Punti chiave
- L’ambito di applicazione di FedRAMP può estendersi agli MSP che gestiscono clienti i quali trattano dati federali in modo indiretto, tra cui studi legali, strutture sanitarie, comuni e istituti scolastici che ricevono finanziamenti federali.
- La NIST SP 800-60 classifica contenziosi, attività giudiziarie e cartelle cliniche militari come potenziali dati federali, esponendo a obblighi di conformità gli MSP che servono questi settori.
- Piattaforme RMM, backup cloud, patching gestito, accesso remoto e strumenti di condivisione dello schermo possono rientrare nell’ambito di applicazione se installano agent, accedono ad ambienti interni o archiviano dati dei clienti.
- Strumenti non conformi espongono alla perdita di contratti con i clienti, a sanzioni economiche e a una responsabilità diretta dell’MSP in caso di indagini o contenziosi.
- Verifica l’elenco dei clienti per individuare l’esposizione a dati federali, confronta il tuo stack con il FedRAMP Marketplace e dai priorità alla migrazione dei clienti a maggior rischio verso strumenti autorizzati.
C’è un vecchio detto in ambito giuridico: l’ignoranza non è una scusante.
FedRAMP (Federal Risk and Authorization Management Program) è stato a lungo considerato un tema che riguarda solo il governo federale: una questione da lasciare ad agenzie, contractor e team di conformità a Washington. Tuttavia, se gestisci l’IT di clienti che trattano dati federali, anche solo in modo indiretto, quella convinzione potrebbe già costarti cara.
Che cos’è FedRAMP?
FedRAMP è stato istituito nel dicembre 2011 con un memorandum dell’Office of Management and Budget (OMB) per accelerare in sicurezza l’adozione di prodotti e servizi di cloud computing da parte delle agenzie federali ed evitare duplicazioni di lavoro, offrendo un processo di autorizzazione coerente e riutilizzabile.
Oggi FedRAMP è disciplinato dal Memorandum OMB M-24-15 (luglio 2024) e il suo ambito di applicazione copre prodotti e servizi di cloud computing, inclusi IaaS, PaaS e SaaS, che creano, raccolgono, elaborano, archiviano o conservano informazioni federali per conto di un’agenzia federale.
Proprio quest’ultima espressione, “per conto di un’agenzia federale”, è ciò che rende la questione interessante per gli MSP.
Perché FedRAMP riguarda anche gli MSP
L’ambito di applicazione di FedRAMP va ben oltre i fornitori con contratti federali diretti. Qualsiasi provider che entri in contatto con dati federali, con un rapporto diretto o a valle della catena, può potenzialmente rientrarvi. E i dati federali sono molto più diffusi di quanto la maggior parte delle persone immagini.
Gli studi legali mostrano chiaramente perché la questione tocca gli MSP
Il Federal Information Security Management Act (FISMA) fissa gli standard giuridici che obbligano le agenzie federali e i loro contractor a proteggere i dati federali e incarica il National Institute of Standards and Technology (NIST) di elaborare gli standard di sicurezza che definiscono come proteggere tali dati. Uno di questi standard, la NIST Special Publication 800-60, associa le tipologie di informazioni a categorie di sicurezza per garantire una protezione adeguata di riservatezza, integrità e disponibilità.
La NIST SP 800-60 dedica un’intera sezione a “Litigation and Judicial Activities”, che comprende udienze giudiziarie federali, difesa legale, indagini legali, azione penale e contenziosi, oltre alle attività di mediazione. Secondo le definizioni del NIST, tutte queste informazioni possono qualificarsi come dati federali.
In concreto: se uno studio legale ha un’agenzia federale come parte in una delle sue cause, le informazioni scambiate in quel procedimento sono potenzialmente dati federali. Significa che uno studio legale che si occupa di cause sui diritti civili, che lavora su contratti federali o che riceve documenti governativi durante la fase di discovery potrebbe già detenere dati federali. E lo stesso vale per l’MSP che ne gestisce l’ambiente IT.
Dati FedRAMP e rischi legati alle CUI: il quadro di settore più ampio
Lo stesso ragionamento vale per la sanità. Il registro CUI del NARA, fonte autorevole per stabilire cosa rientri tra le informazioni non classificate controllate (CUI), include sia una categoria Military Personnel Records, che riguarda qualsiasi membro o ex membro delle forze armate, sia una categoria Health Information, che comprende le cartelle create o ricevute da un operatore sanitario e relative alla salute fisica o mentale di una persona.
Una struttura sanitaria che cura pazienti della Guardia Nazionale, gestisce cartelle cliniche militari o amministra programmi finanziati a livello federale come Medicare o Medicaid potrebbe quindi detenere CUI secondo quelle definizioni. Per l’MSP che gestisce l’ambiente IT di quella struttura, l’esposizione è la stessa.
