Guida alla conformità continua FedRAMP

Una volta ottenuta l'autorizzazione iniziale FedRAMP (ovvero Federal Risk and Authorization Management Program), un'organizzazione deve mantenere un monitoraggio continuo della sicurezza, la gestione delle vulnerabilità e il controllo delle modifiche, fornendo al contempo al governo valutazioni annuali, report sugli incidenti e risultati delle scansioni. Questo processo spesso è gestito da un ufficio interno di gestione dei progetti FedRAMP (o PMO). Il mancato rispetto dei requisiti FedRAMP può comportare la perdita dell'autorizzazione e la conseguente risoluzione dei contratti con le agenzie governative.

Nel marzo 2025, la General Services Administration (GSA) ha lanciato FedRAMP 20x, un nuovo percorso di autorizzazione progettato per accelerare il processo di rendicontazione FedRAMP. Il processo precedente, che verrà gradualmente sostituito da FedRAMP 20x, prende il nome di FedRAMP Rev5. Sebbene FedRAMP smetterà di accettare richieste di nuove certificazioni Rev5 a partire dall'11 giugno 2027, FedRAMP continuerà a supportare la Rev5 mentre introduce gradualmente le pratiche di FedRAMP 20x.

FedRAMP 20x promuove una strategia di monitoraggio costante (o, nel gergo FedRAMP, "ConMon") e la conformità, privilegiando le "prove dinamiche", tra cui "dimostrazioni in tempo reale, richieste dirette, risultati leggibili dalla macchina e andamenti storici", secondo le istruzioni GSA.

La conformità costante di FedRAMP si differenzia dalla pratica generale di conformità continua non solo per la sua applicazione più specifica, ma anche per i requisiti di conformità imposti da FedRAMP, tra cui una maggiore importanza sul controllo delle modifiche attraverso la registrazione e la valutazione della sicurezza di ogni modifica apportata al sistema, i requisiti di rendicontazione specifici imposti dall'alto (anziché determinati dall'organizzazione per soddisfare le esigenze aziendali) e il maggior numero di stakeholder coinvolti, tra gli altri fattori.

Alcuni degli elementi più fondamentali della sovranità digitale di un'organizzazione, ovvero la capacità di mantenere e dimostrare il controllo e l'autorità sui propri sistemi tecnologici ed ecosistemi, sui dati, sulle operazioni e sull'intelligenza artificiale (AI), sono in linea con la pratica della conformità costante FedRAMP. Soprattutto attraverso FedRAMP 20x, la conformità continua a FedRAMP contribuisce a garantire la sovranità fornendo una visibilità continua sul funzionamento dei sistemi cloud.

La conformità a FedRAMP nell'ambito del modello di autorizzazione legacy Rev5 richiede ai CSP di collaborare con un PMO federale FedRAMP per:

-       Implementare specifici controlli di sicurezza

-       Superare una valutazione indipendente condotta da un ente di valutazione di terze parti (3PAO)

-       Ottenere l’Autorizzazione all'Operatività (ATO)

-       Monitorare costantemente la conformità dei sistemi

Le offerte di cloud service possono essere pubblicate sul marketplace FedRAMP in fasi definite prima del completamento di questo processo, a seconda della certificazione FedRAMP applicabile in base al loro livello di rischio.

I controlli di sicurezza richiesti da FedRAMP si basano sullo standard NIST SP 800-53, che impone controlli per le seguenti categorie, tra le altre:

-       Piani di risposta agli incidenti e raccolta delle prove

-       Livello di sicurezza fisica

-       Scansione e gestione delle vulnerabilità

-       Test di penetrazione

-       Registrazione degli audit

-       Controllo degli accessi

-       Identità e autenticazione

-       Crittografia

Nell'ambito del modello Rev5, i requisiti FedRAMP variano in base al livello di impatto autorizzato dell'offerta. Queste valutazioni del rischio sono classificate come Basso, Moderato o Alto in base al potenziale effetto di una perdita di riservatezza, integrità o disponibilità. Inoltre, Li-SaaS rappresenta una linea di base a basso impatto per le offerte SaaS idonee che presentano funzionalità limitate e dati poco sensibili (come l'inclusione di informazioni di identificazione personale, o PII). FedRAMP 20x utilizza le classi di certificazione da A a D (sebbene la classe D non sia ancora disponibile), che non sono equivalenti ai livelli di impatto della Rev5.

