3 Si vous gérez le stockage d’une agence fédérale américaine, ou d’un fournisseur de services cloud (CSP) qui vend à l’une d’elles, on vous a certainement déjà posé une question faussement simple : « Notre stockage objet est-il conforme FedRAMP ? » La réponse honnête est que la question mérite d’être décortiquée, car FedRAMP ne fonctionne pas comme la plupart des gens le supposent, et un « stockage conforme » a une signification précise. Ce guide explique ce que FedRAMP autorise réellement, comment ses classes de certification modifient ce que votre stockage doit faire, les contrôles essentiels que le stockage objet doit satisfaire, et ce que le passage à FedRAMP 20x signifie pour les équipes qui achètent ou construisent du stockage. FedRAMP en une section Le Federal Risk and Authorization Management Program (FedRAMP) normalise la façon dont les services cloud sont évalués sur le plan de la sécurité et certifiés pour être utilisés par les agences fédérales américaines. Il repose sur le Federal Information Security Modernization Act (FISMA) et utilise comme référence le catalogue de contrôles de la publication spéciale NIST SP 800-53. En pratique, FedRAMP offre aux agences un moyen commun et réutilisable de faire confiance à un service cloud, au lieu que chaque agence l’évalue en partant de zéro. Le détail essentiel : FedRAMP autorise une offre de service cloud et sa frontière d’autorisation définie. Il ne labellise pas des composants individuels comme une base de données, un répartiteur de charge ou un système de stockage comme « approuvés FedRAMP » en tant que tels. Ce seul fait dissipe l’essentiel de la confusion autour du stockage conforme, et nous y reviendrons. FedRAMP, FISMA, StateRAMP et les niveaux d’impact du DoD Ces termes sont souvent employés indifféremment, à tort. Le FISMA est la loi qui impose la sécurisation des systèmes fédéraux ; les agences qui exploitent leurs propres systèmes (y compris un cloud privé ou hybride) le font dans le cadre du FISMA. FedRAMP est le programme de certification des services cloud commerciaux destinés aux agences fédérales. StateRAMP applique la même logique au niveau des États et des collectivités locales américaines. Le département de la Défense ajoute ses propres niveaux d’impact (Impact Levels, comme IL4 et IL5) pour les charges de travail de défense, en plus de FedRAMP. Savoir de quel cadre vous relevez réellement détermine tout le reste : clarifiez ce point avant d’évaluer la moindre fonctionnalité de stockage. Les classes de certification FedRAMP et leur signification pour le stockage Avec les Consolidated Rules for 2026, FedRAMP a officiellement abandonné les anciennes désignations de « niveau d’impact » FIPS 199 (Low, Moderate, High) ainsi que le label « FedRAMP Validated ». Tout est désormais normalisé sous l’appellation « FedRAMP Certified », répartie en quatre classes de certification : Classe A (Transitional On-Ramp) : remplace « FedRAMP Ready » comme point d’entrée initial sur la place de marché. Elle exige un sous-ensemble réduit de supervision initiale et s’adresse aux fournisseurs disposant de cadres externes matures (comme SOC 2 Type II) qui se préparent à une évaluation complète dans un délai de deux ans. Classe B (Low) : remplace les anciennes références Low et Li-SaaS. Elle s’applique aux systèmes traitant des informations fédérales non sensibles, pour lesquels une faille de sécurité causerait un préjudice limité et mineur. Classe C (Moderate) : remplace l’ancienne référence Moderate. C’est le niveau de certification le plus large, qui couvre environ 80 % de l’ensemble des services certifiés FedRAMP. Elle s’applique aux systèmes traitant des informations non classifiées contrôlées (CUI) et des données fédérales non publiques, pour lesquels une faille pourrait causer un préjudice grave. C’est là que se situent la plupart des charges de travail de sauvegarde, d’archivage et de données non structurées des agences. Classe D (High) : remplace l’ancienne référence High. Elle est réservée aux informations fédérales critiques, aux forces de l’ordre et aux infrastructures critiques, pour lesquelles une faille pourrait avoir des conséquences