FedRAMP：美国联邦云安全授权

FedRAMP 是什么？

FedRAMP（Federal Risk and Authorization Management Program，联邦风险与授权管理计划）是美国政府推出的一个标准化云安全评估与授权框架。它的核心目标是 “一次授权，多次使用” ：云服务提供商（CSP）只需通过一次严格的安全评估，获得FedRAMP认证，就可以向所有联邦机构销售其云服务，而不必每个机构单独评估。

简单理解：FedRAMP就像是为美国政府云服务颁发的“安全驾照”。没有它，你的云产品几乎不可能进入联邦市场。

为什么需要 FedRAMP？

传统上，每个联邦机构采购云服务时，都要依据《联邦信息安全管理法案》（FISMA）自行开展安全评估。这造成了大量重复工作，拖慢了云技术应用的速度。FedRAMP 用统一的“基线安全标准”和“第三方评估”取代了个别机构的自评，显著提升了效率与安全性。

FedRAMP 的核心框架

FedRAMP 的运作依赖三个核心角色：

• 联合授权委员会（JAB，Joint Authorization Board）：由国防部、国土安全部和总务管理局的首席信息官组成，负责审批高影响级别的云服务。
• FedRAMP 项目管理办公室（PMO）：负责日常运营、流程指导与发布授权列表。
• 第三方评估组织（3PAO，Third Party Assessment Organization）：经过认可的独立机构，负责对云服务进行严格技术测试并出具评估报告。

授权路径

CSP 可以通过两条路径获得 FedRAMP 授权：

1. JAB 临时授权（P-ATO）

   • 适用于希望面向整个联邦政府的云服务。
   • 由 JAB 挑选优先级高的云服务进行审查。
   • PMO 与 JAB 技术代表全程深度参与。
   • 通过后获得 临时授权（Provisional ATO），各机构可据此发出自己的 ATO。

2. 机构授权（Agency ATO）

   • 由某个联邦机构发起，与 CSP 直接合作。
   • 该机构作为“授权发起方”，承担主要监督责任。
   • 完成后，授权信息会发布到 FedRAMP 市场，供其他机构复用。

影响级别与安全控制

FedRAMP 根据数据敏感性将云服务分为三个影响级别：

注：CIA 指机密性（Confidentiality）、完整性（Integrity）和可用性（Availability）。

绝大多数联邦工作负载落在 中等影响级别，这也是 FedRAMP 最常见的切入级别。高影响级别要求最严，通过数量相对较少。

授权流程四阶段

获得 FedRAMP 授权通常需要 6-18 个月，分为以下四个阶段：

1. 准备阶段 (Initiation)

• CSP 完成 FedRAMP 就绪性评估（Readiness Assessment），通常由 3PAO 执行。
• 向 PMO 提交业务案例。
• 对于 JAB 路径，需要被 JAB 选入优先队列。

2. 安全评估阶段 (Assessment)

• 3PAO 根据 FedRAMP 安全评估框架（SAF）进行全方位测试。
• 关键输出：安全评估报告（SAR），内含风险分析。
• 与 CSP 共同制定并执行 整改行动计划（POA&M）。

3. 授权阶段 (Authorization)

• JAB 路径：PMO 审核 SAR 与 POA&M，JAB 投票颁发 P-ATO。
• 机构路径：发起机构的风险管理团队审核并签发机构 ATO。
• 信息录入 FedRAMP 市场。

4. 持续监控 (Continuous Monitoring)

• 取得授权并非终点。CSP 必须每月提交漏洞扫描报告，进行持续监控。
• 发生重大架构变更时，需进行“重大变更请求”审批。
• 每年至少一次由 3PAO 进行穿透测试等定期评估。

核心安全要求速览

FedRAMP 中等基线基于 NIST SP 800-53 修订版 5 定义，以下是一些你不能忽视的关键控制领域：

身份与访问管理

• 强制多因素认证（MFA）用于所有管理员和远程访问。
• 最小权限原则，定期审查用户权限。
• 自动化账户生命周期管理（入职、调岗、离职）。

供应链与背景调查

• 对有权访问联邦数据的员工完成初步和定期背景调查。
• 保持完整的第三方组件清单，持续监控其漏洞披露。

加密与数据保护

• 传输中的数据必须采用 FIPS 140-2/140-3 验证的加密模块。
• 静态数据建议加密（中等级别强制加密过经管数据）。
• 密钥管理遵守 NIST 标准。

持续监控与事件响应

• 部署入侵检测/预防系统，将日志同步到集中式 SIEM。
• 定义并测试事件响应流程，每年至少进行一次桌面演练。
• 事件必须在规定时间内上报 US-CERT。

漏洞管理

• 每月对操作系统、数据库、Web 应用进行漏洞扫描。
• 高危漏洞需在 30 天内修复，紧急漏洞需在 15 天内修复。
• 扫描结果需提交给 PMO 或授权机构。

如何开启你的 FedRAMP 之旅

1. 判断是否必须：如果你不直接与联邦机构签合同，但作为子承包商处理联邦数据，也可能需要 FedRAMP 就绪证明。
2. 选择影响级别与路径：绝大多数从中等+机构路径开始，因为更可控、成本可预测。
3. 搭建合规技术架构：建议从一开始就按 FedRAMP 要求设计，如集中化日志、加密、边界防护等。
4. 聘请经验丰富的 3PAO 做就绪评估：不要第一次就上正式评估，先做预评估，发现差距。
5. 部署持续监控自动化工具：合规是长期状态，手动报告不可持续。
6. 保持与 PMO 或发起机构的沟通：透明度是关键，遇到障碍及时沟通。

常见误区与陷阱

• “我用了 FedRAMP 授权的 IaaS，我的 SaaS 就自动合规了”
  继承部分控制不等于完全授权，上层应用仍需独立评估。
• “通过评估就万事大吉”
  持续监控是强制要求，疏忽会导致授权被撤销。
• “3PAO 会帮我修复问题”
  3PAO 只评估，不能同时承担修复和咨询角色以保证独立性。
• “文档可以后补”
  系统安全计划（SSP）等文档需在评估前就完善，且必须与实际情况严格一致。

资源与下一步

• FedRAMP 官网 – 获取最新模板、授权列表和指南。
• FedRAMP 市场 – 已授权云服务的公开目录。
• 培训：FedRAMP 提供免费在线培训课程，涵盖入门、3PAO 角色、持续监控等模块。

深入理解 FedRAMP 不仅能帮助进入联邦市场，其严格的控制体系对任何追求高安全性的组织都有极大的参考价值。