miniatura|Bàner del logotip de FedRAMP El Programa Federal de Gestió de Riscos i Autoritzacions (FedRAMP) és un programa de compliment normatiu del govern federal dels Estats Units que proporciona un enfocament estandarditzat per a l'avaluació de la seguretat, l'autorització i la supervisió contínua dels productes i serveis al núvol. El govern dels EUA descriu FedRAMP com a FISMA per al núvol.

Visió general La missió de FedRAMP PMO és promoure l'adopció de serveis al núvol segurs a tot el govern federal proporcionant un enfocament estandarditzat per a la seguretat i l'avaluació de riscos. Segons el memoràndum de l'OMB, qualsevol servei al núvol que contingui dades federals ha de ser autoritzat per FedRAMP. FedRAMP prescriu els requisits i processos de seguretat que els proveïdors de serveis al núvol han de seguir perquè el govern pugui utilitzar el seu servei.

Hi ha dues maneres d'autoritzar un servei al núvol a través de FedRAMP: una autorització provisional (P-ATO) de la Junta Conjunta d'Autorització (JAB) i a través d'agències individuals.

La FedRAMP proporciona acreditació per a serveis al núvol per als diversos models d'oferta al núvol, que són infraestructura com a servei (IaaS), plataforma com a servei (PaaS) i programari com a servei (SaaS).

Història El 2011, l'Oficina de Gestió i Pressupost (OMB) va publicar un memoràndum que establia el FedRAMP "per proporcionar un enfocament rendible i basat en el risc per a l'adopció i l'ús de serveis al núvol als departaments i agències executius". L'Administració de Serveis Generals (GSA) va establir l'Oficina de Gestió del Programa FedRAMP (PMO) el juny de 2012.

Abans de la introducció de FedRAMP, les agències federals individuals gestionaven les seves pròpies metodologies d'avaluació seguint les directrius establertes per la Llei Federal de Gestió de la Seguretat de la Informació de 2002.

Governança i lleis aplicables El FedRAMP està governat per diferents entitats de la branca executiva que col·laboren per desenvolupar, gestionar i operar el programa. Aquestes entitats inclouen:

L'Oficina de Gestió i Pressupost (OMB): l'òrgan rector que va emetre el memoràndum de política de la FedRAMP, que defineix els requisits i les capacitats clau del programa El Consell Conjunt d'Autorització (JAB): El principal òrgan de governança i presa de decisions de FedRAMP està format pels directors d'informació (CIO) del Departament de Seguretat Nacional (DHS), l'Administració de Serveis Generals (GSA) i el Departament de Defensa (DOD) L'Institut Nacional d'Estàndards i Tecnologia (NIST): Assessora la FedRAMP sobre els requisits de compliment de la FISMA i ajuda a desenvolupar els estàndards per a l'acreditació de les 3PAO independents El Departament de Seguretat Nacional (DHS): Gestiona l'estratègia de monitorització contínua de la FedRAMP, incloent-hi els criteris de fonts de dades, l'estructura d'informes, la coordinació de la notificació d'amenaces i la resposta a incidents El Consell Federal de Directors d'Informàtica (CIO): Difon la informació de FedRAMP als CIO federals i altres representants a través de comunicacions i esdeveniments entre agències El PMO de FedRAMP: Establert dins de GSA i responsable del desenvolupament del programa FedRAMP, inclosa la gestió de les operacions diàries

Hi ha diverses lleis, mandats i polítiques que són fonamentals per a FedRAMP. La FISMA (Llei Federal de Modernització de la Seguretat de la Informació) exigeix que les agències autoritzin els sistemes d'informació que utilitzen. El govern dels EUA descriu FedRAMP com la FISMA per al núvol. El memoràndum de política de FedRAMP exigeix que les agències federals utilitzin FedRAMP en avaluar, autoritzar i supervisar contínuament els serveis al núvol per tal d'ajudar les agències en el procés d'autorització, així com estalviar recursos governamentals i eliminar esforços duplicats. Les línies de base de seguretat de FedRAMP es deriven de NIST SP 800-53 (revisat) amb un conjunt de millores de control que pertanyen als requisits de seguretat únics de la computació al núvol.

Organitzacions d'avaluació de tercers Les organitzacions d'avaluació de tercers (3PAOs) tenen un paper fonamental en el procés d'avaluació de seguretat de la FedRAMP, ja que són les organitzacions d'avaluació independents que verifiquen les implementacions de seguretat dels proveïdors de núvol i proporcionen la postura de risc general d'un entorn de núvol per a una decisió d'autorització de seguretat. Acreditades per l'Associació Americana per a l'Acreditació de Laboratoris (A2LA), aquestes organitzacions d'avaluació han de demostrar independència i la competència tècnica necessària per provar les implementacions de seguretat i recopilar proves representatives.

Mercat FedRAMP El FedRAMP Marketplace proporciona una base de dades amb funció de cerca i ordenació d'ofertes de serveis al núvol (CSO) que han obtingut la designació FedRAMP. Els 3PAO, auditors acreditats que poden realitzar l'avaluació FedRAMP, apareixen al Marketplace. El FedRAMP Marketplace està gestionat per l'Oficina de Gestió de Programes (PMO) de FedRAMP.

Preocupacions de seguretat i autorització Una investigació de ProPublica del 2026 va descobrir que FedRAMP va establir una associació amb Microsoft malgrat les considerables preocupacions sobre la seguretat de la seva tecnologia al núvol.

Referències

Categoria:Seguretat informàtica