Wat is een GovCloud? Q&A met hoofdarchitect Glenn Brunette
Toen Salesforce CRM op de cloud introduceerde, brachten we een revolutie teweeg in de manier waarop onze klanten in contact stonden met hun klanten – klanten voorzien van de technologie om hun services op schaal en met gemak te kunnen leveren. Maar voor federale, staats- en lokale overheidsinstanties hebben de uitdagingen van implementatie op een multifunctionele schaal – terwijl de gegevens van onze burgers en onze natie worden beschermd – hen er vaak van weerhouden om maximaal te profiteren van deze ontwikkelingen.
We hebben allemaal wel eens de gevolgen meegemaakt van een overheidskantoor dat gebruikmaakt van verouderde technologieën die niet zijn gemaakt om te voldoen aan de behoeften van moderne burgers en die ook niet de ervaringen kunnen leveren die van moderne overheden worden verwacht. Deze infrastructuur overbelast vaak het personeel, frustreert burgers en maakt het moeilijk om deze sector aan te passen aan ons sociale, politieke en technologische landschap dat steeds verandert. Daarom biedt Salesforce voor deze kwestie een veilige oplossing die voldoet aan tal van compliance-frameworks voor de publieke sector: Government Cloud Plus.
Of u nu wel of niet bekend bent met Government Cloud Plus, u vraagt zich misschien af: "Wat is een GovCloud precies?" Ik sprak met Vice President en Lead Architect, Government Cloud bij Salesforce, Glenn Brunette, die uitlegt wat Salesforce Government Cloud Plus zo uniek (en veilig) maakt. Laten we beginnen.
Dus, Glenn, we willen het allemaal weten: Wat is een GovCloud?
Nou, een GovCloud is simpel gezegd gewoon een internetomgeving speciaal voor een of meer overheidsklanten of -aannemers. De instanties van Salesforce Government Cloud Plus zijn precies dat, hoewel het proces in werkelijkheid meer omvat dan alleen het onboarden van GovCloud-klanten in een speciale 'ruimte'. Het belangrijkste is dat we moeten voldoen aan een breed scala van specifieke vereisten voor het verwerken van gegevens en workloads van de overheid. Daarom bouwt Salesforce speciale GovCloud-omgevingen voor klanten uit de publieke sector, uitgebreid met mogelijkheden die aan deze normen voldoen.
Maar Salesforce zet zich in voor strikte naleving voor elke klant, dus wat maakt een GovCloud uniek?
Dat klopt — vertrouwen staat bij ons voorop en we houden ons aan alle van toepassing zijnde regelgevingen. Hoewel Government Cloud Plus van Salesforce niet helemaal hetzelfde is, hebben ze veel gemeenschappelijke kenmerken in hoe ze verschillen van de rest van de Customer 360-productsuite. Deze verschillen omvatten verbeterde nalevingscontroles, beperkte autorisatiegrenzen, gemachtigde externe serviceproviders, directe connectiviteit van klanten, door de overheid goedgekeurde cryptografie en beperkte administratieve toegang.
Euhm, kunt u dit vertalen?
Natuurlijk! Voor extra beveiliging zijn GovCloud-omgevingen voorzien van een of meerdere verbeterde nalevingscontroles (vaak publieke sector nalevingsbasislijn genoemd). In de Verenigde Staten bouwen individuele overheidsinstanties voort op het risicobeheer-framework (RMF) van het nationale instituut van normen en technologie (NIST), waarbij ze specifieke nalevingsvereisten identificeren die in een basislijn zijn verzameld.
Zulke basislijnen kunnen de FedRAMP-basis voor grote impact of de ministerie van Defensie-basis voor impactniveau 4 zijn. Salesforce heeft zijn eigen Nalevingsbasislijn ontwikkeld, die bestaat uit talrijke frameworks om een gecombineerde nalevingsstrategie te creëren.
De beperkte autorisatiegrens verwijst naar een barrière — zie het als een veiligheidshek rondom uw huis — die alle componenten en services in de GovCloud-omgeving omringt. Het hek duidt aan wat zich in de GovCloud (uw huis in dit geval) bevindt en hoe het samenwerkt met andere systemen en services buiten de grens. GovClouds zijn zelfs verplicht om inkomende en uitgaande communicatie te beperken. Daarnaast moeten verschillende wijzigingen vooraf worden gecontroleerd en worden goedgekeurd door overheidsfunctionarissen. Het lijkt een soort veiligheidscontrole bij de gate.
