Belangrijkste punten
- De reikwijdte van FedRAMP kan zich uitstrekken tot MSP’s die klanten beheren die indirect federale gegevens verwerken, waaronder advocatenkantoren, zorgaanbieders, gemeenten en onderwijsinstellingen met federale financiering.
- NIST SP 800-60 classificeert rechtszaken, juridische activiteiten en militaire medische dossiers als mogelijke federale gegevens, waardoor MSP’s die deze sectoren bedienen compliance-verplichtingen kunnen krijgen.
- RMM-platformen, cloud-back-up, managed patching, remote access en screenshare-tools vallen mogelijk binnen de scope als ze agents installeren, toegang krijgen tot interne omgevingen of klantgegevens opslaan.
- Tooling die niet voldoet, brengt het risico met zich mee van verlies van klantcontracten, financiële boetes en aansprakelijkheid van de MSP via onderzoek of rechtszaken.
- Controleer uw klantenlijst op blootstelling aan federale gegevens, leg uw stack naast de FedRAMP Marketplace en geef prioriteit aan de overstap van risicovolle klanten naar geautoriseerde tooling.
In het recht bestaat een oud gezegde: onwetendheid is geen excuus.
FedRAMP (Federal Risk and Authorization Management Program) wordt al lang gezien als een probleem van de federale overheid, iets wat agentschappen, contractanten en complianceteams in Washington maar moeten uitzoeken. Beheert u echter IT voor klanten die federale gegevens verwerken, al is het indirect, dan kan die aanname u nu al geld kosten.
Wat is FedRAMP?
FedRAMP werd in december 2011 opgericht via een memorandum van het Office of Management and Budget (OMB). Het doel: de adoptie van producten en diensten voor cloud computing door federale agentschappen veilig versnellen en die agentschappen dubbel werk besparen door een consistent en herbruikbaar autorisatieproces aan te bieden.
Vandaag valt FedRAMP onder OMB-memorandum M-24-15 (juli 2024). De reikwijdte omvat producten en diensten voor cloud computing, waaronder IaaS, PaaS en SaaS, die federale informatie namens een federaal agentschap aanmaken, verzamelen, verwerken, opslaan of beheren.
Dat laatste zinsdeel, “namens een federaal agentschap”, maakt de zaak interessant voor MSP’s.
Waarom is FedRAMP een kwestie voor MSP’s?
De reikwijdte van FedRAMP gaat veel verder dan leveranciers met directe federale contracten. Elke aanbieder die met federale gegevens in aanraking komt of die relatie nu direct of verderop in de keten is, kan er mogelijk onder vallen. En federale gegevens komen veel vaker voor dan de meeste mensen denken.
Advocatenkantoren laten duidelijk zien waarom dit MSP’s raakt
De Federal Information Security Management Act (FISMA) legt de juridische normen vast die federale agentschappen en hun contractanten verplichten federale gegevens te beschermen. De wet draagt het National Institute of Standards and Technology (NIST) op om de beveiligingsnormen te ontwikkelen die bepalen hoe die bescherming eruitziet. Een van die normen, NIST Special Publication 800-60, koppelt informatietypen aan beveiligingscategorieën om passende bescherming van vertrouwelijkheid, integriteit en beschikbaarheid te waarborgen.
NIST SP 800-60 bevat een volledige sectie over “Litigation and Judicial Activities”, die federale rechtszittingen, juridische verdediging, juridisch onderzoek, vervolging en procesvoering en geschilbeslechting omvat. Volgens de definities van NIST kan dit allemaal als federale gegevens gelden.
In de praktijk betekent dit: heeft een advocatenkantoor in een van zijn zaken een federaal agentschap als partij, dan is de informatie die in dat proces wordt uitgewisseld mogelijk federale data. Een advocatenkantoor dat burgerrechtenzaken behandelt, aan federale contracten werkt of tijdens discovery overheidsdocumenten ontvangt, kan dus al federale gegevens onder zich hebben – net als de MSP die hun omgeving beheert.
FedRAMP-gegevens en CUI-risico’s: het bredere beeld per sector
Dezelfde logica geldt voor de zorg. Het NARA CUI-register, de gezaghebbende bron voor wat als controlled unclassified information (CUI) kwalificeert, bevat zowel een categorie Military Personnel Records, die elk lid of voormalig lid van de strijdkrachten omvat, als een categorie Health Information, die dossiers omvat die door een zorgaanbieder zijn aangemaakt of ontvangen en betrekking hebben op de lichamelijke of geestelijke gezondheid van een persoon.
Een zorgaanbieder die patiënten van de National Guard behandelt, militaire medische dossiers verwerkt of federaal gefinancierde programma’s als Medicare of Medicaid uitvoert, kan volgens die definities mogelijk CUI onder zich hebben. Voor een MSP die de IT-omgeving van die aanbieder beheert, is de blootstelling dezelfde.
