Բովանդակություն
Հայտնիների տեսախցիկների կոտրված գլանափաթեթներ: Պետության վրա հիմնված կիբերլրտեսություն. Եվ ամեն ինչ արանքում: Տվյալների անվտանգությունն ունի հավելվածների հսկայական շարք: Եվ դա մեծ մտահոգություն է բոլորի համար, ովքեր օգտվում կամ մատակարարում են ամպի վրա հիմնված ծառայություններ:
Երբ կառավարության տվյալները ներգրավված են, այդ մտահոգությունները կարող են հասնել ազգային անվտանգության մակարդակի: Ահա թե ինչու ԱՄՆ կառավարությունը պահանջում է, որ դաշնային գործակալությունների կողմից օգտագործվող բոլոր ամպային ծառայությունները համապատասխանեն անվտանգության ստանդարտների մանրակրկիտ փաթեթին, որը հայտնի է որպես FedRAMP:
Այսպիսով, թե ինչ է FedRAMP-ը և ի՞նչ է այն ներառում: Դուք ճիշտ տեղում եք՝ պարզելու համար:
Բոնուս. Կարդացեք քայլ առ քայլ սոցիալական մեդիայի ռազմավարության ուղեցույցը պրոֆեսիոնալ խորհուրդներով, թե ինչպես մեծացնել ձեր ներկայությունը սոցիալական ցանցերում:
Ի՞նչ է FedRAMP-ը:
FedRAMP-ը նշանակում է «Դաշնային ռիսկերի և լիազորությունների կառավարման ծրագիր»: Այն ստանդարտացնում է ԱՄՆ դաշնային գործակալությունների կողմից օգտագործվող ամպային ապրանքների և ծառայությունների անվտանգության գնահատումը և թույլտվությունը:
Նպատակն է համոզվել, որ դաշնային տվյալները հետևողականորեն պաշտպանված են բարձր մակարդակով ամպում:
Ստանալով FedRAMP-ը թույլտվությունը լուրջ գործ է: Անվտանգության պահանջվող մակարդակը սահմանված է օրենքով: Կան 14 կիրառելի օրենքներ և կանոնակարգեր, ինչպես նաև 19 ստանդարտներ և ուղեցույց փաստաթղթեր: Դա աշխարհի ամենախիստ ծրագրային ապահովման՝ որպես ծառայության հավաստագրերից մեկն է:
Ահա արագ ներածություն.
FedRAMP-ը գործում է 2012 թվականից: Դա այն ժամանակ է, երբ իրականում ամպային տեխնոլոգիաներըAdobe Sign-ի թույլտվություն:
Իմացեք ավելին այն մասին, թե ինչպես է @Adobe Sign-ն աշխատում FedRAMP Tailored-ից FedRAMP Moderate արձաններին անցնելու համար այստեղ՝ //t.co/cYjihF9KkP
— AdobeSecurity (@AdobeSecurity) 2020թ. օգոստոսի 12
Հիշեք, որ ծառայությունն է, ոչ թե ծառայության մատակարարը, որը ստանում է թույլտվություն: Adobe-ի պես, դուք կարող եք մի քանի թույլտվություններ ստանալ, եթե առաջարկում եք մեկից ավելի ամպի վրա հիմնված լուծումներ:
Slack
Այս տարվա մայիսին լիազորված Slack-ն ունի 21 FedRAMP թույլտվություն: Ապրանքը լիազորված է չափավոր մակարդակով: Այն օգտագործվում է գործակալությունների կողմից, ներառյալ՝
- Հիվանդությունների վերահսկման և պաշտպանության կենտրոնները,
- Հաղորդակցության դաշնային հանձնաժողովը և
- Ազգային գիտական հիմնադրամը:
ԱՄՆ-ի պետական հատվածն այժմ կարող է ավելի շատ աշխատել Slack-ում՝ շնորհիվ մեր նոր FedRAMP Moderate թույլտվության: Եվ բավարարելով անվտանգության այդ խիստ պահանջները՝ մենք իրերն ապահով ենք պահում Slack-ն օգտագործող յուրաքանչյուր այլ ընկերության համար: //t.co/dlra7qVQ9F
— Slack (@SlackHQ) 2020 թվականի օգոստոսի 13
Slack-ն ի սկզբանե ստացել է FedRAMP հարմարեցված թույլտվություն: Այնուհետև նրանք հետևեցին Չափավոր թույլտվությանը՝ համագործակցելով վետերանների գործերի վարչության հետ:
Slack-ը վստահաբար ուշադրություն է դարձնում մասնավոր հատվածի հաճախորդների համար այս թույլտվության անվտանգության առավելություններին իր կայքում.
