FedRAMP

Федеральное правительство США учредило Федеральную программу по управлению рисками и авторизацией (FedRAMP) — общегосударственную программу, которая обеспечивает стандартизированный подход к оценке безопасности и рисков, авторизации и непрерывному мониторингу облачных продуктов и сервисов. Все облачные развертывания и модели обслуживания федеральных агентств, за исключением определенных частных локальных сервисов, должны отвечать требованиям FedRAMP с учетом соответствующего уровня последствий (низкий, средний или высокий).

Существуют два подхода к получению авторизации FedRAMP: временная авторизация через Объединенный совет по авторизации (JAB) или авторизация через агентство. Агентства могут работать напрямую с поставщиком облачных услуг (CSP) для предоставления авторизации в любое время. Поставщики облачных услуг, которые принимают бизнес-решение работать напрямую с агентством для получения разрешения на ведение деятельности (АТО), будут работать с агентством на протяжении всего процесса авторизации FedRAMP.

Для обоих подходов требуется оценка независимой сторонней экспертной организации (3PAO), которая аккредитована программой, а также строгая техническая экспертиза со стороны Бюро управления программой FedRAMP (PMO).

FedRAMP основывается на стандарте Национального института стандартов и технологий (NIST) SP 800-53 ред. 4, дополненном специальными мерами и расширенными средствами контроля FedRAMP. Авторизации FedRAMP предоставляются на трех уровнях последствий (низкий, средний и высокий) на основании категорий безопасности NIST FIPS 199. Эти уровни определяют последствия для организации, к которым может привести потеря конфиденциальности, целостности или доступности данных: низкий (незначительное негативное воздействие), средний (серьезное негативное воздействие) и высокий (тяжелое или катастрофическое негативное воздействие).