FedRAMPの継続的コンプライアンスのためのガイド

組織は、FedRAMP（連邦リスク・認可管理プログラム）の初回認可を取得した後も、継続的なセキュリティ監視、脆弱性管理、変更管理を維持するとともに、政府に対して年次評価の結果、インシデント報告書、スキャン結果を提出し続ける必要があります。これは多くの場合、社内のFedRAMPプロジェクト管理オフィス（またはPMO）によって管理されます。FedRAMPの要件を遵守しなかった場合、認可を失い、それに伴って政府機関との契約が解除される可能性があります。

2025年3月、米国政府調達局（GSA）は、FedRAMP報告プロセスを加速するために設計された新しい認証経路であるFedRAMP 20xを開始しました。以前のプロセスは、最終的にはFedRAMP 20xに移行する予定で、FedRAMP Rev5と呼ばれます。FedRAMPは、2027年6月11日をもってRev5認証の新規申請の受け付けを終了しますが、FedRAMP 20xのプロセスを段階的に導入する一方で、引き続きRev5をサポートします。

FedRAMP 20xでは、継続的モニタリング戦略（FedRAMPの用語では「ConMon」）とコンプライアンスの実現を促進するため、「ライブデモンストレーション、直接クエリ、機械可読形式の結果、過去の傾向」などを含む「常に最新の状態に保たれる証跡」を優先する方針が、GSAの指針で示されています。

FedRAMPにおける継続的コンプライアンスは、さまざまな要因において一般的な継続的コンプライアンスとは異なります。具体的には、適用範囲がより具体的であることはもちろん、システムに加えられたすべての変更についてロギングとセキュリティ・アセスメントを行うなど、変更管理がより重視されること、組織がビジネスニーズに応じて独自に報告内容を決定するのではなく、上位機関から課される特定の報告要件があること、さらに、関与する外部の利害関係者が多いことなどが挙げられます。

組織がデジタル主権を確保するうえで特に重要となる要素、すなわち、自らのテクノロジーシステムやエコシステム、データ、業務運用、人工知能（AI）に対する統制権を維持し、それを実証できることは、FedRAMPの継続的コンプライアンスの実践と密接に結び付いています。特にFedRAMP 20xを通じて、クラウド・システムの運用方法を継続的に可視化することで、FedRAMPの継続的コンプライアンスは、こうした主権の実現をサポートします。

従来のRev5認可モデルの下でFedRAMPの要件に準拠するには、CSPは連邦政府のFedRAMP PMOと連携して次のことを行う必要があります。

-       特定のセキュリティー制御を実装する

-       第三者評価機関（3PAO）による独立したアセスメントへの合格

-       運用許可（ATO）の取得

-       準拠のためのシステムの継続的な監視

クラウド・サービスは、リスクレベルに応じて適用されるFedRAMP認証の種類によっては、このプロセスを完了する前でも、所定の段階でFedRAMPマーケットプレイスに掲載される場合があります。

FedRAMPで必要なセキュリティー管理はNIST SP 800-53に基づいており、特に次のカテゴリーの管理が義務付けられています。

-       インシデント対応計画と証拠の収集

-       物理的なセキュリティー体制

-       脆弱性スキャンと管理

-       ペネトレーション・テスト

-       監査ロギング

-       アクセス制御

-       IDと認証

-       暗号化

Rev5モデルでは、FedRAMPの要件は、提供されるサービスの認可された影響レベルによって異なります。これらのリスクは、機密性、完全性、可用性の喪失の可能性に基づき、低、中、高に分類されます。さらに、Li-SaaSは、機能が限定的で取り扱うデータの機密性（個人情報、PIIなど）が低いという条件を満たすSaaSサービスを対象とした、セキュリティ上の影響度が低い場合のベースラインです。FedRAMP 20xでは、クラスAからクラスDまでの認証クラスが採用されています（ただし、クラスDはまだ利用可能になっていません）。これらの認証クラスは、Rev5の影響度レベルと同等ではありません。

ほとんどのFedRAMP Rev5アセスメントは、FedRAMPが認めた第三者評価機関（3PAO）によって実施されます。これらのアセスメントでは、必要なセキュリティー管理が確立されているかどうか、それらが効果的に運用されているかどうか、およびリスクが適切に管理されているかどうかが評価されます。

まず、組織はIT環境について説明したシステムセキュリティ計画（SSP）を作成します。次に、第三者評価機関（3PAO）が、その環境の適切性をどのように検証するかを定めたシステム評価計画（SAP）を策定します。評価結果は、評価で得られた所見をまとめたセキュリティ評価報告書（SAR）に記録されます。政府は、この報告書にまとめられた所見に基づいて、運用認可（ATO）を付与するかどうかを判断します。 