«Սա վերջին թույլտվությունը թարգմանվում է որպես ավելի ապահով փորձի համարՀանգիստ հաճախորդներ, ներառյալ մասնավոր հատվածի բիզնեսները, որոնք չեն պահանջում FedRAMP-ի կողմից լիազորված միջավայր: Slack-ի առևտրային առաջարկներից օգտվող բոլոր հաճախորդները կարող են օգտվել FedRAMP-ի հավաստագրման համար անհրաժեշտ անվտանգության ուժեղացված միջոցներից»:
Trello Enterprise Cloud
Trello-ին հենց նոր շնորհվեց Li-SaaS թույլտվությունը սեպտեմբերին: Trello-ն առայժմ օգտագործվում է միայն Ընդհանուր ծառայությունների վարչության կողմից: Սակայն ընկերությունը փորձում է փոխել դա, ինչպես երևում է իր նոր FedRAMP կարգավիճակի մասին սոցիալական գրառումներում.
🏛️Trello-ի FedRAMP թույլտվությամբ ձեր գործակալությունը այժմ կարող է օգտագործել Trello-ն՝ արտադրողականությունը բարձրացնելու, թիմային սիլոսները քանդելու և խթանելու համար։ համագործակցություն։ //t.co/GWYgaj9jfY
— Trello (@trello) 12 հոկտեմբերի, 2020
Zendesk
Նաև լիազորված է մայիսին, Zendesk-ն օգտագործվում է. 9>
Zendesk Հաճախորդների Աջակցման և Օգնության Գրասեղանի պլատֆորմն ունի Li-Saas թույլտվություն:
Այսօրվանից մենք կարող ենք շատ ավելի հեշտացնել պետական մարմինների աշխատանքը մեզ հետ, քանի որ @Zendesk-ն այժմ FedRAMP-ի լիազորված է: Շատ շնորհակալություն Zendesk-ի ներսում և դրսում գտնվող բոլոր թիմերին՝ դրա համար ներդրված ջանքերի համար: //t.co/A0HVwjhGsv
— Mikkel Svane (@mikkelsvane) 2020 թվականի մայիսի 22
FedRAMP սոցիալական լրատվամիջոցների կառավարման համար
SMMEexpert-ը FedRAMP-ն էլիազորված. Պետական գերատեսչությունները այժմ կարող են հեշտությամբ աշխատել սոցիալական մեդիայի կառավարման համաշխարհային առաջատարի հետ՝ քաղաքացիների հետ շփվելու, ճգնաժամային հաղորդակցությունները կառավարելու և սոցիալական մեդիայի միջոցով ծառայություններ և տեղեկատվություն տրամադրելու համար:
Պահանջել ցուցադրություն
սկսեց փոխարինել հնացած կապակցված ծրագրային լուծումները: Այն ծնվել է ԱՄՆ կառավարության «Առաջին ամպի» ռազմավարությունից: Այդ ռազմավարությունը գործակալություններից պահանջում էր որպես առաջին ընտրություն դիտարկել ամպի վրա հիմնված լուծումները:Մինչ FedRAMP-ը, ամպային ծառայություններ մատուցողները պետք է պատրաստեին թույլտվության փաթեթ յուրաքանչյուր գործակալության համար, որոնց հետ ցանկանում էին աշխատել: Պահանջները համահունչ չէին. Եվ շատ կրկնօրինակ ջանքեր կար թե՛ մատակարարների, թե՛ գործակալությունների համար:
FedRAMP-ը ներդրեց հետևողականություն և պարզեցրեց գործընթացը:
Այժմ գնահատումները և պահանջները ստանդարտացված են: Բազմաթիվ պետական գործակալություններ կարող են նորից օգտագործել մատակարարի FedRAMP թույլտվության անվտանգության փաթեթը:
FedRAMP-ի սկզբնական ընդունումը դանդաղ էր: Առաջին չորս տարում թույլատրվել է ամպային ծառայության ընդամենը 20 առաջարկ: Բայց տեմպերն իսկապես աճել են 2018 թվականից ի վեր, և այժմ կան 204 FedRAMP լիազորված ամպային արտադրանք:
Աղբյուրը` FedRAMP
FedRAMP-ը վերահսկվում է Համատեղ լիազորման խորհրդի (JAB) կողմից: Խորհուրդը կազմված է.
