دليل الامتثال المستمر لبرنامج FedRAMP

بمجرد أن تحصل المؤسسة على تفويضها الأولي من FedRAMP (أو برنامج إدارة المخاطر والتفويض الفيدرالي)، يجب عليها الحفاظ على مراقبة أمنية مستمرة وإدارة الثغرات الأمنية والتحكم في التغيير، مع تزويد الحكومة بالتقييمات السنوية وتقارير الحوادث والنتائج. وغالبًا ما يُدار هذا الأمر من قِبل مكتب داخلي لإدارة مشاريع FedRAMP (أو PMO). عدم الامتثال لمتطلبات FedRAMP قد يؤدي إلى فقدان التفويض وإلغاء عقود الوكالة.

في مارس 2025 ، أطلقت إدارة الخدمات العامة (GSA) برنامج FedRAMP 20x، وهو مسار تفويض جديد مصمم لتسريع عملية إعداد تقارير FedRAMP. يشار إلى العملية السابقة، التي سيتم التخلص منها في النهاية لصالح FedRAMP 20x، باسم FedRAMP Rev5. بينما ستتوقف FedRAMP عن قبول التطبيقات لشهادات Rev5 الجديدة في 11 يونيو 2027، FedRAMP تستمر في دعم Rev5 أثناء تدرج ممارسات FedRAMP 20x.

يشجع FedRAMP 20x على تنفيذ استراتيجية مراقبة مستمرة (أو بمصطلحات FedRAMP "ConMon") وتحقيق الامتثال من خلال تفضيل "الأدلة المباشرة"، بما في ذلك "العروض المباشرة، والاستعلامات المباشرة، والنتائج القابلة للقراءة آليا، والاتجاهات التاريخية"، وفقاً لتعليمات GSA.

يختلف الامتثال المستمر في FedRAMP عن الممارسة العامة للامتثال المستمر ليس فقط في تطبيقه الأكثر تحديداً، بل أيضا في متطلبات الامتثال لـ FedRAMP — بما في ذلك التركيز بشكل أكبر على التحكم في التغيير من خلال التسجيل وتقييم الأمان لكل حالة تغيير في النظام، ومتطلبات التقارير المحددة المفروضة من المستوى الأعلى (بدلاً من أن تحددها المؤسسة لتلبية احتياجات الأعمال)، والعدد الأكبر من الأطراف المعنيين الخارجيين المشاركين، إلى جانب عوامل أخرى.

بعض أهم عناصر السيادة الرقمية للمؤسسة — القدرة على الاحتفاظ بالتحكم والسلطة على أنظمتها التكنولوجية ومنظوماتها الشاملة والبيانات والعمليات والذكاء الاصطناعي — تتماشى مع ممارسة الامتثال المستمر لبرنامج FedRAMP. وخاصة من خلال FedRAMP 20x، يساعد الامتثال المستمر لـ FedRAMP في تمكين السيادة من خلال توفير رؤية مستمرة لكيفية عمل أنظمة السحابة.

الامتثال لنظام FedRAMP بموجب نموذج تفويض Rev5 القديم يتطلب من مزودي الخدمات السحابية العمل مع مكتب إدارة برنامج (PMO) تابع لبرنامج FedRAMP الفيدرالي لتحقيق ما يلي:

-       تنفيذ ضوابط أمنية معينة

-       اجتياز التقييم المستقل الذي يتم تنفيذه من خلال جهة تقييم خارجية (3PAO)

-       الحصول على تصريح التشغيل (ATO)

-       مراقبة الأنظمة باستمرار لضمان الامتثال

يمكن أن تظهر عروض الخدمة السحابية في السوق في مراحل محددة قبل إكمال هذه العملية، وذلك حسب شهادة FedRAMP المعتمدة لمستوى المخاطر لديها.

تعتمد الضوابط الأمنية المطلوبة من FedRAMP على معيار NIST SP 800-53، الذي يفرض الضوابط على الفئات التالية، إلى جانب فئات أخرى:

-       خطة الاستجابة للحوادث وجمع الأدلة

-       وضع الأمان المادي

-       فحص الثغرات الأمنية وإدارتها

-       اختبار الاختراق

-       تسجيل التدقيق

-       التحكم في الوصول

-       الهوية والمصادقة

-       التشفير

وفقًا لنموذج Rev5، تختلف متطلبات FedRAMP حسب مستوى التأثير المصرح به للعرض. تصنف هذه التقييمات للمخاطر إلى منخفضة أو متوسطة أو عالية بناءً على التأثير المحتمل لفقدان السرية أو النزاهة أو التوفر. بالإضافة إلى ذلك، يعد Li-SaaS نقطة أساس منخفضة التأثير لعروض SaaS المؤهلة التي تتميز بميزة محدودة وحساسية للبيانات (مثل تضمين معلومات تحديد الهوية الشخصية، أو PII). يستخدم FedRAMP 20x الشهادات من A إلى D (على الرغم من أن D لم يتم توفيره بعد)، والتي لا تعادل مستويات التأثير في Rev5.