La maggior parte delle valutazioni FedRAMP Rev5 viene eseguita da un'organizzazione di valutazione di terze parti riconosciuta da FedRAMP, o 3PAO. Queste valutazioni verificano se i controlli di sicurezza richiesti siano stati implementati, se funzionino in modo efficace e se il rischio sia gestito in modo adeguato.

L'organizzazione definisce innanzitutto un Piano di sicurezza del sistema (SSP) che descrive l'ambiente IT; successivamente, la 3PAO elabora un Piano di valutazione del sistema (SAP) che illustra le modalità con cui verrà verificata l'adeguatezza dell'ambiente; il tutto viene poi documentato in un Report di valutazione della sicurezza (SAR) che riassume i risultati, sulla base dei quali il governo deciderà se concedere o meno un'autorizzazione operativa (ATO).

Per ottenere un'Autorizzazione all'Operatività (ATO), un'organizzazione deve correggere eventuali problemi rilevati durante la valutazione del 3PAO e presentare alle autorità di regolamentazione un fascicolo comprendente:

-       L'SSP e i documenti di supporto

-       Il SAP

-       Il SAR

-       Risultati relativi alle vulnerabilità

-       Il proprio Piano d'Azione e le Tappe Fondamentali (POA&M), un registro delle vulnerabilità note e delle misure correttive pianificate

-       Le misure correttive già intraprese dal fornitore

-       I rischi residui noti

Nell'ambito del percorso di autorizzazione Rev5 a livello di agenzia, un funzionario con potere di autorizzazione esamina il fascicolo e decide se accettare il rischio residuo e rilasciare un'ATO. Nell’ambito di FedRAMP 20x, FedRAMP rilascia la certificazione mentre le agenzie continuano a prendere le proprie decisioni di autorizzazione riguardo all'uso del cloud service.

Una volta rilasciata l'ATO, le organizzazioni devono convalidarla continuamente soddisfacendo i requisiti di monitoraggio costante.

Il Playbook sul monitoraggio continuo di FedRAMP descrive tre processi principali di monitoraggio:

-       Visibilità operativa, ovvero la capacità di produrre registri e report che dimostrino la conformità

-       Controllo delle modifiche, ovvero un processo consolidato per garantire la conformità in caso di modifiche al sistema

-       Risposta agli incidenti, ovvero "la capacità di rispondere adeguatamente agli incidenti di sicurezza e alle direttive di emergenza."

In linea con la sua importanza su una conformità semplificata e continua, FedRAMP 20x si orienta verso l'importanza su:

-       Convalida automatizzata

-       prove riproducibili o "dinamiche"

-       report leggibili dalla macchina

-       misurazione costante

La conformità continua, ovvero la pratica di monitorare in modo continuo e automatico la conformità dei sistemi anziché eseguire audit periodici, soddisfa i requisiti del programma di monitoraggio continuo di FedRAMP.

La conformità continua FedRAMP opera automatizzando i seguenti processi:

-       Scansione e monitoraggio del sistema

-       Rendicontazione alle agenzie federali

-       Definizione del controllo delle modifiche

-       Valutazione e aggiornamento del pacchetto di autorizzazione

La conformità continua supporta il ConMon automatizzando i processi di monitoraggio e scansione che producono prove di conformità.

La scansione delle vulnerabilità è un elemento fondamentale di ConMon che può essere ampiamente automatizzato nell'ambito di una pratica di conformità continua.

Nel contesto di FedRAMP, la scansione delle vulnerabilità comporta

-       Scansione di sistemi operativi, database, applicazioni web, infrastruttura, immagini dei container e altri componenti

-       Convalida dei risultati e valutazione in termini di rischio e gravità

-       Assegnazione delle responsabilità per la correzione, monitoraggio e verifica del completamento

-       Compilazione e invio di report su tutto quanto riportato in precedenza

Altrettanto importante quanto la scansione delle vulnerabilità è la pratica di mantenere l'observability, ovvero la capacità di analizzare il funzionamento di un sistema valutandone gli output.

