Punti chiave
- Microsoft 365 GCC, GCC High e DoD si differenziano per destinazione d’uso, standard di conformità e requisiti di idoneità: scegliere il livello sbagliato espone al rischio di esclusione dai contratti.
- Il CMMC di livello 2 si applica alle organizzazioni che trattano informazioni non classificate controllate (CUI) e agli MSP che le supportano, portando così strumenti e processi degli MSP all’interno del perimetro di conformità.
- I tre livelli si distinguono per personale di supporto, accesso al cloud e compatibilità delle applicazioni; un tenant commerciale deve essere migrato verso GCC High, perché non può essere aggiornato.
- GCC supporta la conformità a NIST 800-171 e CMMC, ma anche gli strumenti di backup e di supporto remoto devono rispettare gli stessi standard: NinjaOne for Government è FedRAMP Moderate Authorized.
Gli ambienti Government Community Cloud (GCC) di Microsoft 365 offrono un insieme di servizi online gestiti conformi ai requisiti di residenza dei dati previsti per il governo degli Stati Uniti, per i contractor del Department of Defense (DoD) e per altri soggetti che trattano dati regolamentati. Questi ambienti si articolano su tre livelli: GCC, GCC High e DoD. Ogni livello mette a disposizione i servizi Microsoft 365 (in precedenza Office 365), come Exchange e Outlook per le email, Teams, OneDrive e SharePoint per la collaborazione, oltre alla suite Microsoft Office con Word, Excel e PowerPoint.
Questa guida vuole aiutare gli amministratori IT e i provider di servizi gestiti (MSP) a comprendere i diversi ambienti Microsoft 365 GCC, così da affrontare meglio la pianificazione e l’implementazione dell’infrastruttura IT per enti del settore pubblico statunitense e contractor federali.
Perché è importante scegliere l’ambiente Microsoft 365 GCC corretto
Tutti e tre i livelli sono ospitati in data center situati negli Stati Uniti. Gli ambienti GCC High e DoD sono isolati fisicamente e logicamente dalle altre piattaforme cloud pubbliche dell’ecosistema Microsoft 365 e limitano il supporto a personale statunitense sottoposto a verifica. Ogni livello supporta un diverso insieme di standard statunitensi di residenza dei dati e di sicurezza, tra cui FedRAMP, ITAR, NIST 800-171, DFARS e CJIS.
La conformità a questi framework è un requisito per molti enti del settore pubblico e contractor federali che gestiscono informazioni non classificate controllate (CUI), federal contract information (FCI) e altri dati regolamentati. Il requisito riguarda organizzazioni come:
- Enti federali, statali, locali o tribali degli Stati Uniti
- Fornitori di soluzioni (MSP compresi) che servono uno di questi enti
- Clienti che trattano dati controllati dal governo
Gli ambienti GCC, GCC High e DoD disponibili in Microsoft 365 Government Community Cloud si differenziano per infrastruttura fisica e requisiti di sicurezza: ciascuno raggiunge quindi standard di conformità diversi e può presentare differenze di funzionalità e compatibilità. Tutti richiedono la verifica dell’identità e il controllo dei requisiti di idoneità, per garantire che ogni tenant GCC rientri in una delle categorie sopra indicate.
Come per qualsiasi questione legale e di conformità, è bene consultare le fonti normative ufficiali e rivolgersi a esperti legali e di settore, così da comprendere appieno i requisiti specifici della tua organizzazione e implementare correttamente i processi e le tecnologie richiesti.
Per gli MSP questo aspetto è ancora più critico: se i tuoi servizi interagiscono con sistemi che archiviano o elaborano CUI, i tuoi strumenti, gli accessi e i processi rientrano nel perimetro di conformità.
Panoramica degli ambienti GCC, GCC High e DoD
Prima di presentare la richiesta e avviare la distribuzione dei servizi Microsoft 365 GCC, pianifica con attenzione licenze, conformità e infrastruttura delle identità, oltre a eventuali attività di migrazione. In questo modo si garantisce il rispetto di tutti i requisiti di sicurezza dei dati, con tutti i requisiti di conformità chiaramente individuati e gestiti.
| Ambiente | Situazione d’uso prevista | Standard di conformità soddisfatti | Residenza dei dati | Modello di hosting |
| GCC | Amministrazioni statali e locali statunitensi, istruzione ed enti pubblici | FedRAMP Moderate, CJIS, IRS 1075 | Solo Stati Uniti | Infrastruttura commerciale (con sede negli Stati Uniti) |
| GCC High | Contractor del DoD, soggetti che trattano dati CUI/ITAR | FedRAMP High, DFARS, NIST 800-171, ITAR | Solo Stati Uniti | Isolata fisicamente e logicamente (solo personale statunitense) |
| DoD | Department of Defense degli Stati Uniti | DoD IL5, NIPRNet | Solo Stati Uniti | Infrastruttura di proprietà del DoD |
Scegliere l’ambiente GCC corretto per la tua situazione d’uso ti aiuta a evitare violazioni nel trattamento dei dati che potrebbero portare all’esclusione da un contratto o a conseguenze legali. L’ambiente GCC per cui puoi presentare richiesta dipende dai tuoi requisiti di idoneità:
| Ambiente | Idoneità e licenze |
| GCC | Disponibile per gli enti del settore pubblico e i loro contractor |
| GCC High | Richiede la convalida di Microsoft tramite sponsorizzazione o contratto con il DoD o con programmi della difesa |
| DoD | L’accesso è riservato alle organizzazioni che fanno effettivamente parte del Department of Defense |
Requisiti del CMMC di livello 2 per gli MSP
Il livello 2 della Cybersecurity Maturity Model Certification (CMMC) si applica alle organizzazioni che trattano CUI e ai loro MSP.
