คู่มือข้อกำหนดด้านความปลอดภัยของการประมวลผลระบบคลาวด์ของกระทรวงกลาโหม

ภาพรวม

• ฉันจะตรวจสอบเอกสารและคำแนะนำเกี่ยวกับความปลอดภัยของ AWS ได้อย่างไร

  ลูกค้าและผู้จำหน่าย DoD ของเราสามารถใช้สิทธิ์อนุญาต FedRAMP และ DoD ของเราเพื่อเร่งการรับรองและการประเมินคุณภาพ ในการสนับสนุนสิทธิ์อนุญาตของระบบการทหารที่โฮสต์บน AWS เราได้จัดเอกสารประกอบให้แก่พนักงานรักษาความปลอดภัย DoD เพื่อที่คุณจะสามารถตรวจสอบการปฏิบัติตามข้อกำหนดของ AWS กับการควบคุม NIST 800-53 (รุ่นที่ 4) ที่ใช้ได้ ตลอดจน SRG การประมวลผลระบบคลาวด์ของ DoD (เวอร์ชัน 1 การเผยแพร่ครั้งที่ 3)

  เราจัดทำแพคเกจคำแนะนำด้านความปลอดภัยและเอกสารเกี่ยวกับความปลอดภัยและการปฏิบัติตามข้อกำหนดในการใช้ AWS เป็นโซลูชันด้านโฮสติ้งของ DoD ให้กับลูกค้า DoD ของเรา โดยเฉพาะอย่างยิ่ง เรามีเทมเพลต FedRAMP SSP ของ AWS ตามมาตรฐาน NIST 800-53 (Rev 4) ซึ่งมีการเติมข้อมูลไว้ล่วงหน้าด้วยบรรทัดฐานการควบคุม FedRAMP และ DoD ที่ใช้ได้ การควบคุมที่สืบทอดมาภายในเทมเพลตนั้นได้รับการเติมข้อมูลไว้ล่วงหน้าโดย AWS การควบคุมที่ใช้ร่วมกันเป็นความรับผิดชอบของทั้ง AWS และลูกค้า และการควบคุมบางอย่างเป็นความรับผิดชอบของลูกค้าอย่างเต็มที่

  องค์กรด้านการทหารหรือผู้รับจ้างที่ดำเนินธุรกิจกับ DoD สามารถขอเข้าถึงเอกสารด้านความปลอดภัยของ AWS ได้โดยติดต่อผู้จัดการบัญชี AWS ของคุณหรือส่งแบบฟอร์มติดต่อเราเรื่องการปฏิบัติตามข้อกำหนดของ AWS ลูกค้าที่ไม่ใช่หน่วยงานรัฐบาล เช่น คู่ค้าของ AWS สามารถดาวน์โหลดแพคเกจความปลอดภัย FedRAMP ได้โดยใช้ AWS Artifact

• ฉันจะได้รับอะไรบ้างจากการย้ายไป AWS

  เราเชื่อว่าสำหรับลูกค้าภาครัฐ การโยกย้ายข้อมูลไปยังระบบคลาวด์เป็นโอกาสที่จะปรับปรุงระดับการประกันความปลอดภัยของคุณ และลดความเสี่ยงด้านการดำเนินงานของคุณ สภาพแวดล้อมการทำงานของ AWS ช่วยให้คุณมีระดับความปลอดภัยและการปฏิบัติตามข้อกำหนดที่เกิดขึ้นได้เฉพาะในสภาพแวดล้อมที่รองรับโดยระบบอัตโนมัติระดับสูงเท่านั้น ลูกค้า AWS สามารถใช้การตรวจสอบอย่างต่อเนื่องได้ แทนที่จะเป็นศูนย์ข้อมูลแบบเดิมๆ ที่มีการตรวจสอบคลังข้อมูลและ “ณ จุดใดจุดหนึ่งของเวลา” เป็นระยะๆ การมีระดับการมองเห็นในสภาพแวดล้อมของคุณช่วยเพิ่มการควบคุมข้อมูล และเพิ่มความสามารถของคุณในการรักษาความมั่นใจว่าจะมีเพียงผู้ใช้ที่ได้รับอนุญาตเท่านั้นที่สามารถเข้าถึงได้

  ตัวอย่างเช่น เจ้าของภารกิจ DoD สามารถตระหนักถึงการควบคุมแอปพลิเคชันในระดับที่สูงขึ้น ผ่านการบังคับใช้แบบเป็นโปรแกรมของแนวทางความปลอดภัยและการปฏิบัติตามข้อกำหนดของ DoD AWS ช่วยให้คุณสร้างเทมเพลตที่ได้รับการอนุมัติล่วงหน้าสำหรับกรณีการใช้แอปพลิเคชันทั่วไป ซึ่งช่วยลดเวลาในการให้สิทธิ์อนุญาตแอปพลิเคชันใหม่ เทมเพลตสามารถช่วยให้มั่นใจได้ว่าเจ้าของแอปพลิเคชันจะไม่เปลี่ยนการตั้งค่าความปลอดภัยที่สำคัญ เช่น กลุ่มความปลอดภัยและเครือข่าย ACLs และสามารถบังคับใช้อิมเมจเครื่องเสมือนที่เปี่ยมประสิทธิภาพของ STIG การบังคับใช้แบบโปรแกรมของแนวทางความปลอดภัยของ DoD นี้จะลดการกำหนดค่าด้วยตนเอง ซึ่งสามารถลดการกำหนดค่าที่ไม่เหมาะสมและลดความเสี่ยงโดยรวมต่อ DoD ได้
  

• เจ้าของภารกิจจะได้รับสิทธิ์อนุญาตในการดำเนินการ (ATO) ได้อย่างไร

  ในฐานะเจ้าของภารกิจ DoD คุณมีหน้าที่รับผิดชอบในการสร้างแพคเกจการให้สิทธิ์อนุญาตซึ่งกำหนดการใช้งานของการควบคุมความปลอดภัยที่ใช้กับแอปพลิเคชันของคุณได้อย่างเต็มที่ เช่นเดียวกับแพคเกจการให้สิทธิ์อนุญาตแบบเดิมทั้งหมด คุณจำเป็นต้องทำเอกสารบรรทัดฐานการควบคุมความปลอดภัยด้วยแผนระบบรักษาความปลอดภัย แล้วส่งแผนและหลักการนำไปใช้ไปตรวจสอบโดยบุคคลผู้ให้การรับรองที่เกี่ยวข้องจากองค์กร DoD ของคุณ ในฐานะส่วนหนึ่งของการตรวจสอบนี้ บุคคลผู้ให้การรับรองหรือเจ้าหน้าที่ผู้อนุมัติของคุณอาจตรวจสอบแพคเกจการให้สิทธิ์อนุญาต AWS เพื่อให้ทราบมุมมองแบบองค์รวมของการใช้งานการควบคุมความปลอดภัยจากบนลงล่าง หลังจากตรวจสอบแพคเกจการให้สิทธิ์อนุญาตความปลอดภัยของคุณ และการรักษาความปลอดภัยของ AWS ให้สิทธิ์อนุญาตแพคเกจเหล่านั้นแล้ว เจ้าหน้าที่ผู้อนุมัติของคุณจะมีข้อมูลที่จำเป็นต่อการตัดสินใจรับรองสำหรับแอปพลิเคชันของคุณและให้สิทธิ์ ATO

  หากต้องการทราบข้อมูลเพิ่มเติมเกี่ยวกับความรับผิดชอบของเจ้าของแอปพลิเคชัน DoD ที่ดำเนินการบน AWS โปรดดูเอกสารรายงานการนำการปฏิบัติตามข้อกำหนดของ DoD ไปใช้ใน AWS Cloud
  

• ทำไม SRG ของการประมวลผลระบบคลาวด์ของ DoD จึงสำคัญ

  SRG ของการประมวลผลระบบคลาวด์ของ DoD สนับสนุนเป้าหมายโดยรวมของรัฐบาลกลางของสหรัฐฯ ซึ่งตั้งเป้าที่จะเพิ่มปริมาณการใช้การประมวลผลระบบคลาวด์ให้สูงขึ้น และใช้เป็นช่องทางสำหรับ DoD ในการสนับสนุนเป้าหมายนี้ เมื่อวันที่ 8 กุมภาพันธ์ 2011 ทาง Office of Management and Budget (OMB) จัดตั้งกลยุทธ์การประมวลผลระบบคลาวด์ของรัฐบาลกลาง ซึ่งกำหนดแนวทางปฏิบัติสำหรับหน่วยงานรัฐบาลกลางทุกหน่วยในการนำเทคโนโลยีระบบคลาวด์ไปปรับใช้ทั่วทุกหน่วยงานราชการระดับรัฐบาลกลาง จากนั้นได้มีการประกาศข้อกำหนดของรัฐบาลตามมาในเดือนธันวาคม 2011 เพื่อจัดตั้ง Federal Risk and Authorization Management Program (FedRAMP) FedRAMP เป็นสิ่งที่จำเป็นต่อการใช้งานระบบคลาวด์ของหน่วยงานรัฐบาลกลางและโมเดลการบริการ ในระดับผลกระทบความเสี่ยงต่ำ ปานกลาง และสูง

  ในเดือนกรกฎาคม 2012 ประธานเจ้าหน้าที่ฝ่ายข้อมูล (CIO) ของ DoD ได้ประกาศกลยุทธ์การประมวลผลระบบคลาวด์ ซึ่งส่งผลให้เกิดสภาพแวดล้อมข้อมูลร่วม (JIE) และสภาพแวดล้อมระบบคลาวด์ขององค์กร DoD: "กลยุทธ์การประมวลผลระบบคลาวด์ของ DoD ส่งผลให้มีการเดินหน้าผลักดันกระทรวง จากสภาพปัจจุบันซึ่งเต็มไปด้วยชุดคลังแอปพลิเคชันที่ซ้ำซ้อน ยุ่งยาก และมีค่าใช้จ่ายสูง ไปเป็นสภาพบั้นปลายซึ่งมีสภาพแวดล้อมการบริการที่คล่องแคล่ว ปลอดภัย และคุ้มค่า ซึ่งสามารถตอบสนองต่อความจำเป็นทางภารกิจที่เปลี่ยนแปลงไปได้อย่างรวดเร็ว ประธานเจ้าหน้าที่ฝ่ายข้อมูล (CIO) ของ DoD มุ่งมั่นที่จะเร่งการปรับใช้การประมวลผลระบบคลาวด์ภายในกระทรวงให้เร็วขึ้น..."

  SRG ของการประมวลผลระบบคลาวด์ของ DoD นำโปรแกรม FedRAMP ไปใช้เป็นเครื่องมือในการจัดตั้งแนวทางมาตรฐานสำหรับ DoD เพื่อประเมินผู้ให้บริการระบบคลาวด์ (CSP)
  

• AWS Cloud Services มีคุณสมบัติตรงตามข้อกำหนดของ DoD หรือไม่

  ใช่แล้ว AWS ผ่านการประเมินและอนุมัติในฐานะผู้ให้บริการระบบคลาวด์สำหรับภูมิภาคสหรัฐฯ ฝั่งตะวันออกและสหรัฐฯ ฝั่งตะวันตกที่ผลกระทบระดับ 2, AWS GovCloud (US) ที่ผลกระทบระดับ 4 และ 5 และภูมิภาคลับของ AWS ที่ผลกระทบระดับ 6

  • ที่ผลกระทบระดับ 2 ภูมิภาค AWS ในสหรัฐฯ สหรัฐฯ ฝั่งตะวันออก/ตะวันตก และ AWS GovCloud (US) ผ่านการประเมินโดย DISA และได้รับสิทธิ์อนุญาตชั่วคราวสองรายการหลังจากแสดงให้เห็นถึงการปฏิบัติตามข้อกำหนดของ DoD AWS สามารถปฏิบัติตามข้อกำหนดของ DoD ได้ด้วยการใช้ประโยชน์จากสิทธิ์อนุญาตชั่วคราวในการดำเนินการ (P-ATO) การตรวจสอบโดยคณะกรรมการอนุญาตร่วม (JAB) ของ FedRAMP ที่มีอยู่ของเรา สิทธิ์อนุญาตชั่วคราวช่วยให้หน่วยงาน DoD สามารถประเมินความปลอดภัยของ AWS และเปิดโอกาสให้จัดเก็บ ประมวลผล และดูแลรักษาข้อมูลของ DoD ที่มีอาร์เรย์หลากหลายภายใน AWS Cloud ได้
  • ที่ผลกระทบระดับ 4 และ 5 AWS GovCloud (US) ได้รับสิทธิ์อนุญาตชั่วคราวจาก DISA ซึ่งเปิดให้ลูกค้า DoD สามารถปรับใช้แอปพลิเคชันการผลิตกับบรรทัดฐานการควบคุมที่ได้รับการเพิ่มประสิทธิภาพ ซึ่งสอดคล้องกับระดับต่างๆ ของ SRG ลูกค้า DoD ที่ต้องการใช้แอปพลิเคชันผลกระทบระดับ 4 หรือผลกระทบระดับ 5 ควรติดต่อ DISA เพื่อเริ่มต้นกระบวนการขอรับการอนุมัติ
  • ที่ผลกระทบระดับ 6 ภูมิภาคลับของ AWS มีสิทธิ์อนุญาตชั่วคราวของ DoD สำหรับปริมาณงานสูงถึงระดับลับ คุณสามารถรับแคตตาล็อกบริการสำหรับภูมิภาคลับของ AWS ได้จากผู้บริหารบัญชี AWS ของคุณ
    

• ครอบคลุมภูมิภาค AWS ใดบ้าง

  สิทธิ์อนุญาตชั่วคราวของเราครอบคลุมหลากหลายภูมิภาคภายในสหรัฐฯ เฉพาะส่วนที่อยู่ในทวีปอเมริกา ซึ่งรวมถึง AWS GovCloud (สหรัฐฯ) (ผลกระทบระดับ 2, 4 และ 5), ภูมิภาค AWS สหรัฐฯ ฝั่งตะวันออก/ตะวันตก (ผลกระทบระดับ 2) และภูมิภาคลับของ AWS (ผลกระทบระดับ 6)
  

• การจัดหมวดหมู่ของระบบ DoD ใดบ้างที่สามารถใช้ใน AWS ได้

  ภูมิภาค AWS สหรัฐฯ ฝั่งตะวันออกและสหรัฐฯ ฝั่งตะวันตกมีสิทธิ์อนุญาตชั่วคราวสำหรับผลกระทบระดับ 2 ซึ่งอนุญาตให้เจ้าของภารกิจสามารถนำข้อมูลสาธารณะที่ยังไม่ได้จำแนกภายในภูมิภาค AWS เหล่านี้ไปใช้กับทั้งการให้สิทธิ์ของ AWS และ ATO ของแอปพลิเคชันภารกิจได้ AWS GovCloud (สหรัฐฯ) มีสิทธิ์อนุญาตชั่วคราวสำหรับผลกระทบระดับ 2, 4 และ 5 ซึ่งอนุญาตให้เจ้าของภารกิจสามารถนำข้อมูลแบบได้รับการควบคุมที่ยังไม่ได้จำแนกมาใช้ได้ทุกประเภทตามที่ครอบคลุมอยู่ในระดับเหล่านี้ ภูมิภาคลับของ AWS มีสิทธิ์อนุญาตชั่วคราวสำหรับผลกระทบระดับ 6 และอนุญาตให้ใช้ปริมาณงานได้สูงถึงระดับลับ
  