graves, voire catastrophiques. Elle exige l’ensemble de contrôles le plus exigeant (plus de 410 contrôles). Plus la classe de certification est élevée, plus les exigences imposées à la couche de stockage sont rigoureuses : attentes plus fortes en matière de chiffrement, contrôle d’accès plus strict, journalisation plus complète, et garanties de disponibilité et de restauration plus élevées. Lorsqu’on vous demande si un stockage est conforme, la première question utile en retour est : pour quelle classe de certification, et pour quelles données ? Le stockage objet doit-il être « certifié FedRAMP » ? C’est le cœur du sujet. Comme FedRAMP certifie une offre et sa frontière plutôt qu’un composant, le stockage objet n’est presque jamais certifié isolément. Il intervient plutôt de l’une de ces deux manières. Dans le premier scénario, une agence fédérale exploite son propre cloud privé ou hybride dans le cadre du FISMA et utilise la référence FedRAMP et NIST 800-53 comme ensemble de contrôles. Le stockage objet fait alors partie du système de l’agence et doit mettre en œuvre les contrôles dont l’agence est responsable : chiffrement, gestion des accès, journalisation, etc. Dans le second scénario, un fournisseur de services ou un intégrateur vise une certification FedRAMP pour une offre cloud. Le stockage objet se trouve à l’intérieur de cette frontière d’autorisation et est évalué comme une partie de l’offre globale, et non séparément. Pour un acheteur de stockage, la conclusion pratique est la même dans les deux cas. Vous ne cherchez pas une boîte étiquetée « certifiée FedRAMP ». Vous cherchez un stockage capable de satisfaire les contrôles requis et de produire les preuves correspondantes, quel que soit l’endroit où vous le déployez. Tout fournisseur qui prétend que son produit de stockage est lui-même « certifié FedRAMP » fait, au mieux, un usage approximatif des termes. Les exigences essentielles que votre stockage objet doit satisfaire Quel que soit votre scénario, les mêmes catégories de contrôles s’appliquent à la couche de stockage. Voici ce qu’il faut rechercher. Chiffrement des données au repos avec un module cryptographique validé FedRAMP exige que la cryptographie protégeant les données fédérales utilise un module validé dans le cadre du Cryptographic Module Validation Program (CMVP) du NIST. La nuance importante : l’exigence porte sur un module validé disposant d’un certificat actif, et pas simplement sur la présence d’un algorithme comme AES-256. Un système peut utiliser des algorithmes robustes et ne pas être conforme si le module lui-même n’est pas validé. Notez le calendrier. Le gouvernement fédéral achève la transition de FIPS 140-2 vers FIPS 140-3, et FIPS 140-2 n’est plus accepté pour les nouvelles soumissions de modules après septembre 2026. Lorsque vous évaluez un stockage, interrogez spécifiquement le statut de validation FIPS 140-3 du module cryptographique, et pas seulement « chiffrez-vous ? ». Chiffrement en transit et gestion des clés Les données qui entrent dans le stockage et en sortent doivent elles aussi être protégées en transit par une cryptographie validée. Au-delà du chiffrement lui-même, les environnements FedRAMP attendent une gestion rigoureuse des clés : intégration à un service de gestion des clés, rotation des clés et séparation des tâches, afin que les personnes qui gèrent les clés ne soient pas celles qui gèrent les données. Contrôle d’accès, identité et moindre privilège Le stockage doit appliquer un contrôle d’accès basé sur les rôles, l’authentification multifacteur pour les accès privilégiés et des politiques de moindre privilège jusqu’au niveau des buckets et des objets. La question n’est pas de savoir si le stockage dispose d’autorisations, mais si ces autorisations sont granulaires, auditables et gouvernées de manière centralisée. Journalisation d’audit et supervision continue FedRAMP repose sur la supervision continue : la couche de stockage doit donc produire des journaux d’audit complets et infalsifiables, et les exporter vers les outils que votre équipe de sécurité utilise déjà, comme un SIEM. Si vous ne pouvez pas répondre avec certitude à la question « qui a