تجرى معظم تقييمات FedRAMP Rev5 بواسطة مؤسسة تقييم خارجية معترف بها من FedRAMP، أو ما تُعرف اختصارًا باسم 3PAO. تهدف هذه التقييمات إلى تقييم ما إذا كانت الضوابط الأمنية المطلوبة قد تم وضعها، وما إذا كانت تعمل بفعالية، وما إذا كانت المخاطر تدار بشكل كاف.

تقوم المؤسسة أولاً بوضع خطة أمن النظام (SSP) والتي تصف بيئة تكنولوجيا المعلومات، ثم تطور مؤسسة التقييم الخارجية خطة تقييم النظام (SAP) التي تحدد كيفية اختبار كفاية البيئة، والتي تسجل بعد ذلك في تقرير تقييم الأمان (SAR) الذي يلخص النتائج التي ستتخذ الحكومة بناء عليها قراراً بشأن منح تصريح التشغيل (ATO). 

للحصول على تصريح التشغيل (ATO)، يجب على المؤسسة معالجة أي مشاكل تم اكتشافها خلال التقييم وتقديم حزمة إلى الجهات التنظيمية تشمل:

-       خطة أمن النظام (SSP) والوثائق الداعمة

-       خطة تقييم النظام (SAP)

-       تقرير تقييم الأمان (SAR)

-       النتائج المتعلقة بالثغرات الأمنية

-       خطة العمل والإنجازات (POA&M)، وهي سجل للثغرات الأمنية المعروفة والمعالجة المخططة

-       خطوات المعالجة التي اتخذها مقدم الخدمة بالفعل

-       المخاطر المتبقية المعروفة

بموجب مسار تفويض وكالة Rev5، يقوم المسؤول المعني بمنح التفويض بمراجعة الحزمة ويقرر ما إذا كان سيقبل المخاطر المتبقية ويصدر طلب تصريح التشغيل (ATO). بموجب FedRAMP 20x، تصدر FedRAMP الشهادة بينما تواصل الوكالات اتخاذ قرارات التفويض الخاصة بها بشأن استخدام الخدمة السحابية.

بمجرد إصدار تصريح التشغيل (ATO)، يجب على المؤسسات التحقق من تصريح التشغيل (ATO) الممنوح لها من خلال تلبية متطلبات المراقبة المستمرة.

يصف دليل المراقبة المستمرة لبرنامج FedRAMP ثلاث عمليات رئيسية للمراقبة:

-       الرؤية التشغيلية، أو القدرة على إنتاج السجلات والتقارير التي تثبت الامتثال

-       إدارة التغيير، أو عملية ثابتة للحفاظ على الامتثال في ظل التغييرات التي تطرأ على النظام

-       الاستجابة للحوادث،أو "القدرة على الاستجابة بشكل كافٍ للحوادث الأمنية وتوجيهات الطوارئ".

تماشيًا مع تركيزها على الامتثال المبسط والمستمر، يتحول FedRAMP 20x نحو التأكيد على:

-       التحقق المؤتمت

-       أدلة قابلة للتكرار أو "مباشرة"

-       إعداد التقارير المقروءة آليًا

-       القياس المستمر

يدعم الامتثال المستمر، أو ممارسة المراقبة المستمرة والتلقائية للأنظمة من أجل الامتثال بدلاً من إجراء عمليات تدقيق دورية، متطلبات برنامج المراقبة المستمرة لبرنامج FedRAMP.

يعمل الامتثال المستمر لبرنامج FedRAMP من خلال أتمتة عمليات:

-       مراقبة وفحص النظام

-       تقديم التقارير إلى الوكالات الفيدرالية

-       إرساء إدارة التغيير

-       تقييم وتحديث حزمة التفويض

يدعم الامتثال المستمر معيار ConMon من خلال أتمتة عمليات المراقبة والفحص التي تنتج أدلة على الامتثال.

فحص الثغرات الأمنية هو عنصر أساسي في المراقبة المستمرة (ConMon) يمكن أتمتته إلى حد كبير كجزء من ممارسة الامتثال المستمر.

في سياق برنامج FedRAMP، يتضمن فحص الثغرات الأمنية ما يلي:

-       فحص أنظمة التشغيل وقواعد البيانات وتطبيقات الويب والبنية التحتية وصور الحاويات ومكونات أخرى

-       التحقق من صحة النتائج وتقييمها من حيث المخاطر ومستوى خطورتها

-       تعيين مسؤولية المعالجة والتتبع والتحقق من إتمامها

-       تجميع وتقديم التقارير حول كل ما سبق

إن ممارسة الحفاظ على قابلية الملاحظة، أو القدرة على تحليل عمل النظام من خلال تقييم مخرجاته، لا تقل أهمية لفحص الثغرات الأمنية.

