24、FedRAMP 入门指南：云服务安全评估与授权流程解析

FedRAMP 入门指南：云服务安全评估与授权流程解析

1. FedRAMP 概述

FedRAMP 的概念操作（CONOPS）提供了高级概述和操作模型，涵盖了管理 FedRAMP 内云计算服务生命周期的三个关键流程领域，即进行安全评估、利用临时授权和持续监控。

1.1 主要参与者

参与者	角色和职责
联邦机构客户（或代表联邦机构运营的承包商）	作为将用于存储、处理或传输联邦信息的云服务的消费者，在采购过程中需遵循 FedRAMP 流程。
云服务提供商（CSP）	为联邦机构（或代表联邦机构运营的承包商）提供云服务，需满足 FedRAMP 安全要求和特定机构要求（如适用）。
第三方评估组织（3PAO）	对云服务进行独立评估，根据 CSP 的安全授权包验证并证明其质量和合规性。
联合授权委员会（JAB）	审查安全授权包并授予临时运营授权（ATO）。
FedRAMP 项目管理办公室（PMO）	管理安全评估、授权和持续监控流程。

1.2 操作流程与 NIST RMF