Belangrijkste punten
- Microsoft 365 GCC, GCC High en DoD verschillen in beoogd gebruik, compliancenormen en toegangscriteria. Wie de verkeerde variant kiest, loopt het risico op uitsluiting van contracten.
- CMMC Level 2 geldt voor organisaties die CUI verwerken én voor de MSP’s die hen ondersteunen, waardoor de tools en processen van de MSP binnen de compliance-grens vallen.
- De drie varianten verschillen in ondersteunend personeel, cloudtoegang en app-compatibiliteit. Een commerciële tenant kan niet worden geüpgraded en moet dus naar GCC High worden gemigreerd.
- GCC ondersteunt compliance met NIST 800-171 en CMMC, maar back-up- en remote support-tools moeten aan dezelfde normen voldoen. NinjaOne for Government is FedRAMP Moderate Authorized.
De omgevingen van Microsoft 365 Government Community Cloud (GCC) bieden een reeks beheerde onlinediensten die voldoen aan de eisen voor gegevenslocatie van de Amerikaanse overheid, contractanten van het Department of Defense (DoD) en andere partijen die met gereguleerde gegevens werken. Deze omgevingen bestaan uit drie varianten: GCC, GCC High en DoD. Elke variant levert Microsoft 365-diensten (voorheen Office 365) zoals Exchange en Outlook voor e-mail, Teams, OneDrive en SharePoint voor samenwerking en de Microsoft Office-suite met onder meer Word, Excel en PowerPoint.
Deze gids helpt IT-beheerders en managed service providers (MSP’s) de verschillende Microsoft 365 GCC-omgevingen te begrijpen, zodat zij beter voorbereid zijn op het plannen en implementeren van de IT-infrastructuur voor Amerikaanse publieke instellingen en federale contractanten.
Waarom de juiste Microsoft 365 GCC-omgeving kiezen belangrijk is
Alle drie de varianten worden gehost in datacenters in de Verenigde Staten. De omgevingen GCC High en DoD zijn fysiek en logisch gescheiden van andere publieke cloudplatforms binnen het Microsoft 365-ecosysteem en beperken de ondersteuning tot gescreend Amerikaans personeel. Elke variant ondersteunt een andere set Amerikaanse normen voor gegevenslocatie en beveiliging, waaronder FedRAMP, ITAR, NIST 800-171, DFARS en CJIS.
Voldoen aan deze frameworks is verplicht voor veel publieke instellingen of federale contractanten die Controlled Unclassified Information (CUI), federal contract information (FCI) en andere gereguleerde gegevens beheren. Deze eis geldt voor organisaties zoals:
- Amerikaanse federale, staats-, lokale of tribale instanties
- Oplossingsleveranciers (waaronder MSP’s) die deze instanties bedienen
- Klanten die door de overheid gecontroleerde gegevens verwerken
De omgevingen GCC, GCC High en DoD binnen Microsoft 365 Government Community Cloud verschillen in fysieke infrastructuur en beveiligingseisen. Daardoor voldoet elke omgeving aan andere compliancenormen en kunnen er verschillen ontstaan in functionaliteit en compatibiliteit. Voor alle omgevingen zijn identiteitsverificatie en een geschiktheidscontrole vereist om te waarborgen dat elke GCC-tenant voldoet aan de eisen van een van de bovenstaande categorieën.
Zoals bij alle juridische en compliancegerelateerde kwesties raadpleegt u het best de gezaghebbende bron van regelgeving, naast juridische en vakinhoudelijke experts in uw sector. Zo weet u zeker dat u de specifieke eisen voor uw organisatie volledig begrijpt en de vereiste processen en technologieën correct implementeert.
Voor MSP’s is dit extra belangrijk: als uw diensten in contact komen met systemen die CUI opslaan of verwerken, vallen uw tools, toegang en processen binnen de compliance-grens.
Overzicht van de omgevingen GCC, GCC High en DoD
Voordat u Microsoft 365 GCC-diensten aanvraagt en uitrolt, plant u het best zorgvuldig uw licenties, compliance en identiteitsinfrastructuur, evenals eventuele migratietaken. Zo weet u zeker dat aan alle eisen voor gegevensbeveiliging wordt voldaan en dat alle compliance-eisen duidelijk in kaart zijn gebracht en worden afgedekt.
| Omgeving | Beoogde use case | Compliancenormen waaraan wordt voldaan | Gegevenslocatie | Hostingmodel |
| GCC | Amerikaanse staats- en lokale overheid, onderwijs en publieke instanties | FedRAMP Moderate, CJIS, IRS 1075 | Alleen VS | Commerciële infrastructuur (in de VS) |
| GCC High | DoD-contractanten, verwerkers van CUI/ITAR-gegevens | FedRAMP High, DFARS, NIST 800-171, ITAR | Alleen VS | Fysiek en logisch gescheiden (alleen Amerikaans personeel) |
| DoD | Amerikaanse Department of Defense | DoD IL5, NIPRNet | Alleen VS | Infrastructuur in eigendom van het DoD |
De juiste GCC-omgeving kiezen voor uw use case helpt u overtredingen bij de omgang met gegevens te voorkomen, die kunnen leiden tot uitsluiting van contracten of juridische gevolgen. Welke GCC-omgeving u kunt aanvragen hangt af van uw geschiktheid:
| Omgeving | Geschiktheid en licenties |
| GCC | Beschikbaar voor publieke instellingen en hun contractanten |
| GCC High | Vereist validatie door Microsoft via sponsoring of een contract met het DoD of defensieprogramma’s |
| DoD | Toegang is beperkt tot daadwerkelijke organisaties van het Department of Defense |
CMMC Level 2-eisen voor MSP’s
Cybersecurity Maturity Model Certification (CMMC) Level 2 geldt voor organisaties die CUI verwerken en voor hun MSP’s.
Omdat CMMC Level 2 is gebaseerd op NIST 800-171, moeten MSP’s die deze omgevingen ondersteunen het volgende aantonen:
- Sterke toegangscontrole (MFA, minste voorrecht)
- Continue monitoring en logging
- Mogelijkheden voor incidentrespons
- Beheer van kwetsbaarheden en patchbeheer
- Veilige back-up- en herstelprocessen
Als een MSP CUI verwerkt, wordt verwacht dat die aan hetzelfde niveau van beheersmaatregelen voldoet als de organisatie die hij ondersteunt.
Belangrijke verschillen voor IT-teams en MSP’s
Voor IT-teams en MSP’s hebben de verschillen tussen de omgevingen GCC, GCC High en DoD praktische gevolgen voor planning en implementatie, met verschillen in de beschikbaarheid van ondersteunend personeel, cloudtoegang en compatibiliteit met apps van derden.
| Functie | GCC | GCC High | DoD |
| Ondersteunend personeel | Kan wereldwijd Microsoft-supportpersoneel omvatten | Alleen Amerikaanse staatsburgers | Alleen personeel van het Amerikaanse DoD |
| Cloudtoegang | Commerciële Azure | Azure Government (Amerikaans soeverein) | Azure Government voor het DoD |
| App-compatibiliteit | Breed ecosysteem van derden | Beperkt; apps hebben doorgaans een FedRAMP High-autorisatie nodig | Uiterst beperkt |
| Multi-tenant toegang | Brede ondersteuning voor integraties | Beperkte federatie en API-toegang | Zeer beperkt |
Voor MSP’s vereist het doorverkopen en beheren van tenants in GCC een door de overheid erkende status en het naleven van eisen voor personeelsscreening, waaronder het uitsluitend in dienst nemen van Amerikaanse staatsburgers en het uitvoeren van antecedentenonderzoek.
Waarom uw MSP bepalend is voor CMMC-compliance
Uw MSP wordt onderdeel van uw geauditeerde omgeving. Zijn aanwezigheid kan CMMC-compliance maken of breken. Veelvoorkomende risico’s die u mogelijk moet beperken zijn:
- Niet voldoen aan auditvereisten door tekortkomingen bij de MSP
- Gebrek aan logging, documentatie of toegangscontroles
- Onbeveiligde tools voor toegang op afstand die CUI blootstellen
Organisaties die CMMC Level 2 nastreven moeten ervoor zorgen dat hun MSP compliance kan aantonen.
Aandachtspunten bij de uitrol van GCC High
Bij de voorbereiding van uw Microsoft 365 GCC High-uitrol houdt u het best rekening met de benodigde gegevensmigratie: u kunt een commerciële Microsoft 365-tenant niet rechtstreeks upgraden naar GCC High, dus gegevens moeten worden gemigreerd. Zorg er ook voor dat u op de hoogte bent van de beperkingen in de werking van uw identiteitsbeheer, want Microsoft Entra ID (voorheen Azure AD) in GCC High kan bepaalde SSO- en federatie-interacties beperken. Ook app-integraties, API’s en webhooks van derden kunnen hierdoor worden geraakt.
Zo ondersteunt GCC compliance met NIST 800-171 en CMMC
Microsoft 365 GCC-omgevingen vormen de infrastructurele basis voor compliance, met gegevenslocatie, toegangsbeperkingen en veilige cloudhosting.
GCC alleen garandeert echter geen compliance. Organisaties en MSP’s moeten nog steeds:
- De vereiste beveiligingsmaatregelen implementeren
- Beleid en procedures onderhouden
- Auditbewijs en documentatie aanleveren
Met andere woorden: GCC ondersteunt compliance, maar de operationele uitvoering (vaak door MSP’s) bepaalt het succes.
Interoperabiliteit tussen Microsoft 365 GCC en AWS GovCloud
Ook AWS GovCloud speelt in op de Amerikaanse eisen rond datasoevereiniteit en biedt een tweede oplossing die voldoet aan veel van dezelfde compliancenormen als de Microsoft 365 GCC-niveaus. Beide platforms worden vaak samen gebruikt: bijvoorbeeld wanneer de ene dienst functionaliteit biedt die de andere niet heeft of als back-upbestemming wanneer gelijkwaardige compliance vereist is.
Bij het implementeren van een cross-cloudarchitectuur moeten datasoevereiniteit en compliance behouden blijven door gebruik te maken van encryptie en identiteitsbeheer en door te voorkomen dat verkeer via commerciële regio’s loopt die niet aan de beveiligingsnormen voldoen.
Back-ups, beveiliging en support: compliance behouden in uw volledige IT-infrastructuur
Volledige compliance vereist dat uw hele IT-operatie voldoet aan wettelijk verplichte normen. Back-up- en loggingtools, remote support, beveiligingsintegraties en andere tools van derden moeten voldoen aan dezelfde normen als de GCC-variant die u kiest.
NinjaOne biedt een complete reeks tools voor IT Management en support die voldoen aan een groeiend aantal Amerikaanse federale regelgevingen, waaronder FedRAMP. Daartoe behoort SaaS backup waarmee u een back-up kunt maken van uw Microsoft 365 GCC-tenants, naast tools voor monitoring en beheer op afstand (RMM), eindpuntbeveiliging en automatisering die IT-teams en MSP’s helpen bij het bedienen van Amerikaanse publieke organisaties. NinjaOne for Government is FedRAMP Moderate Authorized en het NinjaOne-platform verenigt endpoint management, autonome patching, back-up en remote access voor IT-teams en MSP’s die Amerikaanse publieke organisaties bedienen.
NinjaOne SaaS Backup beschermt Microsoft 365-gegevens in Exchange Online, OneDrive, SharePoint en Teams.