تشمل هذه العملية، التي يمكن تبسيطها عبر الأتمتة، جمع السجلات والمقاييس والآثار وأدلة أخرى حول:

-       إدارة تكوين النظام والشبكة

-       الثغرات الأمنية

-       الأحداث الأمنية

-       المستخدم والوصول المميز

-       عمليات التحكم

-       التغييرات في البيئة

-       النتائج المفتوحة وحالة المعالجة

تتطلب المراقبة المستمرة (ConMon) إدارة الإعدادات، مما يتطلب بالضرورة تتبع انحراف التكوين، عندما تبدأ الشبكة أو التطبيق أو الجهاز أو أي نظام تكنولوجيا معلومات آخر بالتحوّل تدريجياً وبشكل غير مقصود بعيداً عن إعداداته الأساسية المقصودة.

يمكن أتمتة هذه العملية إلى حد كبير كجزء من ممارسة الامتثال المستمرة، بما في ذلك تتبع:

-       تغييرات التكوين في حالات الطوارئ

-       التعديلات اليدوية

-       إنشاء موارد سحابية جديدة

-       تبعيات الخدمة التي لم يتم تتبعها

-       تغييرات في قواعد الشبكة

-       حسابات مميزة جديدة

-       تحديثات البرامج

-       تغييرات في التشفير أو التسجيل

-       التوسع في مناطق التشغيل الجديدة

يمكن لمزودي الخدمات السحابية إنشاء ممارسة امتثال مستمرة لرفع التقارير إلى مسؤولي منح تصاريح التفويض في FedRAMP باستخدام الأتمتة لتحديد التحديثات المحتملة على خطة العمل والإنجازات (POA&M) وأتمتة إنشاء المخرجات.

خطة العمل والإنجازات (POA&M) هي سجل لنقاط الضعف المعروفة وخطط المعالجة. تحتاج خطة العمل والإنجازات (POA&M) إلى وصف ما يلي:

-       ما هي نقاط الضعف

-       ما هي الأنظمة المتأثرة

-       مستوى الخطورة أو شدة نقطة الضعف

-       خطة المعالجة والحالة

-       من المسؤول عن المعالجة

-       أي عوامل مخففة وتبعيات

تقوم عملية المراقبة المستمرة ConMon بتغذية المعلومات إلى خطة العمل والإنجازات (POA&M) بشكل مستقل، ثم يمكن للخدمات والممارسات المؤتمتة أن تفعل مهام سير عمل المعالجة.

بموجب Rev5، يمكن للأتمتة أن تساعد في إنتاج مخرجات متكررة مثل نتائج فحص الثغرات الأمنية، وتحديثات خطة العمل والإنجازات (POA&M) وتغييرات المخزون وحالة المعالجة. ضمن إصدار 20x، تدعم الأتمتة أيضاً بيانات الشهادات القابلة للقراءة آليا، وتقارير الشهادات المستمرة، وأدلة التحقق المستمرة.

يُعد إدارة التغيير عنصرًا حاسمًا في المراقبة المستمرة (ConMon) يتطلب من مزودي الخدمات السحابية تتبع التغييرات التي يتم إجراؤها، وسبب إجرائها، وما إذا كانت التغييرات تتم وفقًا لمتطلبات FedRAMP، والتي يمكن دعمها جميعًا من خلال ممارسات الامتثال المستمر.

العناصر الأساسية للامتثال المؤتمت التي تدعم إدارة التغيير هي:

-       الرؤية، أو توفير معلومات أساسية حول التغييرات التي تم إجراؤها والسبب في ذلك

-       تحليل المخاطر، أو دليل على المخاطر المحتملة التي يشكلها التغيير

-       الحوكمة، أو ضمان تصنيف التغييرات بشكل صحيح وإجرائها وفقًا لمتطلبات FedRAMP

-       التحقق من الصحة، أو التأكد من أن التغيير الذي تم إجراؤه مستقر وآمن ومصرح به

-       الضمان، أو دليل على الممارسات المذكورة أعلاه

بموجب نماذج تفويض Rev5 Agency Authorization الحالية ومجلس التفويض المشترك (JAB) القديمة، يخضع مزودو الخدمات السحابية لتقييمات سنوية يمكن أن تشتمل على:

-       تطوير جدول التقييم

-       مراجعة وتحديث الوثائق.

-       إجراء اختبار الاستجابة للحوادث وخطة الطوارئ.