accédé à quoi, quand et depuis où ? », le stockage n’est pas prêt pour un environnement FedRAMP. Intégrité des données, immuabilité et résilience face aux ransomwares Les recommandations fédérales considèrent de plus en plus la capacité de restauration comme un contrôle de sécurité, et pas seulement comme une question d’exploitation. Un stockage objet qui prend en charge Object Lock ou la protection WORM (write once, read many), et qui peut être isolé physiquement (air gap) ou logiquement, offre aux agences un dernier rempart défendable contre les ransomwares et les altérations internes. C’est d’autant plus important compte tenu du volume d’attaques visant le secteur public. Disponibilité, durabilité et résilience multisite Les classes de certification les plus élevées s’accompagnent d’attentes de disponibilité plus fortes. Recherchez une durabilité des données élevée (par exemple grâce au codage à effacement), une réplication multisite et des objectifs de restauration alignés sur les objectifs RTO et RPO de l’agence. La durabilité protège les données contre la perte ; la disponibilité les garde accessibles lorsqu’un site ou un composant tombe en panne. Résidence et souveraineté des données Pour les données fédérales, l’endroit où les données résident physiquement et les personnes habilitées à les manipuler sont des enjeux de premier plan. Cela signifie généralement des données sur le sol américain, à l’intérieur de la frontière d’autorisation, avec un accès opérationnel limité à des ressortissants américains (US persons) dûment habilités. Un stockage qui vous donne un contrôle explicite sur l’emplacement des données et les accès y contribue directement. FedRAMP 20x : ce qui change, et pourquoi les équipes stockage doivent s’y intéresser FedRAMP vit la plus grande évolution de son histoire. Avec les Consolidated Rules for 2026, le programme abandonne la paperasse manuelle traditionnelle et les audits annuels ponctuels au profit de l’automatisation, de preuves lisibles par machine (via des schémas JSON) et d’une validation continue. Au cœur de cette évolution se trouvent les Key Security Indicators (KSI), des capacités de sécurité axées sur les résultats et vérifiables par machine, qui remplacent les descriptions narratives traditionnelles des contrôles NIST. Au lieu de rédiger un document volumineux expliquant comment vous comptez protéger un système, 20x vous demande de prouver que le contrôle fonctionne grâce à une collecte de données automatisée. Le calendrier de déploiement, c’est maintenant : le pipeline 20x s’ouvre pour la classe A en août 2026, suivi des pipelines des classes B et C fin août 2026. Les parcours automatisés 20x de la classe D (High), plus stricts, sont prévus pour début 2027. Pourquoi un responsable du stockage devrait-il s’en soucier ? Parce que 20x pénalise les plateformes qui reposent sur un ingénieur réalisant manuellement des captures d’écran de configuration une fois par an. Il récompense les architectures software-defined capables d’émettre en continu une télémétrie de sécurité active via des API. Lorsque vous évaluez un stockage objet aujourd’hui, la télémétrie de conformité pilotée par API n’est plus un simple bonus ; c’est une exigence de conformité structurante. Stockage objet sur site et en cloud privé pour FedRAMP et FISMA On suppose souvent que la « conformité cloud » implique un hyperscaler public. Ce n’est pas obligatoire. De nombreuses agences et fournisseurs à haut niveau d’assurance choisissent délibérément des déploiements sur site, en cloud privé ou isolés (air gap) afin de garder le contrôle total des données sensibles, de prendre en charge les charges de travail de classe D (High) et d’éviter une dépendance excessive à un seul fournisseur. Le stockage objet software-defined et compatible S3 rend cela possible : les équipes bénéficient d’une exploitation de type cloud et de l’API S3, largement adoptée, à l’intérieur de leur propre périmètre. Pour un responsable du stockage qui pèse les options, le modèle de déploiement est une décision stratégique. Le sur-site et le cloud privé maximisent le contrôle et la souveraineté ; le cloud public peut alléger la charge