Questo processo, che può essere ottimizzato attraverso l'automazione, comprende la raccolta di log, metriche, tracce e altre prove relative a:

-       Gestione della configurazione di sistema e di rete

-       Vulnerabilità

-       Eventi di sicurezza

-       Accesso degli utenti e privilegiato

-       Operazioni di controllo

-       Modifiche all'ambiente

-       Riscontri aperti e stato della correzione

ConMon richiede una gestione della configurazione, che comporta il monitoraggio della deriva di configurazione, ovvero quando una rete, un'applicazione, un dispositivo o un altro sistema IT si discosta gradualmente e involontariamente dalle impostazioni di base previste.

Questo processo può essere in gran parte automatizzato nell'ambito di una pratica di conformità costante, che include il monitoraggio di:

-       Modifiche di configurazione di emergenza

-       Modifiche manuali

-       Creazione di nuove risorse cloud

-       Dipendenze di servizio non tracciate

-       Modifiche alle regole di rete

-       Nuovi account con privilegi

-       Aggiornamenti software

-       Modifiche alla crittografia o alla registrazione

-       Espansione in nuove regioni operative

I CSP possono stabilire una pratica di conformità continua per la rendicontazione ai funzionari con potere di autorizzazione di FedRAMP utilizzando l'automazione per identificare potenziali aggiornamenti al POA&M e automatizzando la creazione dei risultati finali.

Il Piano d’Azione e le Tappe Fondamentali (POA&M) costituisce un registro delle vulnerabilità note e dei relativi piani di correzione. Il POA&M deve descrivere:

-       Qual è il punto debole

-       Quali sono i sistemi interessati

-       Il rischio o la gravità della debolezza

-       Il piano di correzione e lo stato di avanzamento

-       Chi è responsabile della correzione

-       Eventuali fattori attenuanti e dipendenze

Il processo ConMon fornisce autonomamente informazioni al POA&M; successivamente, i servizi e le procedure automatizzate possono attivare i workflow di correzione.

Con la Rev5, l'automazione può aiutare a produrre documenti da consegnare ricorrenti, come ad esempio i risultati delle scansioni delle vulnerabilità, gli aggiornamenti del POA&M, le modifiche all'inventario e lo stato delle azioni correttive. Nell'ambito della versione 20x, l'automazione supporta anche i dati di certificazione leggibili dalla macchina, i report di certificazione continui e le prove di convalida mantenute in modo continuo.

Il controllo delle modifiche è un elemento fondamentale di ConMon che richiede ai CSP di monitorare perché e quali modifiche vengono apportate e se tali modifiche sono conformi ai requisiti FedRAMP; tutti questi aspetti possono essere supportati da pratiche di conformità costante.

Gli elementi fondamentali della conformità automatizzata che supportano il controllo delle modifiche sono:

-       Visibilità, ovvero la fornitura di informazioni di base su quali modifiche sono state apportate e perché

-       Analisi dei rischi, ovvero la documentazione del rischio potenziale rappresentato da una modifica

-       Governance, ovvero la garanzia che le modifiche vengano classificate e condotte correttamente secondo i requisiti FedRAMP

-       Convalida, ovvero garantire che la modifica apportata sia stabile, sicura e autorizzata

-       Garanzia, ovvero la prova delle pratiche sopra descritte

Nell'ambito degli attuali modelli di autorizzazione delle agenzie (Rev5) e del Joint Authorization Board (JAB) legacy, i CSP sono sottoposti a valutazioni annuali che possono includere:

-       Sviluppo del programma di valutazione

-       Revisione e aggiornamento della documentazione.

-       Esecuzione di test di risposta agli incidenti e dei piani di emergenza.

-       Definizione dell'ambito della valutazione

-       Sviluppo del SAP

-       Briefing dei clienti delle agenzie in merito al piano

-       Esecuzione della valutazione di sicurezza e redazione del SAR

-       Completamento o aggiornamento del POA&M

Inoltre, quando un CSP è più importante di un'agenzia federale, deve sviluppare una strategia ConMon collaborativa che identifichi i requisiti specifici di ciascuna agenzia e stabilisca un processo semplificato per la generazione dei report per ciascuna di esse.

