FedRAMP

Władze federalne Stanów Zjednoczonych opracowały federalny program zarządzania ryzykiem i autoryzacją (Federal Risk and Authorization Management Program, FedRAMP), czyli program rządowy, który ma na celu utworzenie znormalizowanego podejścia do oceny bezpieczeństwa, autoryzacji i ciągłego monitorowania produktów i usług w chmurze. Wszystkie modele usług i wdrożeń w chmurze przeznaczone dla agencji federalnych, poza konkretnymi lokalnymi przypadkami chmury prywatnej, muszą spełniać wymagania normy FedRAMP przewidziane dla odpowiedniego poziomu oddziaływania (niskiego, średniego lub wysokiego).

Autoryzację FedRAMP można uzyskać na dwa sposoby: w formie autoryzacji tymczasowej przyznawanej przez radę Joint Authorization Board (JAB) lub w formie autoryzacji udzielanej za pośrednictwem agencji. W tym drugim przypadku agencje mogą współpracować bezpośrednio z dostawcą usług chmurowych (CSP), udzielając autoryzacji w dowolnym momencie. Dostawcy usług chmurowych, którzy podejmą decyzję biznesową o nawiązaniu współpracy bezpośrednio z agencją w celu uzyskania zezwolenia Authority to Operate (ATO), będą współpracowali z agencją w trakcie całego procesu autoryzacji wg wymogów FedRAMP.

Obydwa podejścia wymagają przeprowadzenia audytu przez niezależną zewnętrzną organizację audytorską (3PAO) akredytowaną przez program, a także rygorystycznego przeglądu technicznego przeprowadzanego przez biuro zarządzania programem (PMO) FedRAMP.

Wymogi FedRAMP opierają się na normie SP 800-53 wer. 4 agencji National Institute of Standards and Technology (NIST) uzupełnionej konkretnymi środkami kontroli i ulepszeniami środków kontroli FedRAMP. Autoryzacje FedRAMP przyznawane są na trzech poziomach oddziaływania (niskim, średnim i wysokim) według kategoryzacji bezpieczeństwa FIPS 199 przyjętej przez NIST. Poziomy te odzwierciedlają potencjalny wpływ utraty poufności, integralności lub dostępności na organizację: niski (ograniczone skutki niepożądane), średni (poważne skutki niepożądane) i wysoki (poważne lub katastrofalne skutki niepożądane).