Vanwege deze beperkte autorisatiegrens gelden er speciale overwegingen wanneer een GovCloud gebruik wil maken van of wil communiceren met een externe cloud-serviceprovider, ongeacht de gegevens die via de verbinding worden gedeeld. Deze serviceproviders zijn verplicht om dezelfde set nalevingsautorisaties te volgen als de GovCloud (en op allemaal dezelfde niveaus). Onze GovClouds kunnen bijvoorbeeld niet integreren met andere cloud-serviceproviders die niet aan de hoge eisen van FedRAMP voldoen.
Dat is nog niet alles – directe toegang voor klanten via het internet is vaak niet toegestaan. Dus, producten die zijn aangesloten op een GovCloud-omgeving, moeten kunnen communiceren met klanten via speciale netwerkverbindingen die rechtstreeks tussen Salesforce en de overheid zijn vastgesteld.
En gezien de sterke afhankelijkheid van cryptografie voor authenticatie en de bescherming van gegevens tijdens de transport en in rust, bepalen overheidsvereisten dat alleen goedgekeurde algoritmen, sleutellengtes, cipher-modi en dergelijke kunnen worden gebruikt door GovClouds en hun klanten. Belangrijker is dat de overheid ook onafhankelijk cryptografische apparaten of bibliotheken certificeert voor gebruik.
Elk van deze beveiligingslagen wordt extra beschermd door een proces dat lijkt op wat voor velen bekend is als het principe van least-privilege. Aangezien GovCloud-omgevingen overheidsgegevens opslaan, verwerken en verzenden, legt Government Cloud Plus toegangsbeperkingen op aan wie fysieke en/of logische toegang kan krijgen tot systemen binnen de autorisatiegrens. De beperkingen variëren afhankelijk van de GovCloud-omgeving, en voor toegang tot gevoeligere gegevensomgevingen is een rigoureuzer niveau van personeelsscreening vereist.
Zal GovClouds, gezien al deze controles, altijd anders zijn?
Vandaag is het antwoord "ja." Sommige eisen die zijn opgelegd aan onze Salesforce Government Cloud-aanbiedingen zijn simpelweg niet nodig, worden niet aanbevolen of kunnen niet worden geïmplementeerd in ons hele vloot. Dat gezegd hebbende, werken we er hard aan om sterkere mogelijkheden en controles in al onze productie-basislijnen te integreren, waar mogelijk.
Wow - dat was een heleboel, maar GovClouds zijn best fascinerend, vind u niet? Met onze beveiligings- en nalevingscontroles kunnen overheidsklanten er zeker van zijn dat hun gegevens beschermd zijn, terwijl Salesforce-technologieën hen de tools bieden om te focussen op dat waar ze het beste in zijn – en klantervaringen optimaliseren in staats-, lokale en federale instanties in het hele land.
Met Salesforce Government Cloud Plus hebben onze klanten toegang tot toonaangevende CRM, service, platform, analyses, overheidsaanvragen en andere sectoroplossingen die overheidsklanten en -aannemers helpen hun missie te laten slagen en digitale transformatie binnen de hele sector te realiseren. Voor meer informatie over Salesforce Government Cloud-aanbiedingen, neem contact op met een overheid-oplossingsexpert: 1-844-807-8829.
Glenn Brunette is Vice President en Lead Architect, Government Cloud bij Salesforce. In deze rol is hij verantwoordelijk voor de ontwikkeling van de architectuurstrategie, de uitvoering van architectuurprogramma's en het verbeteren van gelijkheid tussen de commerciële en Government Cloud-vloot van Salesforce. Met meer dan 30 jaar ervaring in de sector, was Glenn Public Sector GRC Lead bij Salesforce, Distinguished Architect en Cybersecurity Lead bij Oracle, een Distinguished Engineer en Chief Security Architect bij Sun Microsystems. Glenn heeft twee cybersecuritypatenten toegekend gekregen, heeft vele boeken en artikelen gepubliceerd en hij heeft zowel een bachelor als master of science in Computer Science aan de St. Joseph's University.