FedRAMP - FedRAMP

В Федеральная программа управления рисками и авторизацией (FedRAMP) это нас правительство широкая программа, обеспечивающая стандартизированный подход к оценка безопасности, авторизация и постоянный мониторинг для облако продукты и услуги.[1] В 2011 г. Управление управления и бюджета (OMB) выпустила меморандум[2] создание Федеральной программы управления рисками и авторизацией (FedRAMP) «для обеспечения экономичного подхода, основанного на оценке рисков, для внедрения и использования облачных сервисов исполнительными департаментами и агентствами». В Администрация общих служб (GSA) учредила Офис управления программами FedRAMP (PMO) в июне 2012 года. Задача FedRAMP PMO - способствовать внедрению безопасных облачных сервисов в федеральном правительстве путем предоставления стандартизированного подхода к оценке безопасности и рисков.[3] Согласно меморандуму OMB,[4] любые облачные сервисы, содержащие федеральные данные, должны быть авторизованы FedRAMP. FedRAMP предписывает требования к безопасности и процессы, которым должны следовать поставщики облачных сервисов, чтобы правительство могло использовать их сервис.

Существует два способа авторизации облачной службы через FedRAMP: предварительная авторизация (P-ATO) Joint Authorization Board (JAB),[5] и через отдельные агентства.[6]

До введения FedRAMP отдельные федеральные агентства управляли своими собственными методологиями оценки в соответствии с рекомендациями, установленными Федеральный закон об управлении информационной безопасностью 2002 г..[7]

Управление и применимые законы

FedRAMP управляется различными подразделениями исполнительной власти, которые работают совместно над разработкой, управлением и эксплуатацией программы.[8] Эти объекты включают: Управление управления и бюджета (OMB): руководящий орган, выпустивший меморандум о политике FedRAMP, который определяет ключевые требования и возможности программы. Объединенный совет по авторизации (JAB): основным органом управления и принятия решений FedRAMP являются директора по информационным технологиям (CIO). от Департамент внутренней безопасности (DHS), Администрация общих служб (GSA) и Министерство обороны (DOD). Национальный институт стандартов и технологий (NIST): консультирует FedRAMP по требованиям соответствия FISMA и помогает в разработке стандартов для аккредитации независимых 3PAO. Департамент внутренней безопасности (DHS): управляет стратегией непрерывного мониторинга FedRAMP, включая критерии подачи данных, структуру отчетности, координацию уведомлений об угрозах и реагирование на инциденты. Федеральный совет директоров по информационным технологиям (CIO): распространяет информацию FedRAMP среди федеральных ИТ-директоров и других представителей посредством межведомственных коммуникаций и мероприятий. FedRAMP PMO: учрежден в GSA и отвечает за разработку программы FedRAMP, включая управление повседневными операциями В основе FedRAMP лежит несколько законов, предписаний и политик. FISMA - Федеральный закон о модернизации информационной безопасности - требует, чтобы агентства санкционировали информационные системы, которые они используют. FedRAMP - это FISMA для облака. Меморандум о политике FedRAMP требует, чтобы федеральные агентства использовали FedRAMP при оценке, авторизации и непрерывном мониторинге облачных сервисов, чтобы помочь агентствам в процессе авторизации, а также сэкономить государственные ресурсы и устранить дублирование усилий.[9] Базовые параметры безопасности FedRAMP взяты из NIST SP 800-53 (в новой редакции) с набором улучшений контроля, которые относятся к уникальным требованиям безопасности облачных вычислений.

Сторонние организации по оценке

Сторонние организации по оценке (3PAO) играют решающую роль в процессе оценки безопасности FedRAMP, поскольку они являются независимыми оценочными организациями, которые проверяют реализации безопасности облачных провайдеров и предоставляют общую оценку рисков облачной среды для принятия решения об авторизации безопасности.[10] Эти оценочные организации, аккредитованные Американской ассоциацией аккредитации лабораторий (A2LA), должны продемонстрировать независимость и техническую компетентность, необходимые для тестирования реализаций безопасности и сбора репрезентативных доказательств.

Торговая площадка FedRAMP

FedRAMP Marketplace предоставляет доступную для поиска и сортировку базу данных предложений облачных услуг (CSO), получивших обозначение FedRAMP. Аккредитованные аудиторы, которые могут выполнять оценку FedRAMP, известную как 3PAO, перечислены на Marketplace. Торговая площадка FedRAMP поддерживается Офисом управления программами FedRAMP (PMO).[11]

Смотрите также

Рекомендации

  1. ^ "FedRAMP.gov". FedRAMP.gov. 2020-03-26. Получено 2020-04-05.
  2. ^ «Программная записка» (PDF). www.fedramp.gov. Получено 2020-04-05.
  3. ^ "FedRAMP.gov". FedRAMP.gov. 2020-03-26. Получено 2020-04-05.
  4. ^ «Программная записка» (PDF). www.fedramp.gov. Получено 2020-04-05.
  5. ^ «Получить авторизацию: Объединенный совет по авторизации». FedRAMP.gov. Получено 2020-04-05.
  6. ^ «Получить авторизацию: авторизация агентства». FedRAMP.gov. Получено 2020-04-05.
  7. ^ «DOD обращается к FedRAMP и облачному брокеру - FCW». FCW. 2014-05-21. Получено 2020-04-05.
  8. ^ "Управление". FedRAMP.gov. Получено 2020-04-05.
  9. ^ «Программная записка» (PDF). www.fedramp.gov. Получено 2020-04-05.
  10. ^ «Программная записка» (PDF). www.fedramp.gov. Получено 2020-04-05.
  11. ^ «Обозначения торговых площадок» (PDF). www.fedramp.gov. Получено 2020-04-05.

внешняя ссылка