- Ներքին անվտանգության դեպարտամենտից
- Գլխավոր ծառայությունների վարչությունից և
- Պաշտպանության նախարարության ներկայացուցիչներից: <10 12>
- Փաթեթի մշակում: Նախ, կա թույլտվության մեկնարկային հանդիպում: Այնուհետև մատակարարը լրացնում է Համակարգի անվտանգության պլանը: Հաջորդը, FedRAMP-ի կողմից հաստատված երրորդ կողմի գնահատող կազմակերպությունը մշակում է Անվտանգության գնահատման պլան:
- Գնահատում: Գնահատող կազմակերպությունը ներկայացնում է Անվտանգության գնահատման հաշվետվություն: Մատակարարը ստեղծում է Գործողությունների պլան & amp; Milestones.
- Լիազորում: JAB-ը կամ լիազորող գործակալությունը որոշում է, թե արդյոք ռիսկը, ինչպես նկարագրված է, ընդունելի է: Եթե այո, նրանք FedRAMP-ի ծրագրի կառավարման գրասենյակին ներկայացնում են լիազորություն գործելու նամակ: Այնուհետև մատակարարը նշված է FedRAMP շուկայում:
- Մոնիտորինգ: Մատակարարն ուղարկում է ամենամսյա անվտանգության մոնիտորինգի առաքումներ ծառայությունն օգտագործող յուրաքանչյուր գործակալության:
- Հասկանալ, թե ինչպես է ձերարտադրանքի քարտեզներ FedRAMP-ին՝ ներառյալ բացերի վերլուծությունը:
- Ստացեք կազմակերպչական գնումներ և պարտավորություն, ներառյալ գործադիր թիմից և տեխնիկական թիմերից:
- Գտեք գործակալության գործընկեր, որն օգտագործում է ձեր արտադրանքը կամ պարտավորվում է դա անել:
- Ժամանակ ծախսեք ճշգրիտ սահմանելու ձեր սահմանը: Սա ներառում է. FedRAMP-ը որպես շարունակական ծրագիր, այլ ոչ թե պարզապես մեկնարկի և ավարտի ամսաթվով նախագիծ: Ծառայությունները պետք է շարունակական մոնիտորինգի ենթարկվեն:
- Զգուշորեն դիտարկեք ձեր թույլտվության մոտեցումը: Բազմաթիվ արտադրանքները կարող են պահանջել բազմաթիվ թույլտվություններ:
- FedRAMP PMO-ն արժեքավոր ռեսուրս է: Նրանք կարող են պատասխանել տեխնիկական հարցերին և օգնել ձեզ պլանավորել ձեր ռազմավարությունը:
- Գաղտնիություն. Գաղտնիության և սեփականության տեղեկատվության պաշտպանություն:
- Ամբողջականություն. Պաշտպանություն տեղեկատվության փոփոխումից կամ ոչնչացումից:
- Հասանելիություն. Ժամանակին և հուսալի մուտք դեպի տվյալներ:
- Բարձր՝ հիմնված 421 հսկողության վրա: «Գաղտնիության, ամբողջականության կամ հասանելիության կորուստը կարող է ակնկալվել, որ խիստ կամ աղետալի բացասական ազդեցություն կունենա կազմակերպության վրա։ գործառնություններ, կազմակերպչական ակտիվներ կամ անհատներ»: Սա սովորաբար վերաբերում է իրավապահ մարմիններին, արտակարգ իրավիճակների ծառայություններին, ֆինանսական և առողջապահական համակարգերին:
- Չափավոր՝ հիմնված 325 վերահսկողության վրա: «Գաղտնիության, ամբողջականության կամ հասանելիության կորուստը կարող է ակնկալվել: լուրջ բացասական ազդեցություն կազմակերպչական գործունեության, կազմակերպչական ակտիվների կամ անհատների վրա»: FedRAMP-ի հաստատված հավելվածների գրեթե 80 տոկոսը գտնվում է չափավոր ազդեցության մակարդակի վրա:
- Ցածր՝ հիմնված 125 հսկողության վրա: «Գաղտնիության, ամբողջականության կամ հասանելիության կորուստը կարող է ակնկալվել սահմանափակ: բացասական ազդեցություն կազմակերպչական գործառնությունների, կազմակերպչական ակտիվների կամ անհատների վրա»:
- Ցածր ազդեցության Software-as-a-Service (LI-SaaS), որը հիմնված է 36 վերահսկողության վրա : «Համակարգերի համար, որոնք ցածր ռիսկային են օգտագործման համար, ինչպիսիք են համագործակցության գործիքները, նախագծերի կառավարման հավելվածները և գործիքները, որոնք օգնում են բաց կոդերի մշակմանը»: Այս կատեգորիան հայտնի է նաև որպես FedRAMP Tailored:
- Արդյո՞ք ծառայությունը գործում է ամպային միջավայրում:
- Արդյո՞ք ամպային ծառայությունը լիովին գործարկվում է:
- Արդյո՞ք ամպը Ծառայել ծրագրակազմը որպես ծառայություն (SaaS), ինչպես սահմանված է NIST SP 800-145-ով, Cloud Computing-ի NIST սահմանումը:
- Ամպային ծառայությունը չի պարունակում անձնապես ճանաչելի տեղեկատվություն (PII), բացառությամբ այն դեպքերի, երբ անհրաժեշտ է տրամադրել: մուտքի հնարավորություն (օգտանուն, գաղտնաբառ և էլ․ հասցե):
- Արդյո՞ք ամպային ծառայությունը ցածր անվտանգություն ունի, ինչպես սահմանված է FIPS PUB 199, Դաշնային տեղեկատվական և տեղեկատվական համակարգերի անվտանգության դասակարգման ստանդարտներով:
- Ամպային ծառայությունը տեղակայվո՞ւմ է FedRAMP-ի կողմից լիազորված հարթակում որպես ծառայություն (PaaS) կամ Ենթակառուցվածքը որպես ծառայություն (IaaS), թե՞ CSP-ն ապահովում է հիմքում ընկած ամպային ենթակառուցվածքը:
- Adobe Connect կառավարվող ծառայություններ
- Adobe Experience Manager կառավարվող ծառայություններ:
Ծրագիրը հավանության է արժանացել ԱՄՆ կառավարության Դաշնային տեղեկատվության գլխավոր տնօրենների խորհրդի կողմից:
Ինչու է կարևոր FedRAMP հավաստագրումը:
Բոլոր ամպային ծառայությունները, որոնք ունեն դաշնային տվյալներ, պահանջում են FedRAMP թույլտվություն: Այսպիսով, եթե ցանկանում եք աշխատելդաշնային կառավարություն, FedRAMP թույլտվությունը ձեր անվտանգության ծրագրի կարևոր մասն է:
FedRAMP-ը կարևոր է, քանի որ այն ապահովում է կառավարության ամպային ծառայությունների անվտանգության հետևողականությունը, և որովհետև ապահովում է այդ անվտանգության գնահատման և մոնիտորինգի հետևողականությունը: Այն ապահովում է ստանդարտների մեկ փաթեթ բոլոր պետական գործակալությունների և բոլոր ամպային մատակարարների համար:
Cloud ծառայություններ մատուցողները, որոնք լիազորված են FedRAMP-ում, նշված են FedRAMP շուկայում: Այս շուկան առաջինն է, որտեղ պետական մարմինները նայում են, երբ ցանկանում են ամպի վրա հիմնված նոր լուծում գտնել: Գործակալության համար շատ ավելի հեշտ և արագ է օգտագործել արդեն իսկ լիազորված արտադրանքը, քան սկսել թույլտվության գործընթացը նոր վաճառողի հետ:
Այսպիսով, FedRAMP շուկայում ցուցակագրումը մեծացնում է ձեզ լրացուցիչ բիզնես ստանալու հավանականությունը: պետական մարմիններ. Բայց դա կարող է նաև բարելավել ձեր պրոֆիլը մասնավոր հատվածում:
Դա այն պատճառով է, որ FedRAMP շուկան տեսանելի է հանրությանը: Մասնավոր հատվածի ցանկացած ընկերություն կարող է շրջել FedRAMP-ի լիազորված լուծումների ցանկում:
Դա հիանալի ռեսուրս է, երբ նրանք փնտրում են անվտանգ ամպային արտադրանք կամ ծառայություն:
FedRAMP թույլտվությունը կարող է դարձնել ցանկացած հաճախորդի ավելի վստահ անվտանգության արձանագրությունների վերաբերյալ: Այն ներկայացնում է անվտանգության ամենաբարձր չափանիշներին համապատասխանելու շարունակական պարտավորություն:
FedRAMP թույլտվությունը զգալիորեն բարձրացնում է ձեր անվտանգության վստահելիությունըFedRAMP շուկայից այն կողմ նույնպես: Դուք կարող եք կիսվել ձեր FedRAMP թույլտվությամբ սոցիալական լրատվամիջոցներում և ձեր կայքում:
Ճշմարտությունն այն է, որ ձեր հաճախորդների մեծ մասը հավանաբար չգիտի, թե ինչ է իրենից ներկայացնում FedRAMP-ը: Նրանց չի հետաքրքրում` դուք լիազորված եք, թե ոչ: Բայց այն խոշոր հաճախորդների համար, ովքեր հասկանում են FedRAMP-ը, ինչպես պետական, այնպես էլ մասնավոր հատվածում, թույլտվության բացակայությունը կարող է խանգարել:
Ի՞նչ է անհրաժեշտ FedRAMP-ի հավաստագրման համար:
Այնտեղ FedRAMP-ի լիազորված դառնալու երկու տարբեր եղանակներ կան:
1. Համատեղ լիազորման խորհրդի (JAB) Գործելու ժամանակավոր լիազորություն
Այս գործընթացում JAB-ը տալիս է ժամանակավոր թույլտվություն: Դա թույլ է տալիս գործակալություններին իմանալ, որ ռիսկը վերանայվել է:
Դա առաջին կարևոր հաստատումն է: Սակայն ցանկացած գործակալություն, որը ցանկանում է օգտվել ծառայությունից, դեռևս պետք է թողարկի իր Գործողության լիազորությունը:
Այս գործընթացը լավագույնս համապատասխանում է բարձր կամ միջին ռիսկով ամպային ծառայություններ մատուցողներին: (Մենք կանդրադառնանք ռիսկի մակարդակներին հաջորդ բաժնում:)
Ահա JAB գործընթացի տեսողական ակնարկ.
Աղբյուրը` FedRAMP
2. Գործակալության լիազորություն
Այս գործընթացում ամպային ծառայությունների մատակարարը հարաբերություններ է հաստատում կոնկրետ դաշնային գործակալության հետ: Այդ գործակալությունը ներգրավված է ողջ գործընթացում։ Եթե գործընթացը հաջող է, գործակալությունը թողարկում է լիազորություն գործելու նամակ:
Աղբյուր. FedRAMP
Քայլեր դեպի FedRAMP-ի թույլտվություն
Անկախ նրանից, թե որ տեսակի թույլտվություն եք փնտրում, FedRAMP-ի թույլտվությունը ներառում է չորս հիմնական քայլ.
FedRAMP թույլտվությունը լավագույնս պրակտիկա
FedRAMP թույլտվության ձեռքբերման գործընթացը կարող է դժվար լինել: Սակայն բոլոր ներգրավվածների շահերից է բխում, որ ամպային ծառայություններ մատուցողները հաջողության հասնեն, երբ նրանք սկսեն թույլտվության գործընթացը:
Օգնության համար FedRAMP-ը հարցազրույց է անցկացրել մի քանի փոքր բիզնեսի և սկսնակ ընկերությունների հետ՝ թույլտվության ընթացքում քաղած դասերի վերաբերյալ: Ահա նրանց յոթ լավագույն խորհուրդները՝ թույլտվության գործընթացում հաջողությամբ նավարկելու համար.
