Belangrijkste punten
- AWS GovCloud (US) is een fysiek en logisch geïsoleerde cloudomgeving die op Amerikaans grondgebied wordt beheerd door gescreende Amerikaanse staatsburgers en is gebouwd voor workloads die onder ITAR, CJIS, FedRAMP en DFARS vallen.
- MSP’s en IT-afdelingen hebben back-uptools nodig die AWS GovCloud, toegangsbeheer op basis van IAM, WORM-opslag en versiebeheer ondersteunen. Dropsuite, Veeam en Commvault worden genoemd als compatibele opties.
- Datasoevereiniteit in GovCloud vereist dat u back-upreplicatie naar bestemmingen buiten GovCloud uitschakelt en encryptie beheert met customer-managed keys (CMK’s) van AWS KMS.
- Het automatiseren van back-upschema’s, bewaarbeleid en onveranderlijkheid via tools als S3 Object Lock verkleint het compliancerisico dat door handmatige processen ontstaat.
- Compliance aantonen aan overheidsauditors hangt af van CloudTrail-logging, multi-factor authenticatie en IAM-rollen die zijn afgebakend volgens het principe van minste voorrecht.
IT-afdelingen en MSP’s die samenwerken met Amerikaanse overheidsinstanties en -contractanten moeten voldoen aan strenge beveiligingseisen over waar en hoe gegevens worden opgeslagen en wie betrokken is bij het hosten en beheren ervan. AWS GovCloud (US) speelt hierop in met twee geïsoleerde, soevereine regio’s die op Amerikaans grondgebied worden beheerd door gescreende Amerikaanse staatsburgers.
Dit artikel beschrijft hoe u back-up- en hersteloplossingen met AWS GovCloud veilig inricht wanneer u werkt met gegevens of klanten die onder regelgeving vallen zoals ITAR, CJIS, FedRAMP en DFARS. Het behandelt infrastructuurplanning, compliance-eisen, aanbevelingen voor tooling en operationele beste praktijken voor het ondersteunen van workloads in de Amerikaanse publieke sector en defensie.
Wat is AWS GovCloud (US) en waarin verschilt het van de commerciële cloud?
AWS GovCloud (US) bestaat uit twee geïsoleerde AWS-regio’s (datacenters op een fysieke geografische locatie) die uitsluitend worden bemand door Amerikaanse staatsburgers. Zo kunt u de cloudinfrastructuur in deze regio gebruiken om gevoelige gegevens te verwerken en op te slaan die onder bijzondere eisen voor Amerikaanse overheidsgegevens vallen.
Daarmee onderscheidt het zich van andere commerciële publieke cloudaanbiedingen die mogelijk worden bemand door niet-Amerikaanse staatsburgers, buiten de Verenigde Staten staan of niet fysiek en logisch zijn gescheiden van andere infrastructuur die niet aan dezelfde beveiligingsnormen voldoet.
De belangrijkste functies van AWS GovCloud (US) zijn:
- Fysiek en logisch geïsoleerde infrastructuur
- Beheerd en bemand door Amerikaanse staatsburgers op Amerikaans grondgebied
- Ondersteuning voor Amerikaanse overheidsregelgeving ter bescherming van gevoelige gegevens, waaronder FedRAMP High, ITAR, CJIS en DoD SRG IL4 en DoD SRG IL5
- Compatibiliteit met AWS EC2, S3, RDS, Lambda en back-upintegraties
Om deze diensten te gebruiken, moet u in aanmerking komen: federale contractanten, DoD-subcontractanten, staats- en lokale instanties die CJIS-compliance nodig hebben en andere contractanten, cloud service providers (CSP’s) of managed service providers (MSP’s) die Amerikaanse federale, staats-, lokale, tribale of defensiegerelateerde instanties bedienen, moeten hun geschiktheid via AWS laten valideren en hun compliance-scope en gebruikersscreening aantonen.
