Հայտնիների տեսախցիկների կոտրված գլանափաթեթներ: Պետության վրա հիմնված կիբերլրտեսություն. Եվ ամեն ինչ արանքում: Տվյալների անվտանգությունն ունի հավելվածների հսկայական շարք: Եվ դա մեծ մտահոգություն է բոլորի համար, ովքեր օգտվում կամ մատակարարում են ամպի վրա հիմնված ծառայություններ:

Երբ կառավարության տվյալները ներգրավված են, այդ մտահոգությունները կարող են հասնել ազգային անվտանգության մակարդակի: Ահա թե ինչու ԱՄՆ կառավարությունը պահանջում է, որ դաշնային գործակալությունների կողմից օգտագործվող բոլոր ամպային ծառայությունները համապատասխանեն անվտանգության ստանդարտների մանրակրկիտ փաթեթին, որը հայտնի է որպես FedRAMP:

Այսպիսով, թե ինչ է FedRAMP-ը և ի՞նչ է այն ներառում: Դուք ճիշտ տեղում եք՝ պարզելու համար:

Բոնուս. Կարդացեք քայլ առ քայլ սոցիալական մեդիայի ռազմավարության ուղեցույցը պրոֆեսիոնալ խորհուրդներով, թե ինչպես մեծացնել ձեր ներկայությունը սոցիալական ցանցերում:

Ի՞նչ է FedRAMP-ը:

FedRAMP-ը նշանակում է «Դաշնային ռիսկերի և լիազորությունների կառավարման ծրագիր»: Այն ստանդարտացնում է ԱՄՆ դաշնային գործակալությունների կողմից օգտագործվող ամպային ապրանքների և ծառայությունների անվտանգության գնահատումը և թույլտվությունը:

Նպատակն է համոզվել, որ դաշնային տվյալները հետևողականորեն պաշտպանված են բարձր մակարդակով ամպում:

Ստանալով FedRAMP-ը թույլտվությունը լուրջ գործ է: Անվտանգության պահանջվող մակարդակը սահմանված է օրենքով: Կան 14 կիրառելի օրենքներ և կանոնակարգեր, ինչպես նաև 19 ստանդարտներ և ուղեցույց փաստաթղթեր: Դա աշխարհի ամենախիստ ծրագրային ապահովման՝ որպես ծառայության հավաստագրերից մեկն է:

Ահա արագ ներածություն.

FedRAMP-ը գործում է 2012 թվականից: Դա այն ժամանակ է, երբ իրականում ամպային տեխնոլոգիաներըAdobe Sign-ի թույլտվություն:

Իմացեք ավելին այն մասին, թե ինչպես է @Adobe Sign-ն աշխատում FedRAMP Tailored-ից FedRAMP Moderate արձաններին անցնելու համար այստեղ՝ //t.co/cYjihF9KkP

— AdobeSecurity (@AdobeSecurity) 2020թ. օգոստոսի 12

Հիշեք, որ ծառայությունն է, ոչ թե ծառայության մատակարարը, որը ստանում է թույլտվություն: Adobe-ի պես, դուք կարող եք մի քանի թույլտվություններ ստանալ, եթե առաջարկում եք մեկից ավելի ամպի վրա հիմնված լուծումներ:

Slack

Այս տարվա մայիսին լիազորված Slack-ն ունի 21 FedRAMP թույլտվություն: Ապրանքը լիազորված է չափավոր մակարդակով: Այն օգտագործվում է գործակալությունների կողմից, ներառյալ՝

• Հիվանդությունների վերահսկման և պաշտպանության կենտրոնները,
• Հաղորդակցության դաշնային հանձնաժողովը և
• Ազգային գիտական ​​հիմնադրամը:

ԱՄՆ-ի պետական ​​հատվածն այժմ կարող է ավելի շատ աշխատել Slack-ում՝ շնորհիվ մեր նոր FedRAMP Moderate թույլտվության: Եվ բավարարելով անվտանգության այդ խիստ պահանջները՝ մենք իրերն ապահով ենք պահում Slack-ն օգտագործող յուրաքանչյուր այլ ընկերության համար: //t.co/dlra7qVQ9F

— Slack (@SlackHQ) 2020 թվականի օգոստոսի 13

Slack-ն ի սկզբանե ստացել է FedRAMP հարմարեցված թույլտվություն: Այնուհետև նրանք հետևեցին Չափավոր թույլտվությանը՝ համագործակցելով վետերանների գործերի վարչության հետ:

Slack-ը վստահաբար ուշադրություն է դարձնում մասնավոր հատվածի հաճախորդների համար այս թույլտվության անվտանգության առավելություններին իր կայքում.

