FedRAMP

米国政府のクラウドサービスのセキュリティ評価・認可の制度（Federal Risk and Authorization Management Program）

何を確かめるか

政府が定めたセキュリティの管理策を満たしているかを、認定を受けた第三者の評価機関（3PAO）が評価し、政府が利用を認可する。2025年から評価の方法を見直す FedRAMP 20x が進められている。

認可のあとも継続的な監視（コンティニュアスモニタリング）が求められる。

米国の連邦政府機関がクラウドを調達するときの前提になる。日本の ISMAP は同じ目的の制度。

内容は規格・制度の公式の資料にもとづいて書いています。最新の要求事項・移行の期限は、規格・制度を持つ団体の公式サイトでご確認ください。

情報・サイバーセキュリティ

情報セキュリティマネジメントシステム（ISMS）

第三者認証・ ISO（国際標準化機構）と IEC（国際電気標準会議）

情報の機密性・完全性・可用性を守るため、リスクを評価して管理策（附属書A）を選び、運用し、見直す仕組みが規格に合っているか。

情報・サイバーセキュリティ

プライバシー情報マネジメントシステム（PIMS）

第三者認証・ ISO（国際標準化機構）と IEC（国際電気標準会議）

個人情報の取り扱い（収集・利用・提供・削除）の管理の仕組みが規格に合っているか。

情報・サイバーセキュリティ

クラウドサービスの情報セキュリティ管理策

第三者認証・ ISO（国際標準化機構）と IEC（国際電気標準会議）

ISO/IEC 27001 の認証を前提に、クラウドに特有の管理策（責任の分担、仮想環境の分離、利用者のデータの返却・削除など）が実施されているか。

情報・サイバーセキュリティ

AI マネジメントシステム

第三者認証・ ISO（国際標準化機構）と IEC（国際電気標準会議）

AI のリスク（偏り、透明性、安全性、データの扱い）を評価し、管理する仕組みが規格に合っているか。

情報・サイバーセキュリティ

プライバシーマーク制度

第三者認証・一般財団法人日本情報経済社会推進協会（JIPDEC）

個人情報の保護の仕組み（JIS Q 15001 にもとづく）を作り、運用しているか。

情報・サイバーセキュリティ

クレジットカード業界のデータセキュリティ基準

第三者認証・ PCI SSC（PCI セキュリティ基準審議会）

カードの会員データを守るための技術と運用の要件（ネットワーク、暗号化、アクセス制御、監視、テスト）を満たしているか。