Was ist eine GovCloud? Frage-und-Antwort-Runde mit dem leitenden Architekten Glenn Brunette
Als Salesforce CRM in die Cloud überführt hat, bedeutete dies einen großen Fortschritt für die Art, wie Salesforce-Kunden mit ihren Kunden interagieren. Mit der neuen Technologie können Salesforce-Kunden ihre Services in großem Umfang auf einfache Weise bereitstellen. Aber die Herausforderungen bei der funktionsübergreifenden Implementierung – der Schutz der Daten des Landes und seiner Bürger – haben die Behörden auf Bundes-, Landes- und kommunaler Ebene oft daran gehindert, diesen Fortschritt voll auszuschöpfen.
Wir alle haben erlebt, welche Auswirkungen es haben kann, wenn Behörden veraltete Technologien einsetzen, die weder den Bedürfnissen moderner Bürger gerecht werden noch die Erfahrungen bieten, die von modernen Regierungsbehörden erwartet werden. Diese Infrastruktur überlastet oft die Mitarbeiter, frustriert die Bürger und erschwert die Anpassung der Branche an das sich ständig weiterentwickelnde soziale, politische und technologische Umfeld. Salesforce bietet eine sichere Lösung, die mit den zahlreichen Rahmenwerken im öffentlichen Sektor konform ist, um diese Herausforderung anzugehen: Government Cloud Plus.
Auch wenn Sie Government Cloud Plus bereits kennen, fragen Sie sich jetzt vielleicht: "Was genau ist denn eine GovCloud?" Ich habe mich mit Glenn Brunette, Vice President und Lead Architect für die Government Cloud bei Salesforce, unterhalten. Er erklärt, was Salesforce Government Cloud Plus so einzigartig (und sicher) macht. Fangen wir an.
Also, Glenn, erklären Sie es uns: Was ist eine GovCloud?
In der einfachsten Form ist eine GovCloud eine dedizierte Internetumgebung für einen oder mehrere Behördenkunden oder Auftragnehmer. Die Government Cloud Plus-Instanzen von Salesforce sind genau das. Der gesamte Prozess beinhaltet allerdings etwas mehr als einfach nur das Onboarding von GovCloud-Kunden in eine dedizierte Umgebung. Am wichtigsten ist, dass wir eine Vielzahl spezifischer Vorschriften einhalten müssen, um Daten und Arbeitslasten von Behörden verarbeiten zu können. Salesforce entwickelt also für Kunden im öffentlichen Sektor spezielle GovCloud-Umgebungen mit Funktionen, die gesetzliche Vorschriften einhalten.
Aber bei allen anderen Kunden hält sich Salesforce doch auch an die gesetzlichen Vorschriften. Was ist denn nun das Besondere an einer GovCloud?
Das stimmt – Vertrauen steht bei uns an erster Stelle und wir halten uns an alle geltenden Vorschriften. Die Government Cloud Plus-Umgebungen von Salesforce sind zwar nicht alle gleich, weisen aber viele gemeinsame Merkmale auf, durch die sie sich vom Rest der Customer 360-Produktsuite unterscheiden. Zu den Unterschieden gehören eine stärkere Kontrolle der Einhaltung von Vorschriften, eingeschränkte Autorisierungsgrenzen, autorisierte Drittanbieter, direkte Kundenkonnektivität, behördlich genehmigte Kryptographie und eingeschränkter administrativer Zugriff.
Aha. Und was bedeutet das?
Das erkläre ich Ihnen gleich. Als zusätzliche Sicherheitsmaßnahme wurden erweiterte Kontrollen für die Einhaltung von Vorschriften in GovCloud-Umgebungen integriert. Sie werden auch als "Compliance Baselines" für den öffentlichen Sektor bezeichnet. In den USA verwenden die einzelnen Regierungsbehörden das Risk Management Framework (RMF) des National Institute of Standards and Technology (NIST) als Grundlage, in der die spezifischen Anforderungen an die Einhaltung von Vorschriften zusammengefasst sind.
Zu den Baselines können die FedRAMP High Impact Baseline oder die Department of Defense Impact Level 4 Baseline gehören. Salesforce hat eine eigene Grundlage für die Einhaltung von Vorschriften definiert, die zahlreiche Rahmenwerke umfasst, um eine einheitliche Strategie festzulegen.
Die eingeschränkte Autorisierungsgrenze ist eine Art Barriere, ähnlich wie ein Sicherheitszaun für ein Haus, die alle Komponenten und Services der GovCloud-Umgebung umgibt. Die Grenze legt fest, welche Elemente sich innerhalb der GovCloud befinden (in diesem Fall Ihr Haus) und wie sie mit anderen Systemen und Services außerhalb der Grenze interagieren. In GovClouds ist die ein- und ausgehende Kommunikation eingeschränkt. Bestimmte Änderungen müssen vorab von Behördenmitarbeitern geprüft und genehmigt werden. Wie ein Sicherheitskontrollpunkt am Eingang.