«Սա վերջին թույլտվությունը թարգմանվում է որպես ավելի ապահով փորձի համարՀանգիստ հաճախորդներ, ներառյալ մասնավոր հատվածի բիզնեսները, որոնք չեն պահանջում FedRAMP-ի կողմից լիազորված միջավայր: Slack-ի առևտրային առաջարկներից օգտվող բոլոր հաճախորդները կարող են օգտվել FedRAMP-ի հավաստագրման համար անհրաժեշտ անվտանգության ուժեղացված միջոցներից»:

Trello Enterprise Cloud

Trello-ին հենց նոր շնորհվեց Li-SaaS թույլտվությունը սեպտեմբերին: Trello-ն առայժմ օգտագործվում է միայն Ընդհանուր ծառայությունների վարչության կողմից: Սակայն ընկերությունը փորձում է փոխել դա, ինչպես երևում է իր նոր FedRAMP կարգավիճակի մասին սոցիալական գրառումներում.

🏛️Trello-ի FedRAMP թույլտվությամբ ձեր գործակալությունը այժմ կարող է օգտագործել Trello-ն՝ արտադրողականությունը բարձրացնելու, թիմային սիլոսները քանդելու և խթանելու համար։ համագործակցություն։ //t.co/GWYgaj9jfY

— Trello (@trello) 12 հոկտեմբերի, 2020

Zendesk

Նաև լիազորված է մայիսին, Zendesk-ն օգտագործվում է. 9>

Zendesk Հաճախորդների Աջակցման և Օգնության Գրասեղանի պլատֆորմն ունի Li-Saas թույլտվություն:

Այսօրվանից մենք կարող ենք շատ ավելի հեշտացնել պետական ​​մարմինների աշխատանքը մեզ հետ, քանի որ @Zendesk-ն այժմ FedRAMP-ի լիազորված է: Շատ շնորհակալություն Zendesk-ի ներսում և դրսում գտնվող բոլոր թիմերին՝ դրա համար ներդրված ջանքերի համար: //t.co/A0HVwjhGsv

— Mikkel Svane (@mikkelsvane) 2020 թվականի մայիսի 22

FedRAMP սոցիալական լրատվամիջոցների կառավարման համար

SMMEexpert-ը FedRAMP-ն էլիազորված. Պետական ​​գերատեսչությունները այժմ կարող են հեշտությամբ աշխատել սոցիալական մեդիայի կառավարման համաշխարհային առաջատարի հետ՝ քաղաքացիների հետ շփվելու, ճգնաժամային հաղորդակցությունները կառավարելու և սոցիալական մեդիայի միջոցով ծառայություններ և տեղեկատվություն տրամադրելու համար:

Պահանջել ցուցադրություն

Մինչ FedRAMP-ը, ամպային ծառայություններ մատուցողները պետք է պատրաստեին թույլտվության փաթեթ յուրաքանչյուր գործակալության համար, որոնց հետ ցանկանում էին աշխատել: Պահանջները համահունչ չէին. Եվ շատ կրկնօրինակ ջանքեր կար թե՛ մատակարարների, թե՛ գործակալությունների համար:

FedRAMP-ը ներդրեց հետևողականություն և պարզեցրեց գործընթացը:

Այժմ գնահատումները և պահանջները ստանդարտացված են: Բազմաթիվ պետական ​​գործակալություններ կարող են նորից օգտագործել մատակարարի FedRAMP թույլտվության անվտանգության փաթեթը:

FedRAMP-ի սկզբնական ընդունումը դանդաղ էր: Առաջին չորս տարում թույլատրվել է ամպային ծառայության ընդամենը 20 առաջարկ: Բայց տեմպերն իսկապես աճել են 2018 թվականից ի վեր, և այժմ կան 204 FedRAMP լիազորված ամպային արտադրանք:

Աղբյուրը` FedRAMP

FedRAMP-ը վերահսկվում է Համատեղ լիազորման խորհրդի (JAB) կողմից: Խորհուրդը կազմված է.

• Ներքին անվտանգության դեպարտամենտից
• Գլխավոր ծառայությունների վարչությունից և
• Պաշտպանության նախարարության ներկայացուցիչներից:
<10 12>

Ծրագիրը հավանության է արժանացել ԱՄՆ կառավարության Դաշնային տեղեկատվության գլխավոր տնօրենների խորհրդի կողմից:

Ինչու է կարևոր FedRAMP հավաստագրումը:

Բոլոր ամպային ծառայությունները, որոնք ունեն դաշնային տվյալներ, պահանջում են FedRAMP թույլտվություն: Այսպիսով, եթե ցանկանում եք աշխատելդաշնային կառավարություն, FedRAMP թույլտվությունը ձեր անվտանգության ծրագրի կարևոր մասն է:

FedRAMP-ը կարևոր է, քանի որ այն ապահովում է կառավարության ամպային ծառայությունների անվտանգության հետևողականությունը, և որովհետև ապահովում է այդ անվտանգության գնահատման և մոնիտորինգի հետևողականությունը: Այն ապահովում է ստանդարտների մեկ փաթեթ բոլոր պետական ​​գործակալությունների և բոլոր ամպային մատակարարների համար:

Cloud ծառայություններ մատուցողները, որոնք լիազորված են FedRAMP-ում, նշված են FedRAMP շուկայում: Այս շուկան առաջինն է, որտեղ պետական ​​մարմինները նայում են, երբ ցանկանում են ամպի վրա հիմնված նոր լուծում գտնել: Գործակալության համար շատ ավելի հեշտ և արագ է օգտագործել արդեն իսկ լիազորված արտադրանքը, քան սկսել թույլտվության գործընթացը նոր վաճառողի հետ:

Այսպիսով, FedRAMP շուկայում ցուցակագրումը մեծացնում է ձեզ լրացուցիչ բիզնես ստանալու հավանականությունը: պետական ​​մարմիններ. Բայց դա կարող է նաև բարելավել ձեր պրոֆիլը մասնավոր հատվածում:

Դա այն պատճառով է, որ FedRAMP շուկան տեսանելի է հանրությանը: Մասնավոր հատվածի ցանկացած ընկերություն կարող է շրջել FedRAMP-ի լիազորված լուծումների ցանկում:

Դա հիանալի ռեսուրս է, երբ նրանք փնտրում են անվտանգ ամպային արտադրանք կամ ծառայություն:

FedRAMP թույլտվությունը կարող է դարձնել ցանկացած հաճախորդի ավելի վստահ անվտանգության արձանագրությունների վերաբերյալ: Այն ներկայացնում է անվտանգության ամենաբարձր չափանիշներին համապատասխանելու շարունակական պարտավորություն:

FedRAMP թույլտվությունը զգալիորեն բարձրացնում է ձեր անվտանգության վստահելիությունըFedRAMP շուկայից այն կողմ նույնպես: Դուք կարող եք կիսվել ձեր FedRAMP թույլտվությամբ սոցիալական լրատվամիջոցներում և ձեր կայքում:

Ճշմարտությունն այն է, որ ձեր հաճախորդների մեծ մասը հավանաբար չգիտի, թե ինչ է իրենից ներկայացնում FedRAMP-ը: Նրանց չի հետաքրքրում` դուք լիազորված եք, թե ոչ: Բայց այն խոշոր հաճախորդների համար, ովքեր հասկանում են FedRAMP-ը, ինչպես պետական, այնպես էլ մասնավոր հատվածում, թույլտվության բացակայությունը կարող է խանգարել:

Ի՞նչ է անհրաժեշտ FedRAMP-ի հավաստագրման համար:

Այնտեղ FedRAMP-ի լիազորված դառնալու երկու տարբեր եղանակներ կան:

1. Համատեղ լիազորման խորհրդի (JAB) Գործելու ժամանակավոր լիազորություն

Այս գործընթացում JAB-ը տալիս է ժամանակավոր թույլտվություն: Դա թույլ է տալիս գործակալություններին իմանալ, որ ռիսկը վերանայվել է:

Դա առաջին կարևոր հաստատումն է: Սակայն ցանկացած գործակալություն, որը ցանկանում է օգտվել ծառայությունից, դեռևս պետք է թողարկի իր Գործողության լիազորությունը:

Այս գործընթացը լավագույնս համապատասխանում է բարձր կամ միջին ռիսկով ամպային ծառայություններ մատուցողներին: (Մենք կանդրադառնանք ռիսկի մակարդակներին հաջորդ բաժնում:)

Ահա JAB գործընթացի տեսողական ակնարկ.



