FedRAMP

Władze federalne Stanów Zjednoczonych wprowadziły federalny program zarządzania ryzykiem i autoryzacją (Federal Risk and Authorization Management Program, FedRAMP^®), czyli program rządowy, który ma na celu zapewnienie znormalizowanego podejścia do oceny bezpieczeństwa i ryzyka, autoryzacji oraz ciągłego monitorowania produktów i usług w chmurze. Wszystkie wdrożenia i modele usług w chmurze agencji federalnych, inne niż niektóre prywatne chmury lokalne, muszą spełniać wymagania normy FedRAMP przewidziane dla odpowiedniego poziomu oddziaływania (Low, Moderate, High — niskiego, średniego, wysokiego).

Autoryzację FedRAMP można uzyskać na dwa sposoby: w formie autoryzacji tymczasowej przyznawanej przez radę Joint Authorization Board (JAB) lub w formie autoryzacji udzielanej za pośrednictwem agencji. W tym drugim przypadku agencje mogą współpracować bezpośrednio z dostawcą usług chmurowych (CSP), udzielając autoryzacji w dowolnym momencie. Dostawcy usług chmurowych, którzy podejmą decyzję biznesową o nawiązaniu współpracy bezpośrednio z agencją w celu uzyskania zezwolenia Authority to Operate (ATO), będą współpracowali z agencją w trakcie całego procesu autoryzacji wg wymogów FedRAMP.

Obydwa podejścia wymagają przeprowadzenia audytu przez niezależną zewnętrzną organizację audytorską (3PAO) akredytowaną przez program, a także rygorystycznego przeglądu technicznego przeprowadzanego przez biuro zarządzania programem (PMO) FedRAMP.

Wymogi FedRAMP opierają się na normie SP 800-53 wer. 4 agencji National Institute of Standards and Technology (NIST) uzupełnionej konkretnymi środkami kontroli i ulepszeniami środków kontroli FedRAMP. Autoryzacje FedRAMP przyznawane są na trzech poziomach oddziaływania (niskim, średnim i wysokim) według kategoryzacji bezpieczeństwa FIPS 199 przyjętej przez NIST. Poziomy te odzwierciedlają potencjalny wpływ utraty poufności, integralności lub dostępności na organizację: niski (ograniczone skutki niepożądane), średni (poważne skutki niepożądane) i wysoki (poważne lub katastrofalne skutki niepożądane).

Jira, Confluence i Jira Service Management uzyskały autoryzację FedRAMP Moderate dla średniego poziomu oddziaływania, podczas gdy Trello Enterprise oferuje certyfikat FedRAMP Low dla niskiego poziomu oddziaływania. Skontaktuj się z naszym zespołem ds. administracji publicznej, jeśli chcesz uzyskać więcej informacji.