25、FedRAMP：保障联邦云计算安全的关键体系

FedRAMP：保障联邦云计算安全的关键体系

1. FedRAMP 运营概念与流程

1.1 风险最终接受（ATO）

在 FedRAMP 流程中，最终的风险接受（ATO）由利用联邦机构授予，该机构接受云服务的临时 ATO。这包括对云服务提供商（CSP）在控制实施摘要（CIS）中分配的控制责任的认可。

1.2 持续监控

持续监控是 FedRAMP 的最后一个流程领域，联合授权委员会（JAB）在此确定已实施的安全控制是否仍然有效，以及是否应维持临时授权。这一决定基于三个关键领域：
- 运营可见性 ：关注对选定的安全控制子集进行定期评估，以确保 CSP 实施的安全控制持续有效。通过自动化手段，利用三个信息来源确定云服务的安全和风险态势，以实现持续合规。2010 年 4 月引入的三层方法，使联邦机构能够以可控和可操作的方式持续监控企业范围内的安全相关信息。为实现近实时监控，引入了 CyberScope 平台，用于提交数据馈送（自动和手动），并使管理和预算办公室（OMB）和国土安全部（DHS）能够通过一组描述联邦机构安全态势的问题/指标进行政府范围内的基准测试。CSP 需要向联邦机构提交类似的数据元素，以满足其报告要求，并让 FedRAMP 项目管理办公室（PMO）了解云服务的安全态势。此外，CSP 还需对 FedRAMP 基线中确定的部分安全控制进行年度重新评估，并提交年度自我认证报告。
- 变更控制 ：系统进行日常维护时，运营环境的变更不可避免，但有些变更可能对云服务的安全态势产生重大影响。因此，CSP 需要报告与 FedRAMP 联系点的变更、风险态势的变更、云系