FedRAMP 20x incarna molti principi di conformità continua, il che significa che pone l'accento su mezzi di monitoraggio e controllo diversi rispetto al processo di autorizzazione FedRAMP legacy.

Questi includono:

-       Indicatori chiave di sicurezza (KSI), ovvero risultati di sicurezza definiti e misurati (anziché valutare le misure di controllo già in atto)

-       Prove leggibili dalla macchina, comprese dimostrazioni in tempo reale, risultati leggibili dalla macchina e andamenti storici relativi all'ambiente di sicurezza

-       Valutazione del sistema di misurazione e convalida dello stesso sistema, comprese le informazioni sulle risorse e sui dati inclusi nel suo ambito di applicazione, il processo di raccolta dei dati e le misure da adottare in caso di mancata riuscita della convalida

-       Convalida continua anziché affidarsi a istantanee di rendicontazione

La conformità continua FedRAMP rappresenta l'applicazione specifica dei principi di conformità continua all'autorizzazione FedRAMP e, pertanto, presenta diversi elementi chiave che la differenziano dalla prassi abituale.

Per le offerte Rev5, il monitoraggio continuo supporta le decisioni delle agenzie relative al mantenimento di un'ATO. Per le offerte 20x, le prove persistenti e la rendicontazione continua supportano il mantenimento della certificazione FedRAMP e le decisioni delle agenzie in materia di rischio. Mentre la conformità continua tradizionale è spesso intesa ad aiutare un'organizzazione a mantenere una prontezza generale per gli audit, la conformità continua FedRAMP ha obiettivi specifici legati alla propria ATO.

Rispetto ai modelli di audit puntuali, FedRAMP Rev5 pone un accento sostanziale sulla segnalazione ricorrente delle vulnerabilità, sulla gestione del cambiamento, sulla valutazione annuale indipendente e sulla supervisione continua da parte delle agenzie.

Inoltre, coinvolge un ecosistema più ampio di stakeholder, tra cui:

-       Fornitori cloud service che cercano di ottenere o mantenere la propria ATO

-       Agenzie federali che stipulano contratti con tali fornitori di servizi cloud

-       Funzionari con potere di autorizzazione del governo federale

-       Organizzazioni di valutazione di terze parti, ovvero 3PAO

FedRAMP 20x allinea il programma in modo più rigoroso alla conformità continua, ponendo l'accento sulla raccolta automatizzata delle prove, sui dati leggibili dalla macchina, sul monitoraggio persistente e sull'integrazione con le pratiche DevSecOps.

L'accento posto da FedRAMP 20x sul monitoraggio continuo, sulle prove automatizzate e sulla convalida costante può supportare gli obiettivi aziendali relativi alla sovranità digitale, ovvero la capacità di mantenere e dimostrare il controllo e l'autorità sui propri sistemi tecnologici ed ecosistemi, sui dati, sulle operazioni e sull'intelligenza artificiale (AI).

La visibilità continua resa possibile dalle pratiche di conformità continua può aiutare i fornitori di servizi cloud (CSP) a verificare di operare con regioni di hosting, standard dell’ambiente cloud, configurazioni infrastrutturali e dipendenze di servizio approvati. Il monitoraggio convalida inoltre le restrizioni di accesso amministrativo, i controlli sugli accessi privilegiati, le politiche di separazione dei compiti e i modelli di crittografia, tutti elementi fondamentali per soddisfare gli obiettivi di sovranità relativi a chi può accedere ai dati sensibili.

Il monitoraggio continuo rileva inoltre più rapidamente le violazioni di conformità che potrebbero comportare costose sanzioni ai sensi di regimi normativi non correlati. L'orientamento di FedRAMP 20x verso la misurazione, la convalida e la documentazione continue supporta gli obiettivi di sovranità relativi a controlli, monitoraggio, conformità automatizzata, prove leggibili dalla macchina e attestazione in tempo reale.