opérationnelle. La conformité FedRAMP est atteignable dans les deux modèles, dès lors que les contrôles ci-dessus sont respectés et que les preuves existent. Check-list pour évaluer un stockage objet dans un environnement FedRAMP Utilisez-la comme premier filtre lors de l’évaluation d’une plateforme de stockage : [ ] Chiffrement des données au repos à l’aide d’un module validé FIPS 140-3 par le CMVP (demandez le certificat) [ ] Chiffrement en transit, intégration à la gestion des clés, rotation et séparation des tâches [ ] Contrôle d’accès basé sur les rôles, authentification multifacteur et politiques au niveau des objets [ ] Journaux d’audit complets et infalsifiables, exportables vers votre SIEM [ ] Immuabilité Object Lock ou WORM, avec options d’isolation ou d’air gap [ ] Durabilité élevée (par exemple codage à effacement) et résilience multisite alignées sur vos RTO et RPO [ ] Contrôle explicite de la résidence des données et des accès opérationnels [ ] Configuration et télémétrie pilotées par API et lisibles par machine, à l’appui des Key Security Indicators (KSI) de FedRAMP 20x Synthèse : une stratégie de stockage prête pour FedRAMP Un stockage objet conforme FedRAMP est moins une question d’étiquette que d’adéquation. Alignez la classe de certification sur la sensibilité de vos données. Exigez un module cryptographique validé, et pas seulement un algorithme robuste. Concevez pour l’immuabilité et la durabilité multisite, afin que la restauration soit un contrôle de sécurité et non une réflexion après coup. Gardez vos preuves lisibles par machine pour être prêt pour l’orientation de FedRAMP 20x. Et choisissez votre modèle de déploiement (sur site, cloud privé ou public) en fonction du niveau de contrôle et de souveraineté qu’exigent les données. La phrase à retenir : le stockage objet n’est pas « certifié FedRAMP » en soi. Soit il aide une agence à satisfaire ses contrôles FISMA et FedRAMP, soit il se trouve à l’intérieur de la frontière autorisée d’un fournisseur. Une fois la question posée ainsi, l’évaluation devient beaucoup plus claire. Questions fréquentes Le stockage objet est-il certifié FedRAMP ? Pas en soi. FedRAMP autorise une offre de service cloud et sa frontière, et non un produit de stockage individuel. Le stockage aide une agence à satisfaire ses contrôles ou est évalué dans le cadre de l’offre autorisée d’un fournisseur. De quelle classe de certification FedRAMP ai-je besoin pour le stockage ? Cela dépend de la sensibilité des données, catégorisée selon les Consolidated Rules for 2026. Les workflows courants à petite échelle relèvent de la classe B (Low) ; les données d’entreprise essentielles et les CUI de la classe C (Moderate) ; les données critiques, de sécurité nationale ou des forces de l’ordre de la classe D (High). FedRAMP exige-t-il un chiffrement FIPS 140-3 ? FedRAMP exige une cryptographie reposant sur un module validé par le CMVP du NIST. Le gouvernement passe de FIPS 140-2 à FIPS 140-3, et 140-2 n’est plus accepté pour les nouvelles soumissions de modules après septembre 2026 : interrogez donc spécifiquement le statut de validation 140-3. Un stockage objet sur site peut-il être conforme FedRAMP ? Oui. La conformité consiste à respecter les contrôles et à produire les preuves, et non à se trouver dans un cloud public. Les déploiements sur site et en cloud privé sont courants pour les charges de travail de classe D et celles soumises à des enjeux de souveraineté. Quelle est la différence entre FedRAMP et FISMA ? Le FISMA est la loi qui impose la sécurisation des systèmes fédéraux, y compris ceux qu’une agence exploite elle-même. FedRAMP est le programme de certification des services cloud commerciaux destinés aux agences, qui s’appuie sur des règles unifiées et une évaluation continue lisible par machine. Pour aller plus loin (contenus pédagogiques) : une introduction au chiffrement validé FIPS 140 (en anglais), une présentation du NIST Cybersecurity Framework (en anglais), et la façon dont le stockage immuable et isolé (air gap) (en anglais) renforce la résilience face aux ransomwares. Pour l’état actuel du programme, consultez la page officielle FedRAMP 20x (en anglais).
