FedRAMP

De Amerikaanse overheid stelde het Federal Risk and Authorization Management Program (FedRAMP) op, een overheidsprogramma dat een gestandaardiseerde aanpak biedt voor beveiligings- en risicobeoordeling, autorisatie en continue bewaking van cloudproducten en -services. Alle cloudimplementaties en servicemodellen van federale instanties, met uitzondering van on-premise privéclouds, moeten op het passende impactniveau (laag, gemiddeld of hoog) voldoen aan FedRAMP-vereisten.

Er zijn twee manieren om een FedRAMP-autorisatie te krijgen: een voorlopige autorisatie via de Joint Authorization Board (JAB) of een autorisatie via een instantie. Bij een autorisatie via een instantie kunnen instanties op elk moment rechtstreeks samenwerken met een cloudserviceprovider (CSP) voor autorisatie. CSP's die besluiten om rechtstreeks samen te werken met een instantie om een Authority to Operate (ATO) te krijgen, werken met de instantie gedurende het FedRAMP-autorisatieproces.

Voor beide manieren is een beoordeling door een onafhankelijke derde partij (3PAO) verplicht die geaccrediteerd is door het programma. Ook is een strenge technische beoordeling verplicht door het FedRAMP Program Management Office (PMO).

FedRAMP is gebaseerd op de standaard National Institute of Standards and Technology (NIST) SP 800-53 Rev. 4, en wordt aangevuld met specifieke controles en controleverbeteringen van FedRAMP. FedRAMP-autorisaties worden gegeven op drie impactniveaus (laag, gemiddeld en hoog) en zijn gebaseerd op de beveiligingscategorie NIST FIPS 199. De niveaus rangschikken de gevolgen die een inbreuk op de vertrouwelijkheid, integriteit of beschikbaarheid zou kunnen hebben voor een organisatie: laag (beperkte nadelige gevolgen), gemiddeld (ernstige nadelige gevolgen) en hoog (ernstige of rampzalige nadelige gevolgen).