FedRAMP

米国連邦政府は米国政府機関のプログラムである Federal Risk and Authorization Management Program (FedRAMP) を設立しました。このプログラムでは、クラウド製品およびサービスのセキュリティ評価とリスク評価、認定、継続的な監視を行うために標準化されたアプローチを提供します。特定のオンプレミスのプライベート クラウドを除くすべての連邦政府機関のクラウドのデプロイとサービス モデルは、適切な影響レベル (低、中、高) で FedRAMP 要件を満たす必要があります。

FedRAMP の認定を得る方法には、合同認定委員会 (JAB) による暫定的認定と代理店による認定の 2 つがあります。代理店認定パスでは、代理店はクラウド サービス プロバイダー (CSP) と直接協力していつでも承認を受けられます。CSP は執行権限 (ATO) を追求するために代理店と協力するというビジネス上の決定を下すため、FedRAMP 認定プロセス全体を通して代理店と協力します。

いずれの方法にも、プログラムで認定されている独立した第三者評価機関による評価と、FedRAMP Program Management Office (PMO) による厳格な技術レビューが必要になります。

FedRAMP は米国国立標準技術研究所 (NIST) SP 800-53 Rev. 4 標準に基づいており、FedRAMP 固有の制御と制御拡張機能によって強化されています。NIST FIPS 199 セキュリティ分類に基づき、FedRAMP 認定は 3 つの影響レベル (低、中、高) で付与されます。これらのレベルは、機密性、整合性、または可用性の喪失が組織に与える影響をランク付け (低 - 限定的悪影響、中 - 重大な悪影響、高 - 深刻または致命的な悪影響) したものです。