FedRAMPは、クラウドサービスに対するセキュリティ評価、認可、継続的監視を標準化する米国政府全体のプログラムです。
この記事を読み終えると、以下のことができるようになります。
関連コンテンツ
是非、Cloudflareが毎月お届けする「theNET」を購読して、インターネットで最も人気のある洞察をまとめた情報を入手してください！
記事のリンクをコピーする
連邦リスク承認管理プログラム（FedRAMP：Federal Risk and Authorization Management Program）は、クラウド製品やサービスに対するセキュリティ評価、認可、継続的監視のための標準的なアプローチを提供する米国政府全体のプログラムです。これにより、連邦政府機関は、安全なクラウドテクノロジーの導入を合理化できます。
クラウドサービスの利用を計画している連邦機関は、FedRAMP認定サービスを選択しなければなりません。連邦政府機関にサービスを提供したいと考えているクラウドサービスプロバイダーは、FedRAMPコンプライアンスを実証する必要があります。
FedRAMPは、クラウドサービスのセキュリティ評価における標準化されたアプローチを提供することにより、クラウドサービスプロバイダーが連邦政府のデータを保護するための厳格な要件を満たすことを保証します。連邦政府機関は、FedRAMP認証を取得したクラウドサービス（CSO）を選択することにより、セキュアなクラウドサービスの実装を迅速化できます。一方、クラウドサービスプロバイダーは、その認証を取得することにより、連邦政府機関への顧客基盤を拡大できます。
FedRAMPは、米国の国立標準技術研究所（NIST）特別刊行物800-53（NIST SP 800-53）を使用して、セキュリティとプライバシーの制御を定義しています。クラウドサービスプロバイダーは、求める認可レベルに応じて適切な管理策を実装し、その後、第三者評価機関（3PAO）による独立したセキュリティ評価を受ける必要があります。
その3PAOは、セキュリティ評価レポート（SAR）を作成し、脆弱性を特定して、改善のための推奨事項を提供します。クラウドサービスプロバイダーが問題を修正したら、完成したセキュリティパッケージをFedRAMPリポジトリに提出できます。
その後、パッケージは連邦政府機関によって審査され、運営許可（ATO：Authorization to Operate）（またはAuthority to Operate）を発行するかどうかを決定します。2024年までは、パッケージはFedRAMP共同認証委員会（JAB）による審査も可能でした。しかし2024年、JABは解散しました。今後、新たなJAB認証は行われません。現在、クラウドサービスプロバイダーの認証を得るための唯一の手段は、政府機関による認証プロセスのみです。
クラウドサービスプロバイダーが機関からATOを受け取ると、FedRAMP認証を受けたと見なされ、FedRAMP Marketplaceに掲載されます。その後、プロバイダーは継続的監視を実装し、コンプライアンスを維持するために定期的な再評価を実施します。
3PAO（第三者評価機関）は、クラウドサービスプロバイダーのセキュリティ制御が適切に実装され、正常に機能していることを独立して検証します。この3PAOは、初期および定期的な評価を実施し、SARを作成します。これにより、連邦政府機関は、クラウドサービスプロバイダーのサービスに対する政府利用の許可について、リスクに基づいた意思決定を行うために必要な情報を得られます。
3PAOは、米国試験所認定協会（A2LA）によって認定されています。
FedRAMP認証は、一度限りのものではありません。承認を維持するため、クラウドサービスプロバイダーは継続的監視（ConMonと呼ばれることもあります）を実施する必要があります。
NISTによると、情報セキュリティの継続的な監視は、「情報セキュリティ、脆弱性、および脅威の継続的な認識」を確保するのに役立ちます。クラウドプロバイダーのセキュリティを維持すると同時に、関係機関が重要なリスク管理の意思決定を支援するために必要な洞察を提供します。
継続的監視には、セキュリティ制御の定期的な評価、レポート、および修正が含まれます。クラウドサービスプロバイダーは脆弱性スキャン、アクション計画、およびマイルストーン計画を毎月提出し、3PAOによるセキュリティ評価を毎年受ける必要があります。クラウドサービスのATOを発行する各機関は、クラウドサービスプロバイダーの継続的な監視活動をレビューし、各機関がそれらのサービスを継続して使用すべきかどうかを確認します。
検索と分類が可能なオンラインデータベースであるFedRAMP Marketplaceの機能：
このデータベースが提供する、各クラウドオファリングのFedRAMPステータス：
FedRAMPは、クラウドサービスの3つの「インパクトレベル」を定義しています。各レベルは、特定の種類のデータと、そのデータ侵害がもたらす潜在的な影響を定義しています。
クラウドサービスプロバイダーは、複数のインパクトレベルに対する認可を保持できます。たとえば、そのプロバイダーが提供する特定のサービスには、FedRAMP中の認証を受けているものもあれば、FedRAMP高の認証を受けているものもあります。
FedRAMPとリスク管理フレームワーク（RMF）はどちらも、サイバーセキュリティリスクの管理に関するガイドラインとプロセスを提供していますが、適用対象となる組織が異なります。
連邦情報セキュリティモダナイゼーション法（FISMA）は、米国の連邦法であり、連邦機関に対し、情報およびシステムを保護するためのセキュリティプログラムを策定、文書化、実装することを義務付けています。セキュリティに対するリスクベースのアプローチを義務付けており、NISTは要件を満たすための基準とガイダンスを提供する責任を担っています。FISMAは、政府機関、その契約業者、および政府機関の業務を支援するその他の組織に適用されます。
FedRAMPは、クラウドサービスのセキュリティを評価および承認するための特定のフレームワークを提供するプログラムであり、これらのサービスがFISMAのセキュリティベースラインを満たすことを保証します。つまり、FISMAは包括的な規制であり、FedRAMPはFISMAへの準拠を示すためのフレームワークです。
GovRAMP（旧称：StateRAMP）は、米国の州政府、地方自治体、部族政府、および教育機関にサービスを提供するクラウドサービスプロバイダーのサイバーセキュリティ評価を標準化するプログラムです。このプログラムは任意であり、民間の非営利団体によって管理されています。
これに対し、FedRAMPは連邦政府機関向けサービスを認可するために設計されています。連邦政府機関である一般調達庁（GSA：General Services Administratio）によって管理されています。
両方のプログラム:
クラウドサービスプロバイダーは、FedRAMPとGovRAMPの両方の認証を取得できます。
で詳しく解説されているFedRAMP 20xは、FedRAMP認証に対する新しいクラウドネイティブなアプローチを構築することで、コンプライアンスプロセスを合理化および強化することを目的とした取り組みです。このイニシアチブは、新しい評価プロセスにおける5つの主要な目標を記述しており、このプロセスはFedRAMPが業界関係者および政府機関の専門家と協力して設計します。
クラウドサービスプロバイダーは、FedRAMPベースラインが置き換えられるまで、これらのベースラインを使用して、サービスの機関認可に向けた取り組みを継続できます。
さまざまなインフラ・アズ・ア・サービス（IaaS）、プラットフォーム・アズ・ア・サービス（PaaS）、ソフトウェア・アズ・ア・サービス（SaaS）など、さまざまな製品がFedRAMP認証を取得できます。たとえば、クラウドサービスプロバイダーは、アプリケーション開発、サイバーセキュリティ、ネットワーキング、分析、プライバシー／コンプライアンス、およびその他のサービスについて認可を得ることができます。
連邦政府機関は、ミッションのニーズとセキュリティ要件を満たす製品をFedRAMP Marketplaceで探します。Marketplaceデータベースでは、事業カテゴリー、インパクトレベル、デプロイメントモデルによって結果をフィルタリングできます。
オファーが別の機関によって承認されている場合、オファーを検索している機関は、そのオファーのセキュリティ評価パッケージへのアクセスを要求できます。パッケージは、その後、エージェンシー自身の ATO 決定を導くことができます。
Cloudflareは、FedRAMP認証を含む、顧客信頼獲得に役立つ幅広いポリシー、テクノロジー、および認証を有しています。詳細についてはCloudflare Trust Hubでご確認ください。
FedRAMP（Federal Risk and Authorization Management Program）は、クラウド製品とサービスに対するセキュリティ評価、認可、継続的監視を標準化する米国政府のプログラムです。その目的は、連邦政府機関がより容易に安全なクラウド技術を導入できるよう支援することです。
FedRAMPは、セキュリティ評価を標準化することにより、クラウドサービスプロバイダーが連邦データを保護するための厳格な要件を満たすことを保証します。これにより、連邦機関は安全なクラウドサービスを迅速に導入できます。同時に、プロバイダーは顧客基盤を拡大し、連邦機関を含めることが可能になります。
クラウドサービスプロバイダーは、米国立標準技術研究所（NIST：National Institute of Standards and Technology）特別刊行物800-53で定義されたセキュリティおよびプライバシーに関する管理策を実装する必要があります。その後、第三者評価機関（3PAO）による独立したセキュリティ評価を受け、セキュリティ評価報告書（SAR）が作成されます。問題を是正した後、セキュリティパッケージを提出し、連邦政府機関によるレビューのためにセキュリティパッケージを提出します。運用許可（ATO）を発行するかどうかを決定するのは、連邦政府機関によるレビューです。
3PAOとは、米国試験所認定協会（A2LA：American Association for Laboratory Accreditation）によって認定された第三者評価機関のことです。その役割は、クラウドサービスプロバイダーのセキュリティ制御が適切に配置され、機能していることを独立して検証することです。3PAOは、初期および定期的な評価を実施し、連邦政府機関がリスクに基づく意思決定に利用するSARを作成します。
継続的監視（ConMon）とは、FedRAMP認証を維持するために必要な継続的アクティビティのことです。これには、セキュリティコントロールの定期的な評価、報告、および修正が含まれます。クラウドサービスプロバイダーは、毎月の脆弱性スキャンと行動計画を提出し、3PAOによる毎年のセキュリティ評価を受け、継続的なセキュリティ意識を確保しなければなりません。
FedRAMPは、クラウドサービスのセキュリティを評価および承認するためのフレームワークを提供する特定のプログラムであり、連邦情報セキュリティモダナイゼーション法（FISMA）で求められるセキュリティ基準を満たすことを保証します。FISMAは、連邦政府機関のセキュリティプログラムを義務付ける包括的な連邦法です。 リスク管理フレームワーク（RMF）は、連邦政府機関が独自のITシステムの運用を認可するプロセスを提供するもので、セキュリティリスクの管理に役立ちます。FedRAMPとは、クラウドサービスプロバイダーが連邦政府機関での利用を承認されるために従うプロセスです。
FedRAMPは、データの機微性と侵害の潜在的な影響に基づいて、クラウドサービスの3つのインパクトレベルを定義しています。 低：機微性が低く、一般公開されている情報の場合、侵害による影響は限定的です。 中程度：機微情報だが分類されていない、侵害が財務的損失などの深刻な影響につながる可能性のあるデータ向け。 高：漏洩が深刻または壊滅的な結果をもたらす可能性がある最も機微性の高い未分類データ（法執行機関が使用するものなど）に対する最も厳格なレベルです。
FedRAMP Marketplaceは、検索可能なオンラインデータベースであり、次を掲載しています。 FedRAMP指定を取得したクラウドサービスプロバイダー。 現在、FedRAMP認定クラウドサービスプロバイダーを使用している連邦機関。 FedRAMP認定の第三者評価機関または監査機関（3PAO）。
FedRAMP 20xは、FedRAMP認証に対する新しいクラウドネイティブなアプローチを構築し、コンプライアンスプロセスの合理化と強化を目的としたイニシアチブです。目的は、セキュリティ要件の自動化の簡素化、既存の業界投資の活用、迅速かつ継続的なイノベーションの実現などです。
インフラ・アズ・ア・サービス（IaaS）、プラットフォーム・アズ・ア・サービス（PaaS）、ソフトウェア・アズ・ア・サービス（SaaS）などのさまざまなクラウドサービスが、FedRAMP認証を取得できます。認可できる分野の例としては、アプリケーション開発、サイバーセキュリティ、ネットワーキング、および分析などが挙げられます。