-       تحديد نطاق التقييم

-       خطة تقييم النظام (SAP)

-       إحاطة عملاء الوكالة بالخطة

-       إجراء التقييم الأمني وكتابة تقرير تقييم الأمان (SAR)

-       إكمال أو تحديث خطة العمل والإنجازات (POA&M)

بالإضافة إلى ذلك، عندما يخدم مزود الخدمات السحابية أكثر من وكالة فيدرالية واحدة، يجب عليه تطوير استراتيجية مراقبة مستمرة (ConMon) تعاونية لمكافحة السيطرة تحدد متطلبات كل وكالة وتضع عملية مبسطة لإعداد التقارير لكل وكالة.

يجسد FedRAMP 20x العديد من مبادئ الامتثال المستمر، مما يعني أنه يركز على وسائل مختلفة للمراقبة والسيطرة مقارنة بعملية تفويض FedRAMP القديمة.

ويشمل ذلك ما يلي:

-       مؤشرات الأمان الرئيسية (KSIs)،أو النتائج الأمنية المحددة والمقاسة (على عكس ضوابط القياس المعمول بها)

-       أدلة قابلة للقراءة آليا، بما في ذلك عروض مباشرة، ونتائج قابلة للقراءة آليا، واتجاهات تاريخية حول بيئة الأمن

-       تقييم نظام القياس والتحقق نفسه، بما في ذلك معلومات حول الموارد والبيانات المشمولة في نطاقه، وعملية جمع البيانات، والتدابير المتخذة عند فشل التحقق.

-       التحقق المستمر بدلاً من الاعتماد على لقطات التقارير

الامتثال المستمر في FedRAMP هو التطبيق المحدد لمبادئ الامتثال المستمر على تفويض FedRAMP، ولذلك يحتوي على عدة عناصر رئيسية تميزه عن الممارسة المعتادة.

بالنسبة إلى عروض Rev5، تدعم المراقبة المستمرة قرارات الوكالة بشأن الحفاظ على تصريح التشغيل (ATO). بالنسبة لعروض 20x، الدلائل المستمرة ودعم التقارير المستمرة، تدعم استمرار شهادات FedRAMP وقرارات مخاطر الوكالة. بينما قد يهدف الامتثال المستمر التقليدي غالباً إلى مساعدة المؤسسة في الحفاظ على الجاهزية العامة للتدقيق، فإن الامتثال المستمر في FedRAMP له أهداف محددة مرتبطة بنظام تصريح التشغيل (ATO) الخاص بها.

مقارنة بنماذج التدقيق النقطي في الزمن، يركز FedRAMP Rev5 بشكل كبير على التقارير المتكررة عن الثغرات الأمنية، وإدارة التغيير، والتقييم السنوي المستقل، والرقابة المستمرة من الوكالات.

كما أنه يجمع بين منظومة أكبر من الأطراف المعنية، بما في ذلك:

-       مزودو الخدمة السحابية الذين يحاولون كسب أو الحفاظ على تصريح التشغيل (ATO) الخاصة بهم

-       الوكالات الفيدرالية التي تتعاقد مع مزودي الخدمات السحابية

-       مسؤولو إصدار التفويض في الحكومة الفيدرالية

-       مؤسسات التقييم الخارجية، أو 3PAOs

يعمل FedRAMP 20x على مواءمة البرنامج بشكل أوثق مع الامتثال المستمر من خلال التركيز على الجمع المؤتمت للأدلة، والبيانات القابلة للقراءة آليا، والمراقبة المستمرة، والتكامل مع ممارسات التطوير والأمن والعمليات.

إن تركيز FedRAMP 20x على المراقبة المستمرة، والأدلة المؤتمتة، والتحقق المستمر يمكن أن يدعم أهداف الأعمال المتعلقة بالسيادة الرقمية، والقدرة على الاحتفاظ وإثبات السيطرة والسلطة على أنظمتها التقنية ومنظومتها، والبيانات، والعمليات، والذكاء الاصطناعي.

يمكن أن تساعد الرؤية المستمرة التي تتيحها ممارسات الامتثال المستمر مزودي الخدمات السحابية في التحقق من أنهم يعملون مع مناطق استضافة معتمدة، ومعايير بيئة السحابة، وتكوينات البنية التحتية، وتبعيات الخدمة. كما تقوم المراقبة بالتحقق من قيود الوصول الإداري، وضوابط الوصول المميزة، وسياسات فصل المهام، ونماذج التشفير، وكلها ضرورية لتحقيق أهداف السيادة لمن يمكنه الوصول إلى البيانات الحساسة.

كما أن المراقبة المستمرة تكشف بسرعة أكبر عن انتهاكات الامتثال التي قد تؤدي إلى غرامات باهظة بموجب أنظمة لوائح تنظيمية ليست ذات صلة. يدعم توجيه FedRAMP 20x نحو القياس المستمر والتحقق من الصحة والأدلة أهداف السيادة فيما يتعلق بالضوابط والمراقبة والامتثال المؤتمت والأدلة المقروءة آليًا والتصديق في الوقت الفعلي.