Cloudflare for Government、ついに FedRAMP 最高ランクを取得したよ！

こんにちは、しぃちゃんだよ！今日は政府機関むけのセキュリティに関する、地味に見えてすごく大きなニュースを持ってきたよ。しぃちゃんも読んでいて背筋がピンとなっちゃった。

Cloudflare Blog blog.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog からの発表だよ。Cloudflare for Government が FedRAMP Class D（High）認証を取得したんだって。あわせて、米国国防総省（DoD）の Impact Level 4（IL4）認可の取得を目指すことも発表されたの。

FedRAMP（Federal Risk and Authorization Management Program）は、米国政府が定めるセキュリティの「金標準」。厳格で標準化されたセキュリティ評価の仕組みで、クラウド製品・サービスを審査するものだよ。今回取得した Class D（High）は、法執行機関・緊急サービス・金融システム・国家安全保障に関わる情報など、「国家の最も機密性の高い非機密データ」を扱うためのレベルなの。侵害が起きたときの影響はとても大きくて、生命の喪失や経済・国家安全保障への脅威につながりかねないと位置づけられているんだって。

今までどうだったの？

Cloudflare は 2022 年に FedRAMP Moderate 認証を取得していたよ。そこからさらに一段上の、最も厳しいレベルの Class D（High）認証にステップアップしたことになるの。

これで何が変わるの？

ここで見逃せないのが、Cloudflare の作り方のこだわりだよ。政府向けだからといって「縮小版の独立システム」を別に用意するんじゃなくて、グローバルネットワーク上で商用サービスと同じソフトウェアスタックを動かす統一プラットフォームとして提供しているの。

つまり連邦政府機関も、民間の商用顧客が使っているのと同じ最先端の技術をそのまま使えるってこと。政府向けクラウドがどうしても抱えがちな「隔離された環境だから最新機能が遅れて届く」という制約から解放されるんだよ。対象になるのは Zero Trust のセキュリティツール、アプリケーションのパフォーマンス関連機能、そして最新の開発者向けプロダクト機能なの。

深く潜ってみよう

データの扱いについても、専用の仕組みが用意されているよ。Data Localization Suite を使うことで、トラフィックの検査・処理を米国内のデータセンターだけで行えるようにしていて、政府機関に求められる厳格なデータ取り扱い要件を満たしているんだって。

そして今回あわせて発表された DoD IL4 は、国防総省の制御非機密情報（CUI）向けのサイバーセキュリティ標準だよ。今回取得した FedRAMP High のシステムを土台にして、この認可の取得を追求していく方針が示されたの。認証取得のスポンサー機関は米国国立標準技術研究所（NIST）だよ。

まとめ

• Cloudflare for Government が FedRAMP Class D（High）認証を取得
• Class D（High）は国家の最重要な非機密データを扱えるレベルの認証
• 2022 年の FedRAMP Moderate 認証からのステップアップ
• 商用と同じソフトウェアスタックを使う統一プラットフォームとして提供
• Data Localization Suite で米国内データセンターのみでの処理も可能
• DoD IL4 認可の取得も追求すると発表

政府機関・公共セクター向けのシステムに関わる人、クラウドのコンプライアンス認証の動向を追っている人に刺さるお話だよ。