Sagentix Cybersécurité et IA
FedRAMP ne se transporte
pas au Canada.
La conception des contrôles, oui. L’autorisation, non. Établir précisément où passe cette ligne, pour votre service, fait la différence entre un échéancier crédible et un échéancier qui glisse.
Nous préparons les fournisseurs infonuagiques et SaaS à l’évaluation du Centre canadien pour la cybersécurité à Protégé B — et nous ne sommes pas l’évaluateur, ce qui est précisément ce qui donne de la valeur à cette préparation.
Ce qui vous attend réellement
Cinq parties, dont quatre ne sont pas vous, et une horloge que la plupart d’entre elles ne contrôlent pas.
En quoi consiste l’évaluation
Le Centre canadien pour la cybersécurité évalue un fournisseur de services infonuagiques afin qu'un ministère fédéral puisse héberger des données à Protégé B sur ce service. Elle repose sur l'ITSG-33 et l'adaptation canadienne du NIST SP 800-53, et le résultat est une autorisation de risque réutilisable dont un ministère se sert plutôt que de la refaire.
Qui fait quoi
Vous concevez et exploitez les contrôles. Un évaluateur tiers agréé les éprouve. Le Centre pour la cybersécurité évalue le résultat, de concert avec l'organisme fédéral de services partagés lorsqu'un contrat passe par lui. Le ministère signe l'autorisation d'exploitation. Nous conseillons — et nous ne sommes aucun des quatre autres.
Ce qui détermine réellement l’échéancier
Pas le travail sur les contrôles. Le délai est fixé par la disponibilité de l'évaluateur, la relation avec le commanditaire, le filtrage de sécurité des contrats et les segments de file d'attente que personne dans la salle ne contrôle. Un plan qui ne séquence que les contrôles est un plan qui glissera.
Si vous détenez déjà FedRAMP ou SOC 2
Partiellement transférable, et c’est cette partie qui constitue tout le mandat. Les deux profils descendent du NIST SP 800-53 : la conception des contrôles voyage. La surcouche canadienne, elle, est éprouvée à neuf.
Ce qu'une posture existante vous apporte
Ce qui se transfère
- La conception même des contrôles — les deux profils descendent du NIST SP 800-53
- Les preuves d’essai existantes, là où la portée d’évaluation se recoupe réellement
- La maturité d’ingénierie qui a produit ces preuves
- L’habitude d’opérer sous surveillance continue
Ce qui ne se transfère pas
- L’autorisation elle-même — une autorisation fédérale américaine n’est pas canadienne
- La résidence des données, où les attentes canadiennes forment une question distincte
- La gestion des clés et l’identité de qui peut voir les données en clair
- Le filtrage du personnel, et le niveau d’habilitation que le contrat exige réellement
- La chaîne d’approvisionnement, suivie jusqu’aux sous-traitants plutôt qu’arrêtée à votre personnel
Conséquence pratique : l’effort net se concentre dans une mince tranche canadienne, et non sur l’ensemble des contrôles. Mesurer honnêtement cette tranche — avant qu’une date ne soit promise à un commanditaire — constitue le premier livrable, et c’est lui qui détermine si tout ce qui suit est réaliste.
Ce que couvre le mandat
Préparation et rédaction. Les essais demeurent chez un évaluateur agréé et l’évaluation demeure au Centre pour la cybersécurité.
Choix du parcours et chemin critique
Quel parcours d'évaluation s'applique à votre service, ce que chacun vous coûte en délai, et où passe réellement le chemin critique — habituellement ailleurs que dans les contrôles.
La cartographie des écarts de contrôles
Vos certifications existantes rapprochées du profil canadien, famille de contrôles par famille de contrôles, pour que le travail net à faire soit une quantité connue avant que quiconque ne s'engage sur une date.
Analyse de la résidence et du périmètre
Où résident physiquement les données, ce qui constitue un traitement, et si un service qui ne stocke jamais de données au repos est visé ou non — une question tranchée sur les faits de votre architecture, non sur une position commerciale.
Positions sur les clés et les accès
Qui détient les clés, qui peut voir les données en clair, et la réponse écrite défendable à la question des utilisateurs privilégiés — habituellement l'unique intrant qui détermine votre population à filtrer.
Coordination de l’évaluateur et des autorités
Agir comme point de contact unique entre votre équipe, l'évaluateur, le Centre pour la cybersécurité et l'organisme de services partagés, pour que quatre parties travaillent sur une seule version du plan.
Commanditaire et positionnement ministériel
L'évaluation exige un commanditaire fédéral ayant un besoin réel. Établir qui il est, et ce qui rend votre service digne de son parrainage, fait partie du travail plutôt que d'en être une condition préalable.
Livré
Mené en cours de mandat pour un fournisseur mondial d’infrastructure et de sécurité, à titre de point de contact unique entre le client, le Centre pour la cybersécurité, l’organisme fédéral de services partagés et l’évaluateur tiers — et, séparément, en analyse d’écarts rapprochant une posture FedRAMP High et ISO 27001 existante du profil canadien pour un fournisseur mondial de cybersécurité. Aucun client n’est nommé ; les mandats sont décrits au niveau de la méthode, des références nommées étant disponibles sur demande, sous réserve du consentement du client.
Pour les acheteurs fédéraux
Il existe un véhicule contractuel pour cela
Un ministère n'a pas à monter un approvisionnement sur mesure pour obtenir ce travail. La capacité d'évaluation et d'autorisation de sécurité est offerte au moyen d'un arrangement en matière d'approvisionnement fédéral, par l'entremise d'un entrepreneur principal, pour les charges de travail logiciel-service jusqu'à Protégé B.
Trois façons de le commander
- Une justification de fournisseur unique nommant la capacité spécialisée
- Une demande de soumissions simplifiée auprès des détenteurs de l'arrangement
- Groupé avec un achat logiciel effectué au moyen du même véhicule
Lots de travaux
- Plan d'évaluation et catégorisation
- Adaptation des contrôles et matrice de traçabilité
- Collecte et validation des preuves
- Rapport d'évaluation de la sécurité
- Plan d'action et acceptation du risque
- Soutien à la soumission de l'autorisation
- Surveillance continue et réévaluation annuelle
Portée et filtrage
- Jusqu’à Protégé B, selon le profil de contrôle Moyen
- Infonuagique Élevé (Protégé B / Élevé / Élevé) offert sur demande
- Protégé C et Classifié sont hors portée
- Personnel filtré au niveau Fiabilité ou supérieur
- Données résidant au Canada; aucun traitement à l’étranger
Le dimensionnement se fait comme pour tout mandat ici : une courte évaluation préalable à prix fixe établit la catégorisation, le profil de contrôle et la complexité avant que quiconque ne s'engage sur une portée. Demandez-nous et nous vous dirons quel véhicule s'applique et qui le détient.
Découvrez à quel point la tranche canadienne est mince.
Trente minutes. Nous établissons quel parcours d’évaluation s’applique, ce que valent vos preuves existantes face au profil canadien, et à quoi ressemble réellement le délai — y compris les parties que personne ne contrôle.