FedRAMP (Federal Risk and Authorization Management Program), ABD federal kurumlarının kullandığı bulut hizmetlerini tek ve tutarlı bir güvenlik ölçütüne bağlayan bir yetkilendirme programıdır. Programın temel fikri “bir kez değerlendir, çok kez kullan”dır: bir bulut hizmeti tek bir kapsamlı denetimden geçer, ardından birden çok kamu kurumu aynı sonucu yeniden denetime gerek kalmadan kabul edebilir.

FedRAMP, her kurumun aynı bulut sağlayıcıyı sıfırdan denetlemesinin yarattığı tekrarı ortadan kaldıran, ortak bir güven zeminidir.

Neyi Standartlaştırır?

Programın kontrol kümesi NIST SP 800-53 üzerine kuruludur. Bir bulut sağlayıcı, işlediği verinin hassasiyetine göre düşük, orta veya yüksek etki seviyelerinden birine göre değerlendirilir. Seviye yükseldikçe uygulanması gereken kontrol sayısı ve derinliği artar; yüksek seviye, ulusal güvenlikle ilişkili verilerin barındırıldığı ortamlar için tasarlanmıştır.

Değerlendirmeyi sağlayıcının kendisi değil, akredite bağımsız bir denetim kuruluşu (3PAO) yürütür. Bu ayrım, sonucun tarafsızlığını güvence altına alır ve programın çıktısını bir bulut uyum denetimi disiplinine dayandırır.

Yetkilendirme Yolları

Bir sağlayıcı yetkilendirmeye iki yoldan ulaşabilir. Birincisinde, program yönetim kurulu (JAB) hizmeti değerlendirip geniş kabul gören bir ön yetki verir. İkincisinde, hizmeti kullanmak isteyen belirli bir kurum kendi denetimini yaptırır ve yetkiyi kendi adına düzenler. Her iki yolda da sonuç, hizmetin risklerini ve mevcut kontrollerini belgeleyen kapsamlı bir dosyaya dayanır.

Bu dosyanın omurgasını sürekli üretilen kanıtlar oluşturur. Yapılandırma taramaları, erişim kayıtları ve zafiyet raporları düzenli aralıklarla toplanır; nitekim bulut uyum kanıtlarının toplanması süreci, yetkilendirmeyi tek seferlik bir sertifika olmaktan çıkarıp sürekli izlenen bir duruma dönüştürür.

Sürekli İzleme

FedRAMP yetkisi verildiği anda donmuş bir belge değildir. Sağlayıcı, ortamındaki değişiklikleri, yeni zafiyetleri ve düzeltme durumunu düzenli olarak raporlamakla yükümlüdür; yetki ancak bu akış sürdüğü sürece geçerli kalır. Bu sürekli izleme mantığı, olgun bir bilgi güvenliği yönetim sistemi işletmenin bulut ortamındaki karşılığıdır.

Bu tür bir yetkilendirmeye hazırlanan kurumların bulut mimarilerini denetim kontrolleriyle önceden hizalaması işi kolaylaştırır. Privia’nın altyapı ve mimari gözden geçirme çalışması, bu hizalamayı denetime girmeden önce yapmaya olanak tanır.