DevOps n’héberge pas et ne déplace pas vos données ailleurs.

Dans la plupart des cas, non. Comme Modern Requirements4DevOps n’introduit pas de nouvelle frontière cloud, il relève de la couverture FedRAMP existante d’Azure Government. Votre équipe de sécurité et de conformité peut généralement l’approuver en fonction de cela.

Table des matières

Commencez à utiliser Modern Requirements dès aujourd’hui

✅ Définir, gérer et tracer les exigences dans Azure DevOps
✅ Collaborez sans effort entre les équipes réglementées
✅ Commencez GRATUITEMENT — pas besoin de carte de crédit

Start Free Trial

Articles récents