Programme fédéral de gestion des risques et des autorisations (FedRAMP) :

Vue d'ensemble

Le programme FedRAMP normalise l'évaluation de la sécurité des services cloud utilisés par les agences fédérales, sur la base des contrôles définis dans la norme NIST SP 800-53. La validation FIPS 140 est une condition préalable directement intégrée aux niveaux SC-13, SC-12 et IA-7 : la cryptographie doit être assurée par un module validé selon la norme FIPS 140, ou approuvé par la NSA et conforme à la norme NIAP, et non pas simplement par un code personnalisé conforme à la norme FIPS.

En janvier 2025, le Conseil d’administration du FedRAMP a approuvé une mise à jour de la politique relative aux modules cryptographiques (v1.1.0) qui offre deux voies aux fournisseurs de services cloud (CSP) : une « voie de validation des modules » qui privilégie le maintien de la dernière version de module validée par la norme FIPS, et une voie alternative permettant d’intégrer plus rapidement les correctifs de sécurité urgents qu’une revalidation complète ne le permettrait. Parallèlement, FedRAMP 20x, une approche d’autorisation modernisée et davantage automatisable, articulée autour d’indicateurs clés de sécurité, est entrée en vigueur le 30 mai 2025 pour les autorisations à faible impact ; les CSP sont tenus de participer au projet pilote 20x pour obtenir la certification.

Pourquoi c'est important

Les directives du programme FedRAMP lui-même citent « l’absence de modules de chiffrement validés selon la norme FIPS 140 » comme un obstacle courant susceptible de bloquer un dossier d’autorisation avant même qu’un organisme d’évaluation tiers (3PAO) ne soumette le rapport d’évaluation de l’état de préparation ; il s’agit là d’un obstacle insurmontable et non d’une lacune pouvant être corrigée ultérieurement.

La transition de la norme FIPS 140-2 à la norme FIPS 140-3 aggrave ce risque, en particulier pour les fournisseurs de services cloud (CSP) : un module qui était conforme lors de l'autorisation initiale peut passer au statut « historique » en cours de cycle ATO, et un CSP s'appuyant sur une cryptographie d'TLS qu'il ne contrôle pas directement (bibliothèques de fournisseurs de cloud, piles d' intégrées) restera en situation de non-conformité si ce module expire le 21 septembre 2026.

En quoi cela s'applique-t-il à la cryptographie ? 

Le programme FedRAMP aborde la cryptographie à travers plusieurs domaines de contrôle étroitement liés. Les principaux domaines ayant des implications directes en matière de cryptographie sont les suivants :

Préparation à l'audit

Les évaluations et les contrôles, qu'ils soient menés en interne, réalisés par une autorité de régulation ou examinés par un évaluateur indépendant, se concentrent sur les preuves concrètes plutôt que sur les simples déclarations de principe. Voici les principaux domaines sur lesquels les contrôleurs et les évaluateurs s'attardent généralement :

• Vérification du statut « actif » des modules FIPS : tous les modules cryptographiques assurant la protection des données fédérales figurant sur la liste des modules validés par le CMVP sont-ils bien confirmés comme « actifs », et non pas classés comme « historiques » ou « en cours de validation » ?
• Correspondance entre la version et le certificat dans le SSP : le plan de sécurité du système identifie-t-il avec précision la version exacte du module et le numéro de certificat déployés en production ?
• Plan d'action et jalons (POA&M) pour les modules arrivant à terme : Existe-t-il un plan d'action et des jalons documentés pour un module dont la validité selon la norme FIPS 140-2 arrive à échéance le 21 septembre 2026 ?
• Documentation relative à la mise en place et à la gestion des clés : les procédures de génération, de distribution et de destruction des clés sont-elles documentées et associées à un module spécifique validé ?
• Preuves issues d'une surveillance continue pour les 20 KSI : l'organisation est-elle en mesure de fournir des preuves automatisées et continues de l'état des contrôles cryptographiques, plutôt que de simples éléments d'évaluation ponctuels ?
• Vérification des artefacts signés pour les déploiements : les images de conteneurs, les artefacts de compilation et les correctifs déployés dans la zone d'autorisation sont-ils signés cryptographiquement et vérifiés ?

TRANSMETTEZ CELA À LA DIRECTION

Les directives de FedRAMP elles-mêmes indiquent que l’absence de validation FIPS est l’une des raisons courantes pour lesquelles les dossiers d’autorisation ne sont jamais soumis, et non un problème que nous corrigeons au cours de l’évaluation. Si nos modules cryptographiques, y compris ceux hérités de notre fournisseur d’infrastructure cloud, ne figurent pas sur la liste active du CMVP avec une version correspondant à notre SSP, nous ne parvenons même pas à l’étape de l’examen par le 3PAO.

Le 21 septembre 2026 introduit un risque à mi-cycle auquel nous n’avons jamais eu à faire face auparavant : un module qui était « actif » au moment de notre autorisation peut passer au statut « historique » alors que notre ATO est toujours en vigueur. Nous avons besoin d’une visibilité permanente sur le statut de validation de chaque module, et non d’une simple vérification ponctuelle au moment de l’autorisation. L’orientation de FedRAMP 20x vers des preuves continues et automatisées fait de cette visibilité une exigence de base plutôt qu’une simple option.