美国FedRAMP对我国等级保护工作的启示

江雷， 任卫红， 袁静， 赵泰

(公安部信息安全等级保护评估中心，北京 100142)

美国FedRAMP对我国等级保护工作的启示

江雷， 任卫红， 袁静， 赵泰

(公安部信息安全等级保护评估中心，北京 100142)

FedRAMP是美国联邦政府用于对云服务实施安全评估、授权和监测的标准化程序。本文通过对FedRAMP的研究，从政府监管、技术可控、产业化等角度出发，提出将云服务纳入到我国等级保护工作范畴内，实现云服务的安全可控，从而在云计算环境下进一步推进我国等级保护工作的开展。

FedRAMP；云计算；等级保护

0 FedRAMP概述

云计算在提高效率、节约开销和发展绿色计算技术的同时，也带来了新风险和挑战。联邦风险与授权管理项目(Federal Risk and Authorization Management Program，FedRAMP)为政府部门采用云服务提供了一种具有成本效益的、基于风险的方法，其目的是帮助联邦机构在云计算的技术环境下满足FISMA的安全需求[1]。主要内容包括:

1)对在特定影响等级的信息系统中所使用的云服务提出统一的安全需求；

2)对云服务提供商(CSP)所实施的安全控制进行独立、一致的第三方评估；

3)组建联合授权委员会(JAB)对云服务进行授权管理；

4)为政府部门/机构在采购过程中集成FedRAMP需求提供标准化的合同范本；

5)维护可被整个联邦政府使用的授权云服务名录(Fe-dRAMP Repository)。

FedRAMP提供了对云服务进行安全评估、使用授权和持续监测的标准方法。通过FedRAMP项目，联邦机构在部署其信息系统时可以使用由FedRAMP授权的云服务，做到“一次授权，多次使用”，从而大大压缩了安全评估和授权运行等流程，具有良好的时间和经济效益。……