Andere sectoren om in overweging te nemen zijn gemeenten en lokale overheden, scholen en instellingen voor hoger onderwijs die federale financiering ontvangen of federale studieprogramma’s uitvoeren, en defensiecontractanten en hun onderaannemers.
Welke delen van uw stack lopen risico?
Moet uw klantomgeving voldoen aan compliance-eisen van federaal niveau, dan loont het de moeite om goed te bekijken welke tools in uw stack binnen de reikwijdte van FedRAMP kunnen vallen.
FedRAMP heeft officiële richtlijnen over de reikwijdte gepubliceerd waarmee agentschappen kunnen bepalen of een clouddienst FedRAMP-autorisatie vereist. Die richtlijnen zijn geschreven voor federale agentschappen, maar de illustratieve voorbeelden vormen een nuttig startpunt voor MSP’s die hun eigen analyse uitvoeren.
Op basis van die voorbeelden kunnen enkele veelgebruikte MSP-tools als volgt worden beoordeeld:
| MSP-tool | Binnen de scope? |
| RMM met geïnstalleerde agent en mogelijkheden voor sessies op afstand | Mogelijk wel |
| Cloud-back-up waarin klantgegevens worden opgeslagen | Mogelijk wel |
| Managed patching en tools voor beheer op afstand | Mogelijk wel |
| Screenshare- en remote access-tools | Mogelijk wel |
| Uptime- of pingmonitoring van openbaar toegankelijke sites | Waarschijnlijk niet |
Dit zijn uitsluitend interpretatieve inschattingen. Of FedRAMP van toepassing is, hangt uiteindelijk af van de manier waarop een tool binnen een specifieke klantomgeving wordt gebruikt en elke MSP zou een eigen analyse moeten uitvoeren. Toch is elke tool die agents op klantsystemen installeert, met verhoogde rechten toegang krijgt tot interne omgevingen of klantgegevens opslaat het waard om zorgvuldig te beoordelen.
Naar onze mening verdient het RMM-platform bijzondere aandacht. Het is de tool die al het andere samenbindt en als die niet FedRAMP-geautoriseerd is, wordt het lastig om een geloofwaardig compliance-verhaal te houden voor de rest van de stack.
Welk risico loopt u als u de FedRAMP-eisen verkeerd inschat?
De federale overheid staat erom bekend compliance-eisen te formuleren zonder de sancties bij niet-naleving uit te spellen. Die vaagheid maakt dit een riskant terrein.
Moet uw klant FedRAMP-geautoriseerde tools gebruiken en doet hij dat niet, dan loopt hij het risico contracten te verliezen en financiële boetes of rechtszaken te krijgen. In het gunstigste geval verwijt uw klant u dat u hem niet hebt gewaarschuwd of niet duidelijk hebt gemaakt dat dit een vereiste was. In het ergste geval wordt u mee het onderzoek of de rechtszaak in getrokken.
De keerzijde: de MSP zijn die het zag aankomen
De meeste MSP’s voeren dit gesprek nog niet met hun klanten en dat biedt een enorme kans.
Advocaten begrijpen aansprakelijkheidsrecht en grove nalatigheid. Stapt u een advocatenkantoor binnen met de vraag of hun IT-tools FedRAMP-compliant moeten zijn, dan landen de implicaties dus meteen. U wordt de vertrouwde adviseur die iets wezenlijks op tafel legde voordat het een probleem werd.
Drie stappen om FedRAMP voor te blijven
- Controleer uw klantenlijst op blootstelling aan federale gegevens.
- Gebruik uw volgende ronde kwartaalgesprekken om klanten rechtstreeks te vragen: werkt u met federale gegevens? Vraag bij juridische klanten specifiek of zij in een van hun zaken een federaal agentschap als partij hebben. Vraag bij zorgklanten naar federaal gefinancierde programma’s of militaire patiënten.
- Leg uw stack naast de FedRAMP Marketplace.
- De FedRAMP Marketplace is een openbaar toegankelijke, doorzoekbare lijst van geautoriseerde cloudtools. Begin bij uw RMM. NinjaOne staat in deze marketplace, wat betekent dat dit een gat in de stack is dat u vandaag al kunt dichten.
- Begin met overstappen waar het het meest uitmaakt.
- Verwerken klanten op uw lijst waarschijnlijk federale gegevens, begin ze dan over te zetten naar FedRAMP-geautoriseerde tooling.
Hoe nu verder
Dit terrein blijft zich ontwikkelen. Regelgeving verwijst nu al specifiek naar juridische en gerechtelijke gegevens, de definities van NIST zijn ruimer dan de meeste mensen beseffen en de handhaving wordt met de tijd doorgaans concreter. Wij houden onze community op de hoogte zodra het beeld duidelijker wordt.
Wilt u zien hoe de FedRAMP-geautoriseerde RMM van NinjaOne in uw stack past, bekijk dan de vermelding van NinjaOne in de FedRAMP Marketplace.
Let op: het juridische team van NinjaOne heeft dit bericht vóór publicatie beoordeeld. Niets hierin is een definitieve juridische beoordeling.
