FedRAMP

FedRAMP 是美国联邦机构在使用云服务之前要求完成的标准化流程：一套明确的安全控制措施（基于 NIST SP 800-53，并针对云做了裁剪）、由经认可的第三方评估机构进行的独立评估，以及获得授权后的持续监控。没有它，云产品通常无法销售给联邦机构，这也是它出现在许多追逐政府业务的云服务商路线图上的原因。

需要先坦率说明的是：FedRAMP 授权是一项重大工程，而不是一张快速拿到的证书。依据您的影响级别（低、中或高），以及您追求的是机构担保的授权还是 FedRAMP 联合授权委员会路径，通常需要数月到一年以上，并且需要真正的工程投入，而不仅仅是文档。

真正容易出错的地方

最常见的失败模式，是低估了“我们有良好的安全”与“我们的安全控制措施已针对 FedRAMP 所要求的特定 NIST 800-53 控制目录做了精确映射并有证据支撑”之间的差距。这是两种不同的工作，在真正补上控制缺口之前就开始编写文档的组织，往往会在中途付出高昂代价而停滞不前。

我会如何与您合作

我会先针对您的目标影响级别做一次坦诚的就绪度评估，弄清哪些控制措施如今确实存在、哪些只是被假定存在，然后您再决定是否确定担保方或评估机构。之后是一份有优先级的计划，用来补上真实的缺口，围绕您的实际架构编制系统安全计划及配套文档，并让您在评估员的提问面前不至于露怯地备战评估。

如果 FedRAMP 已在您的路线图上，您希望从当前起点出发，了解它究竟需要什么的真实图景，请联系我。