Tra gli altri settori da tenere d’occhio ci sono comuni ed enti locali, scuole e università che ricevono finanziamenti federali o gestiscono programmi federali per gli studenti, oltre ai contractor della difesa e ai loro subappaltatori.
Quali parti del tuo stack sono esposte?
Se l’ambiente del tuo cliente deve soddisfare requisiti di conformità di livello federale, vale la pena esaminare con attenzione quali strumenti del tuo stack potrebbero rientrare nell’ambito di applicazione di FedRAMP.
FedRAMP ha pubblicato linee guida ufficiali sull’ambito di applicazione per aiutare le agenzie a stabilire se un servizio cloud richieda l’autorizzazione FedRAMP. Il documento è rivolto alle agenzie federali, ma gli esempi illustrativi sono un buon punto di partenza per gli MSP che vogliono condurre un’analisi autonoma.
Sulla base di quegli esempi, ecco come potrebbero essere valutati alcuni strumenti MSP diffusi:
| Strumento MSP | Rientra nell’ambito di applicazione? |
| RMM con agent installato e funzionalità di sessione remota | Potenzialmente sì |
| Backup cloud che archivia dati dei clienti | Potenzialmente sì |
| Strumenti di patching gestito e amministrazione remota | Potenzialmente sì |
| Strumenti di condivisione dello schermo e accesso remoto | Potenzialmente sì |
| Monitoraggio di uptime o ping di siti pubblici | Probabilmente no |
Si tratta solo di valutazioni interpretative. L’applicabilità di FedRAMP dipende in ultima analisi da come uno strumento viene utilizzato all’interno di uno specifico ambiente cliente, e ogni MSP dovrebbe condurre la propria analisi. Tuttavia, qualsiasi strumento che installi agent sui sistemi dei clienti, acceda ad ambienti interni con privilegi elevati o archivi dati dei clienti merita una valutazione attenta.
A nostro avviso, la piattaforma RMM merita un’attenzione particolare. È lo strumento che tiene insieme tutto il resto e, se non è autorizzato FedRAMP, diventa difficile sostenere in modo credibile la conformità del resto dello stack.
Quali rischi si corrono se si sbaglia a valutare i requisiti FedRAMP?
Il governo federale è noto per definire requisiti di conformità senza specificare le sanzioni in caso di inadempienza. Proprio questa vaghezza rende l’area particolarmente rischiosa.
Se il tuo cliente è tenuto a usare strumenti autorizzati FedRAMP ma non lo fa, rischia di perdere contratti e di incorrere in sanzioni economiche o contenziosi. Nella migliore delle ipotesi, il cliente potrebbe accusarti di non averlo avvertito o di non aver chiarito che si trattava di un requisito. Nella peggiore, potresti essere trascinato nell’indagine o nel contenzioso insieme a lui.
Il lato positivo: essere l’MSP che l’aveva previsto
La maggior parte degli MSP non sta ancora affrontando questo tema con i propri clienti, ed è un’enorme opportunità.
Gli avvocati conoscono bene la responsabilità civile e la colpa grave: quando entri in uno studio legale e sollevi la questione di una possibile conformità FedRAMP degli strumenti IT, le implicazioni risultano subito chiare. Diventi il consulente di fiducia che ha portato sul tavolo un tema rilevante prima che diventasse un problema.
Tre passi per anticipare FedRAMP
- Verifica l’elenco dei clienti per individuare l’esposizione a dati federali.
- Sfrutta il prossimo giro di business review trimestrali per chiedere direttamente ai clienti: trattate dati federali? Con i clienti del settore legale, entra nello specifico e chiedi se hanno un’agenzia federale come parte in qualcuna delle loro cause. Con i clienti sanitari, informati su programmi finanziati a livello federale o su pazienti militari.
- Confronta il tuo stack con il FedRAMP Marketplace.
- Il FedRAMP Marketplace è un elenco pubblico e consultabile degli strumenti cloud autorizzati. Parti dal tuo RMM. NinjaOne è presente in questo marketplace: è quindi una lacuna dello stack che puoi colmare già oggi.
- Inizia la migrazione da dove conta di più.
- Se i clienti nel tuo elenco trattano probabilmente dati federali, inizia a spostarli verso strumenti autorizzati FedRAMP.
Uno sguardo al futuro
Questo ambito continuerà a evolversi. Il linguaggio normativo fa già riferimento esplicito ai dati legali e giudiziari, le definizioni del NIST sono più ampie di quanto molti immaginino e l’applicazione delle regole tende a diventare più puntuale nel tempo. Continueremo ad aggiornare la nostra community man mano che il quadro si farà più chiaro.
Se vuoi scoprire come l’RMM autorizzato FedRAMP di NinjaOne si inserisce nel tuo stack, visita la scheda NinjaOne sul FedRAMP Marketplace.
Nota: il team legale di NinjaOne ha revisionato questo articolo prima della pubblicazione. Nessun contenuto qui riportato costituisce un parere legale definitivo.