Poiché il CMMC di livello 2 si basa su NIST 800-171, gli MSP che supportano questi ambienti devono dimostrare di disporre di:
- Controlli di accesso solidi (MFA, privilegio minimo)
- Monitoraggio e logging continui
- Capacità di risposta agli incidenti
- Gestione delle vulnerabilità e patch management
- Processi sicuri di backup e ripristino
Se un MSP tratta CUI, ci si aspetta che applichi lo stesso livello di controlli dell’organizzazione che supporta.
Differenze principali per i team IT e gli MSP
Per i team IT e gli MSP, le differenze tra gli ambienti GCC, GCC High e DoD hanno implicazioni pratiche su pianificazione e implementazione, con differenze nella disponibilità del personale di supporto, nell’accesso al cloud e nella compatibilità con le applicazioni di terze parti.
| Caratteristica | GCC | GCC High | DoD |
| Personale di supporto | Può includere personale di supporto Microsoft a livello globale | Solo cittadini statunitensi | Solo personale del DoD statunitense |
| Accesso al cloud | Azure commerciale | Azure Government (sovranità statunitense) | Azure Government for DoD |
| Compatibilità con le applicazioni | Ampio ecosistema di terze parti | Limitata; in genere le applicazioni devono avere l’autorizzazione FedRAMP High | Estremamente limitata |
| Accesso multi-tenant | Ampio supporto per le integrazioni | Federazione e accesso alle API limitati | Fortemente limitato |
Per gli MSP, la rivendita e la gestione di tenant in GCC richiedono uno status qualificato per il settore pubblico, oltre al rispetto dei requisiti di verifica del personale, tra cui l’impiego dei soli cittadini statunitensi e l’esecuzione di controlli sui precedenti.
Il ruolo decisivo dell’MSP nella conformità al CMMC
Il tuo MSP diventa parte dell’ambiente sottoposto ad audit. La sua presenza può determinare il successo o il fallimento della conformità al CMMC. Tra i rischi più comuni da mitigare rientrano:
- Mancato rispetto dei requisiti di audit a causa di lacune dell’MSP
- Assenza di logging, documentazione o controlli di accesso
- Strumenti remoti non protetti che espongono le CUI
Le organizzazioni che puntano al CMMC di livello 2 devono assicurarsi che il proprio MSP sia in grado di dimostrare la conformità.
Aspetti da valutare per la distribuzione di GCC High
Quando prepari la distribuzione di Microsoft 365 GCC High, valuta le eventuali migrazioni di dati necessarie: un tenant Microsoft 365 commerciale non può essere aggiornato direttamente a GCC High, quindi i dati devono essere migrati. Verifica inoltre di conoscere i limiti di funzionamento della gestione delle identità, perché in GCC High Microsoft Entra ID (in precedenza Azure AD) può limitare alcune interazioni SSO e di federazione. Anche integrazioni applicative, API e webhook di terze parti possono esserne interessati.
Come GCC supporta la conformità a NIST 800-171 e CMMC
Gli ambienti Microsoft 365 GCC forniscono le basi infrastrutturali della conformità, tra cui residenza dei dati, restrizioni di accesso e hosting cloud sicuro.
GCC da solo, però, non garantisce la conformità. Le organizzazioni e gli MSP devono comunque:
- Implementare i controlli di sicurezza richiesti
- Mantenere criteri e procedure
- Fornire prove e documentazione per gli audit
In altre parole, GCC supporta la conformità, ma è l’esecuzione operativa (spesso affidata agli MSP) a determinarne il successo.
Interoperabilità tra Microsoft 365 GCC e AWS GovCloud
Anche AWS GovCloud risponde ai requisiti statunitensi di sovranità dei dati e offre una soluzione secondaria conforme a molti degli stessi standard dei livelli Microsoft 365 GCC. Le due piattaforme vengono spesso usate insieme: per esempio, quando un servizio offre funzionalità che l’altro non ha, oppure come destinazione di backup quando serve lo stesso livello di conformità.
Nell’implementazione di un’architettura cross-cloud, la sovranità dei dati e la conformità vanno mantenute ricorrendo alla crittografia e alla gestione delle identità, e verificando che il traffico non venga instradato attraverso regioni commerciali che non rispettano gli standard di sicurezza.
Backup, sicurezza e supporto: mantenere la conformità su tutta l’infrastruttura IT
La piena conformità richiede che l’intera operatività IT rispetti gli standard previsti dalla legge. Strumenti di backup e logging, supporto remoto, integrazioni di sicurezza e altri strumenti di terze parti devono rispettare gli stessi standard del livello GCC che hai scelto.
NinjaOne offre una suite completa di strumenti per la gestione e il supporto IT che rispettano un numero crescente di normative federali statunitensi, tra cui FedRAMP. Ne fa parte il backup SaaS, che consente di eseguire il backup dei tenant Microsoft 365 GCC, insieme a strumenti di monitoraggio e gestione da remoto (RMM), sicurezza degli endpoint e automazione, pensati per aiutare team IT e MSP che servono aziende del settore pubblico statunitense. NinjaOne for Government è FedRAMP Moderate Authorized e la piattaforma NinjaOne unifica gestione degli endpoint, patching autonomo, backup e accesso remoto per i team IT e gli MSP che servono organizzazioni del settore pubblico statunitense.
NinjaOne SaaS Backup protegge i dati Microsoft 365 in Exchange Online, OneDrive, SharePoint e Teams.