運用認可（ATO）を取得するには、組織は3PAOによる評価で発見された問題をすべて是正したうえで、以下の文書を含む一式の申請書類を規制当局に提出する必要があります。

-       SSPおよび関連文書

-       SAP

-       SAR

-       脆弱性に関する所見

-       行動計画とマイルストーン（POA&M）、既知の脆弱性と計画された修復の記録

-       プロバイダーが既に実施している修復手順

-       既知の残存リスク

Rev5における政府機関の認可プロセスでは、認可担当者が提出書類一式を審査し、残存リスクを受容してATOを付与するかどうかを判断します。FedRAMP 20xの下では、FedRAMPが認証を発行し、各機関はクラウド・サービスの利用に関する独自の承認決定を行うことができます。

ATOが発行されると、組織は継続的監視要件を満たすことで、ATOを継続的に検証する必要があります。

FedRAMPの継続モニタリングプレイブックでは、監視のための3つの主要なプロセスが説明されています。

-       運用の可視性：コンプライアンスを示すログやレポートを作成する機能

-       変更管理：システム変更の際にコンプライアンスを維持するための確立されたプロセス

-       インシデント対応：セキュリティインシデントや緊急指令に適切に対応する能力

FedRAMP 20xは、合理化かつ継続的なコンプライアンスに重点を置きながら、以下を重視する方向に移行しています。

-       自動検証

-       再現可能な、または「常に最新の状態に保たれる」証跡

-       機械可読形式のレポート

-       継続的な測定

継続的コンプライアンス、つまり定期的な監査を実施する代わりに、システムがコンプライアンスに準拠しているかどうかを継続的かつ自動的に監視する手法は、FedRAMPの継続的監視プログラムの要件を支えるものです。

FedRAMPの継続的コンプライアンスは、以下のプロセスを自動化することで機能します。

-       システムの監視とスキャン

-       連邦政府機関への報告

-       変更管理体制の確立

-       承認パッケージの評価と更新

継続的コンプライアンスでは、コンプライアンスの証拠を生成する監視とスキャンのプロセスを自動化することで、ConMonをサポートします。

脆弱性スキャンはConMonの中核要素であり、継続的なコンプライアンスの実践の一環として大部分を自動化できます。

FedRAMPの文脈では、脆弱性のスキャンには次のものが含まれます。

-       オペレーシングシステム、データベース、ウェブアプリケーション、インフラストラクチャ、コンテナイメージ、およびその他のコンポーネントのスキャン

-       結果の検証、ならびにリスクと重大度の評価

-       修復および追跡の責任の割り当て、ならびに完了の検証

-       上記すべてに関する報告書の作成と提出

脆弱性スキャンと同じくらいに重要なのは、オブザーバビリティーを維持することです。オブザーバビリティーとは、システムの出力を評価することで、そのシステムがどのように動作しているかを分析できる能力を指します。

このプロセスはオートメーションによって効率化でき、以下に関するログ、メトリクス、トレース、その他の証拠の収集が含まれます。

-       システムおよびネットワーク構成管理

-       脆弱性

-       セキュリティイベント

-       ユーザーおよび特権アクセス

-       制御操作

-       環境の変化

-       未解決の調査結果と修復のステータス

ConMonでは構成管理が必要であり、ネットワーク、アプリ、デバイス、その他のITシステムが、意図しないうちに徐々に本来の基準設定から逸脱した場合には、構成ドリフトを追跡する必要があります。

このプロセスは、追跡を含め、継続的コンプライアンス実践の一環として大部分を自動化できます。

-       緊急時の構成変更

-       手動での変更

-       新しいクラウド・リソースの作成

-       追跡されていないサービス依存関係

-       ネットワークルールの変更

-       新しい特権アカウント

-       ソフトウェア・アップデート

-       暗号化またはロギングの変更

-       新たな運用地域への拡大

CSPは、オートメーションによってPOA&Mの更新が必要となる可能性のある事項を特定し、提出資料の作成を自動化することで、FedRAMPの認可担当者への報告において、コンプライアンスを継続的に維持するための体制を構築できます。

行動計画およびマイルストーンは、既知の弱点とその修復計画の記録です。POA&Mでは以下を説明する必要があります。

-       弱点の内容

-       影響を受けるシステム

-       弱点のリスクまたは深刻さ

-       修復計画とステータス

-       修復の責任者

-       緩和要因および依存関係

ConMonプロセスは、POA&Mに自律的に情報を提供し、自動化されたサービスと運用プロセスによって修復ワークフローをトリガーできます。

オートメーションを活用することで、Rev5では、脆弱性スキャンの結果、POA&Mの更新、インベントリーの変更、修復のステータスなど、定期的な提出が求められる資料を作成できます。20xでは、機械可読形式の認証データ、継続的な認証レポート、常に最新の状態に維持される検証証跡の作成・管理も可能になります。