Afstemming op compliance en beveiliging
De volgende compliancekaders worden expliciet ondersteund door AWS GovCloud (US). Houd er bij het opstellen van uw back-upbeleid rekening mee dat u dit het beste afstemt op de specifieke eisen van de instantie en dat u alle compliancemaatregelen en technische waarborgen documenteert.
| Compliancekader | Ondersteuning door AWS GovCloud (US) |
| FedRAMP High | Ondersteund (overheidsbrede ATO) |
| ITAR | Volledig conform de exportcontrolebeperkingen bij een juiste configuratie |
| CJIS | Voldoet aan het beveiligingsbeleid van de FBI voor strafrechtelijke informatie |
| DFARS/NIST 800-171 | Maakt compliance van DoD-contractanten mogelijk bij zorgvuldige implementatie |
| DoD SRG IL4/DoD SRG IL5 | Ondersteund bij een juiste configuratie van de workload |
| CMMC 2.0 | Zelfbeoordeling van fase 1 is van kracht; certificering door derden in fase 2 is opgeschort in afwachting van een herziening door het DoD (stand juli 2026), de onderliggende verplichtingen uit NIST 800-171/DFARS blijven gelden |
Let op: de status van CMMC 2.0 is op dit moment in beweging. De eisen voor zelfbeoordeling in fase 1 zijn op 10 november 2025 van kracht geworden en blijven gelden, maar in juli 2026 heeft het Department of War de eis uit fase 2 opgeschort die vanaf die november certificering door een externe partij (C3PAO) verplicht zou stellen.
Er loopt nu een herziening onder leiding van het departement om een aangepast kader aan te bevelen. De onderliggende verplichting om gedekte defensie-informatie te beschermen op grond van DFARS 252.204-7012 en NIST SP 800-171 is niet veranderd. Organisaties doen er dan ook goed aan hun back-uppraktijken CMMC-proof te blijven inrichten, ook al blijft de certificeringsplanning onzeker.
Een back-upstrategie voor MSP’s opbouwen in GovCloud
Voordat u een back-upoplossing op basis van AWS GovCloud ontwerpt en implementeert, moet u de dataclassificatie van uw klant volledig begrijpen (zoals CUI, ITAR, FCI of geclassificeerd IL4–IL6) en weten welke regelgeving van toepassing is. Daarna kunt u uw back-upoplossing zo inrichten dat die aan deze eisen voldoet.
GovCloud biedt infrastructuur waarmee u voldoet aan de Amerikaanse beveiligingseisen en wetgeving van de overheid, maar het is essentieel dat u gedurende het hele planning- en implementatietraject juridische en technische experts raadpleegt die dit landschap kennen. Contact opnemen met de leveranciers van specifieke producten is een aanbevolen eerste stap: zij weten hoe hun producten aan compliance voldoen en hebben ervaring met de onboarding van andere klanten met vergelijkbare eisen.
Stap 1: kies een compatibele back-uptool
De back-uptools die u gebruikt moeten compatibel zijn met opslag die in AWS GovCloud wordt gehost en met identity and access management (IAM) voor toegangsbeheer. Producten moeten ook WORM-opslag ondersteunen (write once, read many, oftewel gegevens kunnen na het wegschrijven niet meer worden gewijzigd) en versiebeheer voor compliance.
Back-upoplossingen die integratie met AWS GovCloud (US) ondersteunen zijn onder meer Dropsuite (een NinjaOne-bedrijf), Veeam en Commvault.
Stap 2: configureer de instellingen voor datasoevereiniteit
Voor datasoevereiniteit moeten alle gegevens binnen de Verenigde Staten blijven en de AWS GovCloud-regio niet verlaten. Om dat te bereiken, moet datareplicatie voor alle back-uptools worden uitgeschakeld voor alle bestemmingen buiten GovCloud.
Encryptie is eveneens een vereiste. Het beheer van encryptiesleutels kan plaatsvinden met AWS KMS en customer-managed keys (CMK’s) binnen GovCloud.
Stap 3: automatiseer back-up- en bewaarbeleid
Automatisering zorgt ervoor dat compliance niet in gevaar komt door menselijke fouten. Plan back-ups op basis van uw recovery time objectives (RTO) en recovery point objectives (RPO) en pas lifecyclebeleid toe. Gelaagde opslag (bijvoorbeeld S3 Standard en S3 Glacier) kunt u inzetten voor kosteneffectieve en compliant back-ups.