Աղբյուրը` FedRAMP

2. Գործակալության լիազորություն

Այս գործընթացում ամպային ծառայությունների մատակարարը հարաբերություններ է հաստատում կոնկրետ դաշնային գործակալության հետ: Այդ գործակալությունը ներգրավված է ողջ գործընթացում։ Եթե ​​գործընթացը հաջող է, գործակալությունը թողարկում է լիազորություն գործելու նամակ:



Աղբյուր. FedRAMP

Տես նաեւ: 14 սկսնակների համար ձեր ապրանքանիշը YouTube-ում զարգացնելու համար

Քայլեր դեպի FedRAMP-ի թույլտվություն

Անկախ նրանից, թե որ տեսակի թույլտվություն եք փնտրում, FedRAMP-ի թույլտվությունը ներառում է չորս հիմնական քայլ.

1. Փաթեթի մշակում: Նախ, կա թույլտվության մեկնարկային հանդիպում: Այնուհետև մատակարարը լրացնում է Համակարգի անվտանգության պլանը: Հաջորդը, FedRAMP-ի կողմից հաստատված երրորդ կողմի գնահատող կազմակերպությունը մշակում է Անվտանգության գնահատման պլան:
2. Գնահատում: Գնահատող կազմակերպությունը ներկայացնում է Անվտանգության գնահատման հաշվետվություն: Մատակարարը ստեղծում է Գործողությունների պլան & amp; Milestones.
3. Լիազորում: JAB-ը կամ լիազորող գործակալությունը որոշում է, թե արդյոք ռիսկը, ինչպես նկարագրված է, ընդունելի է: Եթե ​​այո, նրանք FedRAMP-ի ծրագրի կառավարման գրասենյակին ներկայացնում են լիազորություն գործելու նամակ: Այնուհետև մատակարարը նշված է FedRAMP շուկայում:
4. Մոնիտորինգ: Մատակարարն ուղարկում է ամենամսյա անվտանգության մոնիտորինգի առաքումներ ծառայությունն օգտագործող յուրաքանչյուր գործակալության:

FedRAMP թույլտվությունը լավագույնս պրակտիկա

FedRAMP թույլտվության ձեռքբերման գործընթացը կարող է դժվար լինել: Սակայն բոլոր ներգրավվածների շահերից է բխում, որ ամպային ծառայություններ մատուցողները հաջողության հասնեն, երբ նրանք սկսեն թույլտվության գործընթացը:

Օգնության համար FedRAMP-ը հարցազրույց է անցկացրել մի քանի փոքր բիզնեսի և սկսնակ ընկերությունների հետ՝ թույլտվության ընթացքում քաղած դասերի վերաբերյալ: Ահա նրանց յոթ լավագույն խորհուրդները՝ թույլտվության գործընթացում հաջողությամբ նավարկելու համար.

1. Հասկանալ, թե ինչպես է ձերարտադրանքի քարտեզներ FedRAMP-ին՝ ներառյալ բացերի վերլուծությունը:
2. Ստացեք կազմակերպչական գնումներ և պարտավորություն, ներառյալ գործադիր թիմից և տեխնիկական թիմերից:
3. Գտեք գործակալության գործընկեր, որն օգտագործում է ձեր արտադրանքը կամ պարտավորվում է դա անել:
4. Ժամանակ ծախսեք ճշգրիտ սահմանելու ձեր սահմանը: Սա ներառում է. FedRAMP-ը որպես շարունակական ծրագիր, այլ ոչ թե պարզապես մեկնարկի և ավարտի ամսաթվով նախագիծ: Ծառայությունները պետք է շարունակական մոնիտորինգի ենթարկվեն:
5. Զգուշորեն դիտարկեք ձեր թույլտվության մոտեցումը: Բազմաթիվ արտադրանքները կարող են պահանջել բազմաթիվ թույլտվություններ:
6. FedRAMP PMO-ն արժեքավոր ռեսուրս է: Նրանք կարող են պատասխանել տեխնիկական հարցերին և օգնել ձեզ պլանավորել ձեր ռազմավարությունը:

FedRAMP-ն առաջարկում է ձևանմուշներ, որոնք կօգնեն ամպային ծառայություններ մատուցողներին նախապատրաստվել FedRAMP-ի համապատասխանությանը:

Որո՞նք են կատեգորիաները: FedRAMP-ի համապատասխանությա՞նն է:

FedRAMP-ն առաջարկում է ազդեցության չորս մակարդակ տարբեր տեսակի ռիսկեր ունեցող ծառայությունների համար: Դրանք հիմնված են երեք տարբեր ոլորտներում անվտանգության խախտման հնարավոր ազդեցությունների վրա:

• Գաղտնիություն. Գաղտնիության և սեփականության տեղեկատվության պաշտպանություն:
• Ամբողջականություն. Պաշտպանություն տեղեկատվության փոփոխումից կամ ոչնչացումից:
• Հասանելիություն. Ժամանակին և հուսալի մուտք դեպի տվյալներ:

Առաջին երեքըազդեցության մակարդակները հիմնված են Ստանդարտների և տեխնոլոգիաների ազգային ինստիտուտի (NIST) Տեղեկատվության մշակման դաշնային ստանդարտի (FIPS) 199-ի վրա: Չորրորդը հիմնված է NIST Հատուկ հրապարակման 800-37-ի վրա: Ազդեցության մակարդակներն են՝

• Բարձր՝ հիմնված 421 հսկողության վրա: «Գաղտնիության, ամբողջականության կամ հասանելիության կորուստը կարող է ակնկալվել, որ խիստ կամ աղետալի բացասական ազդեցություն կունենա կազմակերպության վրա։ գործառնություններ, կազմակերպչական ակտիվներ կամ անհատներ»: Սա սովորաբար վերաբերում է իրավապահ մարմիններին, արտակարգ իրավիճակների ծառայություններին, ֆինանսական և առողջապահական համակարգերին:
• Չափավոր՝ հիմնված 325 վերահսկողության վրա: «Գաղտնիության, ամբողջականության կամ հասանելիության կորուստը կարող է ակնկալվել: լուրջ բացասական ազդեցություն կազմակերպչական գործունեության, կազմակերպչական ակտիվների կամ անհատների վրա»: FedRAMP-ի հաստատված հավելվածների գրեթե 80 տոկոսը գտնվում է չափավոր ազդեցության մակարդակի վրա:
• Ցածր՝ հիմնված 125 հսկողության վրա: «Գաղտնիության, ամբողջականության կամ հասանելիության կորուստը կարող է ակնկալվել սահմանափակ: բացասական ազդեցություն կազմակերպչական գործառնությունների, կազմակերպչական ակտիվների կամ անհատների վրա»:
• Ցածր ազդեցության Software-as-a-Service (LI-SaaS), որը հիմնված է 36 վերահսկողության վրա : «Համակարգերի համար, որոնք ցածր ռիսկային են օգտագործման համար, ինչպիսիք են համագործակցության գործիքները, նախագծերի կառավարման հավելվածները և գործիքները, որոնք օգնում են բաց կոդերի մշակմանը»: Այս կատեգորիան հայտնի է նաև որպես FedRAMP Tailored:

Այս վերջին կատեգորիան ավելացվել է 2017թ.գործակալությունների համար հեշտացնել «ցածր ռիսկային օգտագործման դեպքերի» հաստատումը։ FedRAMP Tailored-ին համապատասխանելու համար մատակարարը պետք է այո պատասխանի վեց հարցի: Դրանք տեղադրված են FedRAMP-ի հարմարեցված քաղաքականության էջում.

• Արդյո՞ք ծառայությունը գործում է ամպային միջավայրում:
• Արդյո՞ք ամպային ծառայությունը լիովին գործարկվում է:
• Արդյո՞ք ամպը Ծառայել ծրագրակազմը որպես ծառայություն (SaaS), ինչպես սահմանված է NIST SP 800-145-ով, Cloud Computing-ի NIST սահմանումը:
• Ամպային ծառայությունը չի պարունակում անձնապես ճանաչելի տեղեկատվություն (PII), բացառությամբ այն դեպքերի, երբ անհրաժեշտ է տրամադրել: մուտքի հնարավորություն (օգտանուն, գաղտնաբառ և էլ․ հասցե):
• Արդյո՞ք ամպային ծառայությունը ցածր անվտանգություն ունի, ինչպես սահմանված է FIPS PUB 199, Դաշնային տեղեկատվական և տեղեկատվական համակարգերի անվտանգության դասակարգման ստանդարտներով:
• Ամպային ծառայությունը տեղակայվո՞ւմ է FedRAMP-ի կողմից լիազորված հարթակում որպես ծառայություն (PaaS) կամ Ենթակառուցվածքը որպես ծառայություն (IaaS), թե՞ CSP-ն ապահովում է հիմքում ընկած ամպային ենթակառուցվածքը:

Հիշեք. որ FedRAMP-ի համապատասխանության հասնելը միանվագ խնդիր չէ: Հիշո՞ւմ եք FedRAMP-ի թույլտվության մոնիտորինգի փուլը: Դա նշանակում է, որ դուք պետք է կանոնավոր անվտանգության աուդիտներ ներկայացնեք՝ համոզվելու համար, որ մնաք FedRAMP-ին համապատասխան:

Բոնուս. Կարդացեք քայլ առ քայլ սոցիալական մեդիայի ռազմավարության ուղեցույցը պրոֆեսիոնալ խորհուրդներով, թե ինչպես մեծացնել ձեր ներկայությունը սոցիալական ցանցերում:

Ստացեք անվճար ուղեցույցը հենց հիմա:

FedRAMP-ի վկայագրված օրինակներարտադրանք

Կան FedRAMP-ի լիազորված ապրանքների և ծառայությունների բազմաթիվ տեսակներ: Ահա մի քանի օրինակներ ամպային ծառայություններ մատուցողներից, որոնք դուք գիտեք և կարող եք արդեն օգտագործել ինքներդ:

Amazon Web Services

FedRAMP Marketplace-ում կա երկու AWS ցուցակ: AWS GovCloud-ը լիազորված է Բարձր մակարդակով: AWS US East/West-ը լիազորված է չափավոր մակարդակով:

Տես նաեւ: Փորձ. Արդյո՞ք իրականում գործում է պատմությունները օղակների վերածելը:

Լսե՞լ եք: AWS GovCloud (ԱՄՆ) հաճախորդները կարող են օգտագործել #AmazonEFS-ը առաքելության համար կարևոր ֆայլերի աշխատանքային ծանրաբեռնվածության համար՝ շնորհիվ վերջերս FedRAMP բարձր թույլտվության: #GovCloud //t.co/iZoKNRESPP pic.twitter.com/pwjtvybW6O

— AWS կառավարության համար (@AWS_Gov) 18 հոկտեմբերի, 2019

AWS GovCloud-ն ունի հսկայական 292 թույլտվություն: AWS US East/West-ն ունի 250 թույլտվություն: Դա շատ ավելին է, քան FedRAMP Marketplace-ի ցանկացած այլ ցուցակ:

Adobe Analytics

Adobe Analytics-ը լիազորվել է 2019 թվականին: Այն օգտագործվում է Հիվանդությունների վերահսկման և կանխարգելման կենտրոնների և Առողջապահության և դեպարտամենտի կողմից: Մարդկային ծառայություններ. Այն լիազորված է LI-SaaS մակարդակով:

Adobe-ն իրականում ունի մի քանի ապրանքներ, որոնք լիազորված են LI-SaaS մակարդակով: (Ինչպես Adobe Campaign-ը և Adobe Document Cloud-ը:) Նրանք նաև ունեն մի քանի ապրանքներ, որոնք լիազորված են չափավոր մակարդակում.

• Adobe Connect կառավարվող ծառայություններ
• Adobe Experience Manager կառավարվող ծառայություններ:

Adobe-ը ներկայումս գտնվում է FedRAMP հարմարեցված թույլտվությունից FedRAMP Moderate-ին անցնելու գործընթացում: