27、FedRAMP云计算安全要求解读

FedRAMP云计算安全要求解读

1. 差距分析步骤

差距分析练习包含以下三个步骤：
1. 根据云模型（如IaaS、PaaS或SaaS）对服务进行分类。
2. 将现有的安全架构与云模型进行映射。
3. 将FedRAMP安全要求（作为合规模型）与安全架构和云模型进行映射。

通过这些步骤，云服务提供商（CSPs）可以利用初步信息完成NIST风险管理框架（RMF）的前三个步骤，包括根据自身的信息安全分类流程确定在实现目标FedRAMP安全控制基线（低影响或中等影响）方面的潜在差距。此外，这些信息有助于他们开始记录控制调整工作簿（CTW）和CIS。

2. FedRAMP安全控制要求

FedRAMP安全控制要求为云计算环境提供了最低安全控制基线要求。这些安全控制基于NIST SP 800 - 53中的最低保证要求和FedRAMP安全控制。

部分CSPs可能已经与其他监管或行业控制框架保持一致，如ISO/IEC/27001 27002、ISACA COBIT、PCI DSS和NIST 800 - 53。因此，云安全联盟（CSA）的云控制矩阵（CCM）为CSPs提供了一个行业共识框架，可作为将FedRAMP集成到现有集成安全框架的工具，并帮助CSPs进行交叉比对，以确定现有安全和合规计划与FedRAMP安全要求之间的差异。

3. 访问控制相关要求

以下是一些访问控制相关的安全要求：
|控制编号|控制名称|控制要求|
| ---- | ---- | ---- |
|AC - 1|访问控制政策和程序|组织至少每年制定、传播并审查/更新：
a.