• ในฐานะที่ฉันเป็นเจ้าของภารกิจ DoD สิ่งนี้มีความหมายอย่างไรต่อฉัน

  สิทธิ์อนุญาตชั่วคราวสำหรับผลกระทบระดับ 2 ของเราช่วยให้ลูกค้า DoD สามารถนำโครงสร้างพื้นฐานและบริการของ AWS ที่ตรงตามข้อกำหนดไปใช้ในการปรับใช้ปริมาณงานต่างๆ รวมถึง ข้อมูลที่ตรวจสอบแล้วว่าเผยแพร่ต่อสาธารณะได้ ตลอดจนข้อมูลส่วนตัวที่ยังไม่ได้จำแนกของ DoD บางส่วน การย้ายสภาพแวดล้อมไอที DoD ของคุณไปยัง AWS จะช่วยเพิ่มความสามารถในควบคุมดูแลการปฏิบัติตามข้อกำหนดได้ ด้วยบริการและคุณสมบัติต่างๆ ที่ AWS จัดให้

  สิทธิ์อนุญาตชั่วคราวสำหรับผลกระทบระดับ 4 และ 5 ของเราสำหรับ AWS GovCloud (สหรัฐฯ) หมายความว่าลูกค้า DoD ของเราจะสามารถปรับใช้แอปพลิเคชันการผลิตของพวกเขากับ AWS GovCloud (สหรัฐฯ) ได้ ซึ่งสิทธิ์อนุญาตนี้จะช่วยให้ลูกค้าสามารถมีส่วนร่วมในกิจกรรมการออกแบบ ปรับใช้ และผสานการทำงานสำหรับปริมาณงานต่างๆ ที่ต้องปฏิบัติเพื่อให้ตรงตามข้อกำหนดของผลกระทบระดับ 4 และ 5 ของ SRG ของการประมวลผลบนระบบคลาวด์ของ DoD

  สิทธิ์อนุญาตชั่วคราวสำหรับผลกระทบระดับ 6 สำหรับภูมิภาคลับของ AWS ของเราหมายความว่าลูกค้า DoD จะสามารถใช้บริการของเราในการจัดเก็บ ประมวลผล หรือส่งข้อมูลได้สูงถึงระดับลับ ลูกค้าสามารถใช้สิทธิ์อนุญาตของเราเพื่อให้ครอบคลุมข้อกำหนดโครงสร้างพื้นฐานทั้งหมดตามที่ผลกระทบระดับ 6 ระบุไว้ ซึ่งช่วยให้ลูกค้าสามารถจัดการการปฏิบัติตามข้อกำหนดและการรับรองของตน รวมถึงการตรวจสอบและการจัดการการรักษาความปลอดภัยได้
  

• สิทธิ์อนุญาตชั่วคราว AWS ส่งผลอย่างไรต่อ ATO ของเจ้าของภารกิจ

  เมื่อดำเนินการแอปพลิเคชันใน AWS เพื่อกระจายความรับผิดชอบด้านความปลอดภัย เจ้าของภารกิจ DoD ต้องรับผิดชอบบรรทัดฐานการควบคุมความปลอดภัยที่ลดลง AWS มอบสภาพแวดล้อมการโฮสต์ที่ปลอดภัยโดยใช้การควบคุมความปลอดภัยที่สามารถปรับใช้ได้เพื่อที่เจ้าของภารกิจจะสามารถนำไปใช้กับแอปพลิเคชันของพวกเขา แต่จะไม่ลดทอนความรับผิดชอบของเจ้าของภารกิจในการปรับใช้ จัดการ และตรวจสอบแอปพลิเคชันของพวกเขาอย่างปลอดภัยตามการควบคุมความปลอดภัย DoD และนโยบายการปฏิบัติตามข้อกำหนด

