服务

FISMA 合规

FISMA，即《联邦信息安全管理法》，是要求联邦机构以及为其提供支持的承包商和系统，按既定标准保护信息和信息系统的法律。实际上，这一标准就是 NIST 风险管理框架：对系统进行分类，从 NIST SP 800-53 中选择并实施控制措施，评估它们是否真正有效，取得运行授权，然后持续监控，而不是把安全当作一次性项目。

组织容易卡在哪里

FISMA 工作往往会在几个可预见的地方出岔子。系统分类被仓促处理，意味着控制基线从一开始就是错的。控制措施的实施以泛泛的方式记录，而没有描述系统实际所做的事。安全评估变成了文档审阅，而不是对控制措施是否有效的真正测试。而持续监控本应是让 ATO 长期保持意义的关键，却在授权下达之后悄然停止。

我如何开展 FISMA 工作

我把分类视为它理应成为的基础，在其他事情发生之前，先把机密性、完整性和可用性的影响级别定准。随后，我帮助选择并裁剪与系统实际架构和风险相符的控制措施，而不是照搬一份复制粘贴的基线。到了评估阶段，我会要求提供控制措施确实按所述方式运行的证据：配置导出、日志样本、访问复核，而不只是一段写着“是的，这已经实施”的叙述。

我也会在系统安全计划以及行动计划与里程碑上投入真正的时间，因为评估员和授权官员真正细读的正是这两份文件。一份如实说明缺口并有可信整改时间表的 POA&M，比一份声称一切完美却经不起追问的计划更有价值。

适合哪些组织

适合联邦机构及其支持承包商，正在取得或维持运行授权（Authorization to Operate）的公司，以及通过合同承接了 FISMA 义务、需要有人凭经验帮助把文档与实际安全态势对齐的组织。

如果您正走向 ATO，或在努力使其保持有效，请与我谈谈您的体系目前处于什么位置。