Beoordeel en implementeer AWS-opslagfuncties die compliance mogelijk maken, zoals S3 Object Lock voor onveranderlijke back-ups en versiebeheer voor opslagefficiënte historische back-ups.
Stap 4: auditlogs en beveiligde toegang
U moet compliance kunnen aantonen wanneer een overheidsinstantie daarom vraagt. Configureer CloudTrail binnen uw AWS GovCloud-regio voor het bijhouden van wijzigingen, zodat alle relevante gebruikers- en API-activiteit wordt gelogd.
Implementeer multi-factor authenticatie (MFA) voor alle beheerders (en bij voorkeur alle gebruikers) en beperk IAM-rollen tot uitsluitend de taken die elke gebruiker of service moet uitvoeren, volgens het principe van minste voorrecht.
Integratie met Microsoft GCC High
Gebruikt u Microsoft 365 GCC High, een vergelijkbare clouddienst gericht op Amerikaanse overheidscontractanten, dan moet u de daarin opgeslagen gegevens back-uppen naar een dienst met dezelfde mate van compliance. Dat beperkt de opties voor het back-uppen van gegevens die onder Amerikaanse overheidskaders voor gegevensbescherming vallen.
AWS GovCloud (US) helpt u deze hobbel te nemen met compliant infrastructuur die als back-uplocatie kan dienen in een multi-cloudopzet. Zo voorkomt u dat compliant Microsoft 365-infrastructuur wordt gecombineerd met back-ups in de publieke cloud, in strijd met de regelgeving.
Aanvullende overwegingen en beste praktijken voor gegevensbeveiliging voor MSP’s en CSP’s
Er zijn verschillende aanvullende overwegingen en beste praktijken waarmee multi-tenant MSP’s en CSP’s het gebruik van AWS GovCloud kunnen versterken en compliance met wetgeving voor gegevensbescherming kunnen waarborgen:
- Scheid klantgegevens van elkaar
- Versleutel gegevens en beperk toegang met role-based access control (RBAC) en pas het principe van minste voorrecht (PoLP) toe
- Zorg dat uw back-upsysteem auditlogs, legal holds en chain-of-custody-functionaliteit biedt
- Leer medewerkers hoe ze met gereguleerde gegevens omgaan en maak hen bewust van hun verantwoordelijkheden, waaronder exportcontroles en klantspecifieke SLA-eisen
Test uw herstelproces regelmatig en controleer of uw back-ups alle vereiste gegevens bevatten, aan de compliancenormen voldoen en of de RTO’s worden gehaald.
Compliance in uw volledige IT Management-toolchain
Voldoen aan de wettelijke eisen die horen bij werken als Amerikaanse overheidscontractant of -subcontractant is complex en vraagt om naleving van meerdere strenge beveiligingsnormen in uw IT-infrastructuur en processen.
Tools kiezen die bij die compliance helpen is cruciaal voor een efficiënte bedrijfsvoering waarin u meerdere klanten in overheidsgereguleerde omgevingen kunt bedienen. AWS GovCloud (US) gebruiken is een van die maatregelen en zorgt voor datasoevereiniteit en de vereiste technische waarborgen.
Ook het beheer van uw eigen IT-infrastructuur en die van uw klanten vraagt om compliance. NinjaOne biedt een Unified IT Management Platform met onder meer Backup, monitoring en beheer op afstand (RMM), beheer van mobiele apparaten (MDM) en tools voor klantondersteuning. We zijn out of the box compliant met een reeks Amerikaanse overheidskaders voor gegevensbescherming (en er komen er meer bij) en onze tools kunnen worden geconfigureerd om gegevens op AWS GovCloud op te slaan voor hogere compliance-eisen.
Bent u een MSP die actief is in de publieke sector en wilt u uw IT-activiteiten stroomlijnen en sneller opschalen? Neem contact op met een NinjaOne-vertegenwoordiger om uw beveiligings- en compliance-eisen te bespreken.