FedRAMP-ն առաջարկում է ձևանմուշներ, որոնք կօգնեն ամպային ծառայություններ մատուցողներին նախապատրաստվել FedRAMP-ի համապատասխանությանը:
Որո՞նք են կատեգորիաները: FedRAMP-ի համապատասխանությա՞նն է:
FedRAMP-ն առաջարկում է ազդեցության չորս մակարդակ տարբեր տեսակի ռիսկեր ունեցող ծառայությունների համար: Դրանք հիմնված են երեք տարբեր ոլորտներում անվտանգության խախտման հնարավոր ազդեցությունների վրա:
Առաջին երեքըազդեցության մակարդակները հիմնված են Ստանդարտների և տեխնոլոգիաների ազգային ինստիտուտի (NIST) Տեղեկատվության մշակման դաշնային ստանդարտի (FIPS) 199-ի վրա: Չորրորդը հիմնված է NIST Հատուկ հրապարակման 800-37-ի վրա: Ազդեցության մակարդակներն են՝
Այս վերջին կատեգորիան ավելացվել է 2017թ.գործակալությունների համար հեշտացնել «ցածր ռիսկային օգտագործման դեպքերի» հաստատումը։ FedRAMP Tailored-ին համապատասխանելու համար մատակարարը պետք է այո պատասխանի վեց հարցի: Դրանք տեղադրված են FedRAMP-ի հարմարեցված քաղաքականության էջում.
Հիշեք. որ FedRAMP-ի համապատասխանության հասնելը միանվագ խնդիր չէ: Հիշո՞ւմ եք FedRAMP-ի թույլտվության մոնիտորինգի փուլը: Դա նշանակում է, որ դուք պետք է կանոնավոր անվտանգության աուդիտներ ներկայացնեք՝ համոզվելու համար, որ մնաք FedRAMP-ին համապատասխան:
Բոնուս. Կարդացեք քայլ առ քայլ սոցիալական մեդիայի ռազմավարության ուղեցույցը պրոֆեսիոնալ խորհուրդներով, թե ինչպես մեծացնել ձեր ներկայությունը սոցիալական ցանցերում:
Ստացեք անվճար ուղեցույցը հենց հիմա:FedRAMP-ի վկայագրված օրինակներարտադրանք
Կան FedRAMP-ի լիազորված ապրանքների և ծառայությունների բազմաթիվ տեսակներ: Ահա մի քանի օրինակներ ամպային ծառայություններ մատուցողներից, որոնք դուք գիտեք և կարող եք արդեն օգտագործել ինքներդ:
Amazon Web Services
FedRAMP Marketplace-ում կա երկու AWS ցուցակ: AWS GovCloud-ը լիազորված է Բարձր մակարդակով: AWS US East/West-ը լիազորված է չափավոր մակարդակով:
Լսե՞լ եք: AWS GovCloud (ԱՄՆ) հաճախորդները կարող են օգտագործել #AmazonEFS-ը առաքելության համար կարևոր ֆայլերի աշխատանքային ծանրաբեռնվածության համար՝ շնորհիվ վերջերս FedRAMP բարձր թույլտվության: #GovCloud //t.co/iZoKNRESPP pic.twitter.com/pwjtvybW6O
— AWS կառավարության համար (@AWS_Gov) 18 հոկտեմբերի, 2019
AWS GovCloud-ն ունի հսկայական 292 թույլտվություն: AWS US East/West-ն ունի 250 թույլտվություն: Դա շատ ավելին է, քան FedRAMP Marketplace-ի ցանկացած այլ ցուցակ:
Adobe Analytics
Adobe Analytics-ը լիազորվել է 2019 թվականին: Այն օգտագործվում է Հիվանդությունների վերահսկման և կանխարգելման կենտրոնների և Առողջապահության և դեպարտամենտի կողմից: Մարդկային ծառայություններ. Այն լիազորված է LI-SaaS մակարդակով:
Adobe-ն իրականում ունի մի քանի ապրանքներ, որոնք լիազորված են LI-SaaS մակարդակով: (Ինչպես Adobe Campaign-ը և Adobe Document Cloud-ը:) Նրանք նաև ունեն մի քանի ապրանքներ, որոնք լիազորված են չափավոր մակարդակում.
Adobe-ը ներկայումս գտնվում է FedRAMP հարմարեցված թույլտվությունից FedRAMP Moderate-ին անցնելու գործընթացում: