В процессе поиска решения для физической безопасности почти каждая команда по государственным закупкам проводит одно и то же сравнение: несколько предложений от разных поставщиков, выбирая то, где цена ниже. В таком сравнении обычно упускается из виду работа по поддержанию соответствия требованиям, скрытая за ценником, которая часто проявляется только после внедрения.
Вопрос, который действительно имеет значение
Все больше штатов требуют, чтобы облачные системы — включая облачную панель управления, стоящую за оборудованием для физической безопасности, таким как камеры и системы контроля доступа — соответствовали базовым требованиям безопасности, основанным на структуре контроля NIST SP 800-53. Калифорнийские стандарты SAM 5315.1 и SIMM 5315-B являются одним из хорошо задокументированных примеров, но лежащая в их основе модель (когда государственные органы предъявляют к облачным поставщикам требования безопасности, производные от федеральных) не является уникальной для одного штата.
Поэтому вопрос, который стоит задать, — это не просто «Сколько это стоит?». Скорее, он звучит так: «Кто-то уже выполнил проверку соответствия требованиям, или моя команда будет обязана делать это самостоятельно?»
Почему существует GovRAMP
Это именно тот пробел, который призван закрыть GovRAMP (ранее StateRAMP). Это некоммерческая организация по стандартизации, которая позволяет органам власти штатов и местным органам власти (а иногда школьным округам, высшим учебным заведениям и больницам) полагаться на единую авторизацию вместо того, чтобы каждый раз проводить собственную проверку безопасности с нуля. Авторизации GovRAMP напрямую соответствуют NIST SP 800-53, и в настоящее время программа насчитывает государственных участников примерно в двух десятках штатов, причем некоторые из них (включая Техас и Северную Каролину) включают GovRAMP или эквивалентную авторизацию непосредственно в политику закупок.
FedRAMP работает таким же образом на федеральном уровне. В совокупности эти две программы означают, что поставщику достаточно один раз доказать свои средства контроля безопасности, и любое агентство, признающее эту авторизацию, может опираться на это доказательство, вместо того чтобы перепроверять его самостоятельно.
Что происходит без этой авторизации
Если вы выбираете поставщика, у которого нет авторизации FedRAMP или GovRAMP, обязательство по обеспечению соответствия требованиям никуда не исчезает. Ваша команда становится ответственной за ручное документирование и аудит каждого требуемого элемента контроля. Процесс Калифорнии для этого, оценка облачных сервисов в соответствии с SIMM 141, является хорошей иллюстрацией того, как это выглядит на практике: сотни отдельных конфигураций, каждая из которых требует собственного подтверждения, собираемого и поддерживаемого внутренним ИТ-персоналом и специалистами по безопасности (часто с привлечением специальной поддержки со стороны поставщика).
Что на самом деле делает для вас поставщик с авторизацией GovRAMP
Verkada Command в AWS GovCloud имеет как авторизацию FedRAMP Moderate, так и GovRAMP Moderate, построенную на трех архитектурных столпах:
- Размещение данных и персонал: Все данные остаются в пределах границ США и управляются исключительно гражданами США.
Размещение данных и персонал: Все данные остаются в пределах границ США и управляются исключительно гражданами США.
- Криптография: Данные защищены криптографией, соответствующей стандарту FIPS 140, при передаче и хранении, начиная от физических центров обработки данных и заканчивая уровнем шифрования.
Криптография: Данные защищены криптографией, соответствующей стандарту FIPS 140, при передаче и хранении, начиная от физических центров обработки данных и заканчивая уровнем шифрования.
- Изоляция: Среда GovCloud работает на выделенной инфраструктуре, полностью отделенной от коммерческого продукта.
Изоляция: Среда GovCloud работает на выделенной инфраструктуре, полностью отделенной от коммерческого продукта.
Каждый из этих пунктов соотносится с семействами контроля, которые проверяют государственные структуры, что и является основной целью авторизации.
Вывод
Прежде чем сравнивать коммерческие предложения, стоит проверить, какой путь предлагает каждый поставщик вашей команде: тот, где третья сторона уже выполнила проверку безопасности, или тот, где ваш внутренний персонал становится ответственным за это на постоянной основе.
Отказ от ответственности: Данная публикация предназначена только для информационных целей и не является юридической консультацией. Организациям следует проконсультироваться с юрисконсультом относительно того, соответствует ли их конкретное использование продуктов Verkada применимым законам и нормативным актам.