  หากต้องการทราบข้อมูลเพิ่มเติมเกี่ยวกับความรับผิดชอบของเจ้าของแอปพลิเคชัน DoD ที่ดำเนินการบน AWS โปรดดูเอกสารรายงานการนำการปฏิบัติตามกฎระเบียบ DoD ไปใช้ใน AWS Cloud
  

• สามารถใช้บริการอื่นๆ ของ AWS ได้หรือไม่

  ได้ ลูกค้าสามารถประเมินปริมาณงานของตนเพื่อตรวจสอบความเหมาะสมกับบริการของ AWS อื่นๆ ได้ เจ้าของภารกิจแต่ละรายได้รับการส่งเสริมให้ประเมินและยอมรับความเสี่ยงของบริการใดๆ ของเราที่ลูกค้าเลือกนำไปใช้ หากต้องการทราบข้อมูลเพิ่มเติมเกี่ยวกับในการควบคุมความปลอดภัยและยอมรับความเสี่ยง โปรดติดต่อการปฏิบัติตามข้อกำหนดของ AWS
  

• การปฏิบัติตามข้อกำหนด DoD จะทำให้ค่าบริการของ AWS เพิ่มสูงขึ้นหรือไม่

  ไม่ โปรแกรมการปฏิบัติตามข้อกำหนด AWS จะไม่ส่งผลให้มีการขึ้นราคาค่าบริการของบริการใดๆ ก็ตาม
  

• ขณะนี้หน่วยงาน DoD อื่นๆ ใช้ AWS อยู่หรือไม่

  ใช่ มีหน่วยงาน DoD และองค์กรอื่นๆ ที่ให้บริการผสานระบบ รวมถึงผลิตภัณฑ์และบริการอื่นๆ แก่ DoD เป็นจำนวนมากที่กำลังใช้บริการของ AWS หลากหลายบริการอยู่ในปัจจุบัน AWS ไม่สามารถเปิดเผยชื่อของลูกค้าจำนวนมากที่ได้รับ DoD สิทธิ์อนุญาตในการดำเนินการ (ATO) สำหรับระบบบน AWS ได้ แต่เราประสานงานกับลูกค้าและผู้ประเมินของลูกค้าอยู่เป็นประจำเพื่อวางแผน ปรับใช้ ให้การรับรอง และให้สิทธิ์แก่ปริมาณงาน DoD บน AWS
  

• ATO จำเป็นต้องเข้าตรวจสอบศูนย์ข้อมูลของผู้ให้บริการด้วยตนเองหรือไม่

  ไม่ ลูกค้า DoD สามารถเชื่อมั่นในผลงานดำเนินการขององค์กรการประเมินซึ่งเป็นบุคคลที่สาม (3PAO) ซึ่งประเมิน FedRAMP ของเรา โดยพวกเขาได้ดำเนินการตรวจสอบนอกสถานที่ในส่วนของความปลอดภัยทางกายภาพของศูนย์ข้อมูลของเราอย่างถี่ถ้วนด้วยเช่นกัน อ้างอิงจาก SRG ของการประมวลผลระบบคลาวด์ของ DoD ลูกค้า DoD จะสามารถรับสิทธิ์อนุญาตในการดำเนินการ (ATO) ได้ไม่จำเป็นต้องมีการเดินทางไปตรวจสอบศูนย์ข้อมูลของผู้ให้บริการที่ได้รับสิทธิ์อนุญาตแล้ว
  

• ครอบคลุมบริการของ AWS ใดบ้าง

  หากต้องการดูรายชื่อบริการที่ได้รับการรับรองทั้งหมด โปรดไปที่หน้าเว็บบริการของ AWS ในขอบเขตตามโปรแกรมการปฏิบัติตามข้อกำหนด