変更管理はConMonの重要な要素であり、CSPには、どのような変更が行われたのか、なぜ加えられたのか、その変更がFedRAMPの要件に準拠して行われたかどうかを追跡することが求められます。これらはすべて、継続的なコンプライアンスの実践によって実現できます。

変更管理を支える自動化されたコンプライアンスの主な要素は、次のとおりです。

-       可視性：変更内容やその理由についての基本的な情報の提供

-       リスク分析：変更によって生じる可能性のあるリスクの根拠提示

-       ガバナンス：変更が正しく分類され、FedRAMPの要件に従って実施されること

-       検証：加えられた変更の安定性や安全性、ならびに、その変更が承認済みであること

-       保証：上記のプロセスの証拠

現在のRev5 Agency AuthorizationとレガシーのJoint Authorization Board（JAB）モデルでは、CSPは以下を含む年次アセスメントを実施しています。

-       アセスメントスケジュールの作成

-       ドキュメンテーションのレビューと更新

-       インシデント対応と緊急時対応計画テストの実施

-       アセスメント範囲の定義

-       SAPの開発

-       計画に関する代理店の顧客への説明

-       セキュリティ・アセスメントの実施とSARの作成

-       POA&Mの完了または更新

さらに、CSPが複数の連邦機関にサービスを提供する場合は、機関固有の要件を特定し、各機関のレポート作成のための合理化されたプロセスを確立する共同のConMon戦略を確立する必要があります。

FedRAMP 20xは、継続的コンプライアンスに関する多くの原則を体現しており、レガシーのFedRAMP認可プロセスとは異なる監視・管理手段を重視しています。

例えば、次のようなユースケースです。

-       主要なセキュリティ指標（KSI）：定義・測定されたセキュリティ成果（実施中の対策の測定ではない）

-       機械可読形式の証拠：セキュリティ環境に関するライブデモンストレーション、機械可読形式の結果、過去の傾向などを含む

-       測定および検証システム自体の評価：対象範囲に含まれる参考情報とデータ、データ収集のプロセス、検証が失敗した場合の対策に関する情報を含む

-       継続的な検証：報告時点のスナップショットに頼らない

FedRAMPにおける継続的コンプライアンスとは、継続的コンプライアンスの原則をFedRAMPの認可プロセスに適用したものであり、一般的な運用方法とは異なるいくつかの重要な特徴があります。

Rev5では、継続的な監視によって、各政府機関がATOを維持するかどうかを判断する際の支援が行われます。20xでは、継続的に維持される証跡と定期的な報告によって、FedRAMP認証の継続と、各政府機関によるリスク判断が支援されます。従来の継続的コンプライアンスは、多くの場合、組織が監査に対する一般的な準備を維持することを目的としていますが、FedRAMPの継続的コンプライアンスは、ATOに結びついた具体的な目標が設定されています。

ポイント・イン・タイムの監査モデルと比較して、FedRAMP Rev5は、定期的な脆弱性報告、変更管理、独立した年次アセスメント、継続的な政府機関の監視に重点を置いています。

また、次のような利害関係者を含む、より大きなエコシステムを結びつけています。

-       ATOの獲得または維持を目指すクラウド・サービス・プロバイダー

-       それらのCSPと契約している連邦政府機関

-       連邦政府の認可責任者

-       第三者評価機関（3PAO）

FedRAMP 20xは、自動化された証拠収集、機械可読形式のデータ、永続的な監視、DevSecOpsプロセスとの統合を重視することで、プログラムと継続的コンプライアンスをより密接に連携させます。

FedRAMP 20xは、継続的な監視、自動化された証拠、継続的な検証に重点を置いており、デジタル主権、つまり、テクノロジー・システムとエコシステム、データ、運用、人工知能（AI）に対する制御と権限を維持し、実証する能力に関連するビジネス目標を支援できます。

継続的コンプライアンスの実践による継続的な可視性により、CSPは、承認されたホスティング地域、クラウド環境標準、インフラ構成、サービス依存関係で運用されていることを検証できます。監視では、管理者アクセスの制限、特権アクセス制御、職務分掌ポリシー、暗号化方式についても検証します。これらは、機密データへのアクセスを誰に許可するかというデータ主権の要件を満たすうえで、いずれも重要な要素です。

また、継続的な監視を行うことで、無関係な規制体制下で高額な罰金につながる可能性のあるコンプライアンス違反をより迅速に検知できます。継続的な測定、検証、証跡の確保を重視するFedRAMP 20xの方向性は、管理策、モニタリング、自動化されたコンプライアンス、機械可読形式の証跡、リアルタイムの適合性証明といった面で、データ主権の要件を満たすうえで役立ちます。