30、FedRAMP云计算安全要求解析

FedRAMP云计算安全要求解析

1. 介质清理（MP - 6）

在处理包含受控非机密信息（CUI）或其他敏感信息的信息系统介质时，组织需依据适用的组织和/或联邦标准及政策进行清理。相关参考资料包括FIPS Publication 199、NIST SP 800 - 60、NIST SP 800 - 88以及NSA的介质销毁指南。

2. 物理和环境保护（PE）

• PE - 1：物理和环境保护政策与程序
  • 组织每年至少需制定、传播并审查/更新正式的物理和环境保护政策及程序。政策要涵盖目的、范围、角色、职责、管理承诺、组织实体间的协调以及合规性；程序则要便于政策和相关控制的实施。
  • 参考资料有NIST SP 800 - 12和NIST SP 800 - 100。
• PE - 2：物理访问授权
  • 组织要制定并更新有权访问信息系统所在设施（除官方指定的公共区域外）的人员名单，发放授权凭证，并至少每年审查和批准访问名单及授权凭证，移除不再需要访问的人员。
• PE - 3：物理访问控制
  • 组织需在信息系统所在设施的所有物理访问点（除公共区域外）执行访问授权，验证个人访问权限，使用物理访问设备和/或警卫控制进入，控制公共区域访问，确保物理访问设备安全，每年盘点并更换钥匙和密码。
  • 参考资料众多，如FIPS Publication