Aufgrund dieser eingeschränkten Autorisierungsgrenze müssen besondere Überlegungen angestellt werden, wenn eine GovCloud Cloud-Services von einem Drittanbieter nutzen oder mit ihnen interagieren möchte, unabhängig von den Daten, die über die Verbindung ausgetauscht werden. Diese Serviceanbieter müssen dieselben Anforderungen an die Einhaltung von Vorschriften erfüllen wie die GovCloud (und zwar auf allen Ebenen). So können unsere GovClouds beispielsweise nicht in Cloud-Services von anderen Anbietern integriert werden, die die Anforderungen von FedRAMP High nicht erfüllen.
Aber das ist noch nicht alles – der direkte Zugriff von Kunden über das Internet ist oft nicht zulässig. Produkte, die in eine GovCloud-Umgebung integriert werden, müssen also mit Kunden über dedizierte Netzwerkverbindungen interagieren können, die direkt zwischen Salesforce und der Behörde hergestellt werden.
Da die Authentifizierung und der Schutz von Daten bei der Übertragung und im Ruhezustand in hohem Maße von der Kryptographie abhängen, dürfen GovClouds und ihre Kunden nur genehmigte Algorithmen, Schlüssellängen, Verschlüsselungsverfahren und Ähnliches verwenden. Noch wichtiger ist, dass Regierungsbehörden auch unabhängig kryptographische Geräte oder Bibliotheken zertifizieren.
Jede dieser Sicherheitsebenen wird zusätzlich durch ein Prinzip geschützt, das viele als das Prinzip der geringsten Rechte kennen. Da in GovCloud-Umgebungen Daten von Behörden gespeichert, verarbeitet und übertragen werden, wird in Government Cloud Plus mit Zugriffsbeschränkungen festgelegt, wer physischen und/oder logischen Zugriff auf Systeme innerhalb der Autorisierungsgrenze erhält. Die Einschränkungen variieren je nach GovCloud-Umgebung. Je sensibler die in den Umgebungen gespeicherten Daten sind, desto strenger fallen die Überprüfungen aus.
Unterscheiden sich die GovClouds angesichts all dieser Kontrollen voneinander?
Heute lautet die Antwort darauf "Ja". Einige Anforderungen, die an unsere Salesforce Government Cloud-Angebote gestellt werden, sind einfach nicht notwendig oder empfehlenswert oder können nicht in allen Angeboten implementiert werden. Dennoch bemühen wir uns sehr, verbesserte Funktionen und stärkere Kontrollen in alle unsere grundlegenden Produktionslinien zu integrieren, soweit dies möglich ist.
Das waren jetzt ziemlich viele Fragen, aber GovClouds sind eben ein faszinierendes Thema, oder? Mit unseren Kontrollen für Sicherheit und die Einhaltung von Vorschriften können Behördenkunden darauf vertrauen, dass ihre Daten geschützt sind, während sie die Salesforce-Technologien nutzen, um sich auf das zu konzentrieren, was sie am besten können – und die Erfahrungen von Behördenkunden auf Bundes-, Landes- und kommunaler Ebene optimieren.
Salesforce Government Cloud Plus bietet Behördenkunden und Auftragnehmern von Behörden Zugriff auf führende CRM-, Service-, Plattform- und Analyse-Anwendungen für den öffentlichen Sektor und andere Branchen, damit sie ihre Aufgaben erfolgreich ausführen und die digitale Transformation in der gesamten Branche vorantreiben können. Wenn Sie mehr über Salesforce Government Cloud-Angebote erfahren möchten, kontaktieren Sie einen unserer Experten für Behördenlösungen unter: 1-844-807-8829.
Glenn Brunette ist Vice President und Lead Architect für die Government Cloud bei Salesforce. In dieser Rolle ist er für die Entwicklung der Architekturstrategie, die Ausführung von Architekturprogrammen und die Angleichung der kommerziellen Cloud-Lösungen an das Cloud-Angebot für Behörden von Salesforce verantwortlich. Glenn blickt auf über 30 Jahre Erfahrung in der Branche zurück. Er war bereits als GRC Lead für den öffentlichen Sektor bei Salesforce, als Distinguished Architect und Cybersecurity Lead bei Oracle sowie als Distinguished Engineer und Chief Security Architect bei Sun Microsystems tätig. Brunette hat zwei Patente für Cybersicherheit erhalten und ist Mitherausgeber zahlreicher Bücher und Artikel. Er hat einen Master- und einen Bachelor-Abschluss in Informatik von der St. Joseph's University erlangt.