fedramp

FedRAMP 認証スキル

最終確認日： 2026-10-03

初期の準備状況確認から ATO、継続的なモニタリングまで、FedRAMP 認可の各段階でユーザーを支援するための包括的なガイドです。

クイックリファレンス：ユーザーが必要としていることは？

ユーザーの目標を特定し、該当するセクションに進んでください。

ユーザーの目標	移動先
「FedRAMP の準備はできていますか？」／ギャップ評価	→ 準備状況とギャップ評価
SSP、POA&M、SAR、SAP、その他の文書の作成	→ ATO 文書
「どの管理策が適用されますか？」／管理策のマッピング	→ NIST 800-53 管理策のマッピング
クラウドアーキテクチャ／AWS/Azure/GCP の設定	→ アーキテクチャに関するガイダンス
すでに認可済みで、コンプライアンスを継続中	→ 継続的なモニタリング

---

現在の FedRAMP の状況（2026 年 8 月時点 — CR26）

⚠️ CR26（2026 年版 FedRAMP 統合規則）：FedRAMP は認可フレームワークを再編しました。FIPS 199 に基づくベースラインラベル（Low／Moderate／High／LI-SaaS）は、認証クラス A～Dに置き換えられました（通知 NTC-0004 に基づく。CR26 規則の有効期限は 2028 年 12 月 31 日まで）。クラスラベルによって変わるのはベースラインの「名称」であり、要件ではありません。旧ラベルで認可済みの CSP は、旧ラベルと新ラベルが対応付けられる移行期間中も、認可を維持できます。

• ベースライン：NIST SP 800-53 Rev 5（全面的に適用中）
• 管理策の数（Rev 5）：Low ≈ 156、Moderate = 323、High = 421（旧来の参照値。CR26 のクラス別の数は PMO が公開中）
• CR26 認証クラス（公式の対応付け、NTC-0004）：A = 新しいパイロット／移行用ベースライン（Program Certification を通じ、SOC 2 Type II などの外部フレームワークから参入。保有者は 2 年以内に B／C／D を取得する必要があります）、B = 現行の LI-SaaS + Low ベースライン、C = 現行の Moderate ベースライン（CUI を含む連邦政府のデプロイの大半）、D = 現行の High ベースライン。
• FedRAMP 20x：現在の主要な認可経路です。主要セキュリティ指標（KSI）、機械可読なエビデンス、モジュール式の API 駆動型提出、自動検証に基づく継続的な認可を実現します。従来の SSP／SAP／SAR テンプレートは旧来の経路で引き続き使用されます。
• CR26 の状況：2026 年 6 月 25 日に最終決定。2026 年 7 月 4 日から早期導入が任意で可能となり、2027 年 1 月 1 日から必須となります。
• 従来の FedRAMP Ready：Ready の指定は、2026 年 7 月 28 日に廃止され、Legacy FedRAMP Readyに名称変更されました。新規提出は受け付けません。Rev5 Ready の保有者は、年次評価の有効期限または2026 年 11 月 17 日のいずれか遅い日までに移行する必要があります。このステータスは2027 年 12 月 31 日に完全に廃止されます。
• 認証クラスの申請受付：クラス A は 2026 年 8 月 3 日から受付開始。クラス B／C は 2026 年 8 月 31 日に受付開始。クラス D のパイロットは 2026 年後半、正式な選択肢は 2027 年初頭に開始予定です。
• Rev5 の段階的終了：Rev5 の新規申請は2027 年 6 月 11 日以降受け付けられません。Rev5 は2028 年 12 月 31 日に終了します。
• JAB P-ATO：全面停止中です。FedRAMP PMO が唯一の認可機関です。
• 機械可読化の義務（RFC-0024／NOTICE-0009、CR26 で運用開始） — FedRAMP 20x には明示的に適用されず、Rev5 のプロセスのみに適用されます：2026 年 9 月 30 日午後 2 時（米国東部時間）以降（現在有効）、Rev5 の新規初回認証パッケージは猶予期間なしで機械可読でなければなりません（機関認可の手続き中のパッケージも対象）[LMR-GEN-ICR]。Rev5 認証済みの既存プロバイダーは、その日以降に完了する各年次評価で、機械可読な完全パッケージを提出する必要があります [LMR-GEN-OAR]。承認済み形式：NIST OSCAL、または 5 社以上の認証済み CSP が維持に合意する、パブリックドメインの標準化形式（FedRAMP による検証済み）。CR26 の JSON スキーマとバリデーターが公開されています。要求があった場合は、人間が読める形式のバージョンも引き続き作成する必要があります。非準拠の場合：2027 年 9 月 30 日午後 2 時（米国東部時間）までは公示され、それ以降は認証が取り消されます。
• セキュリティ受信窓口：すべての認可済み CSP は、緊急の脆弱性指示を受け付ける専用のセキュリティ受信窓口を設置する必要があります（CAPTCHA や障壁は禁止）。2026 年 1 月 5 日に発効しました。
• 主要テンプレートの更新：SSP、SAR、SAP、POA&M、CIS／CRM、IIW、ISCP — すべて Rev 5 に合わせて更新済み（2024 年 12 月リリース）。

---

1. 準備状況とギャップの評価

アプローチ

1. 対象範囲を明確にする — ユーザーに確認します：CSO（クラウドサービス提供形態）は何ですか？IaaS／PaaS／SaaSのどれですか？CR26における目標認証クラスはどれですか？
2. 認可経路を特定する — FedRAMP 20x（主要かつ推奨）と、従来の機関認可パッケージ（CR26への移行期間中、複雑なシステムでは引き続き利用可能）のどちらかを選びます。
3. 準備状況チェックリストを確認する — references/readiness-checklist.md を参照してください。
4. 不足事項を明らかにする — 現状を必須管理策と照合し、文書の不足、未実装の管理策、アーキテクチャ上の欠陥を指摘します。
5. 優先順位を付ける — 不足事項を次のように分類します：（a）準備状況レビューの阻害要因、（b）3PAO評価前に対応可能な項目、（c）POA&Mの候補

FedRAMP Readyは2026年7月28日に廃止されました（現在は「Legacy FedRAMP Ready」）。CSPには、パイプラインに応じて案内してください。外部フレームワークからの参入にはClass A（2026年8月3日から受付開始）、完全な認証には2026年8月31日からのClass B／Cが対象です。従来のRev5 Ready保有者は、年次評価の有効期限または2026年11月17日のいずれか遅い日までに移行する必要があります。

ユーザーへの主な準備状況に関する質問

• FedRAMP 20x（推奨）と従来の認可パッケージのどちらを目指していますか？
• どのクラウドプラットフォームを利用していますか（AWS GovCloud、Azure Government、GCP、オンプレミスのハイブリッド環境など）？
• FedRAMP認可済みのIaaS／PaaSを利用していますか（例：AWS GovCloud FedRAMP High）？
• FIPS 140-2／3で検証済みの暗号化を導入していますか？
• 認可境界を定義し、文書化していますか？
• 脆弱性スキャンプログラム（OS、DB、ウェブアプリ、コンテナ）を運用していますか？
• セキュリティポリシーと手順を文書化していますか？
• インシデント対応計画（IRP）とコンティンジェンシープラン（CP）を策定し、テストしていますか？
• Rev5の認可パッケージの成果物は機械可読形式（OSCALまたは承認済み形式）ですか？2026年9月30日以降の新規Rev5パッケージでは必須となり、既存プロバイダーはその日以降の次回年次評価時に対応が必要です。（20xには独自の機械可読モデルがあります。）

出力形式

• ギャップ表を作成します：管理策ファミリー | 現状 | ギャップ | 優先度 | 担当者
• 優先度の高いギャップの上位5～10件を文章で要約します。
• 目標の認証クラスと、FedRAMP 20xが実現可能かどうかを記載します。

---

2. ATO文書

FedRAMP認可パッケージの中核となる文書は次のとおりです。

Authorization Package
├── System Security Plan (SSP) + Appendices A–Q
├── Security Assessment Plan (SAP) + Appendices A–D  [3PAO-prepared]
├── Security Assessment Report (SAR) + Appendices A–F  [3PAO-prepared]
└── Plan of Action & Milestones (POA&M)  [SSP Appendix O]

重要：Rev5ではWord／Excelテンプレートが廃止されます。新規Rev5パッケージは2026年9月30日以降、機械可読形式（OSCALまたは承認済み形式）で作成する必要があります。既存プロバイダーは次回の年次評価時に変換します。ご要望に応じて人間が読める形式の文書も提供します。 テンプレート：https://www.fedramp.gov/documents-templates/

文書のガイダンス

各文書タイプの詳しいガイダンスについては、該当するリファレンスファイルを参照してください。

• SSP → references/ssp-guide.md
• POA&M → references/poam-guide.md
• SAP／SAR → references/sap-sar-guide.md
• 補足付属書 → references/appendices-guide.md

すべてのATO文書に共通する執筆原則

1. 実装済みの内容のみを記述する — 計画中または将来的な管理策は記載しないでください。指摘事項につながるため、代わりにPOA&Mに記載します。
2. 具体的に記述する — 正確なツール名、ファイル名、セクション番号、ポリシー名を示してください。曖昧な表現は指摘事項の原因になります。
3. 動詞に注意する — 各管理策の要件では、特定の動詞（追跡する、文書化する、適用する、テストする）が使われています。それぞれの動詞に明示的に対応してください。
4. 責任共有を明確にする — 顧客が設定可能な管理策または共有管理策については、「顧客の責任」セクションを明確に設けてください。
5. 一貫性を保つ — アーキテクチャ図、データフロー、インベントリ、管理策の記述は、すべて内部で整合している必要があります。

---

3. NIST 800-53管理策のマッピング

管理策ファミリー（Rev 5）

ID	ファミリー	備考
AC	アクセス制御	IAM、RBAC、最小権限、リモートアクセス
AT	意識向上とトレーニング	セキュリティおよびプライバシーのトレーニング（Rev 5で新規追加）
AU	監査と説明責任	ログの保持、SIEM、監査レビュー
CA	評価、認可、モニタリング	ConMon、3PAO、ATO
CM	構成管理	ベースライン、変更管理、CMDB
CP	緊急時対応計画	BCP/DR、年次テスト
IA	識別と認証	MFA、PIV、FIPS 140-2/3暗号化
IR	インシデント対応	IRP、年次テスト、報告SLA
MA	保守	リモート保守の管理策
MP	メディア保護	保存データ、メディアのサニタイズ
PE	物理的・環境的保護	データセンター。IaaSから継承されることが多い
PL	計画	SSP、行動規範
PM	プログラム管理	エンタープライズレベルのセキュリティプログラム
PS	人員セキュリティ	スクリーニング、退職手続き
PT	PIIの処理と透明性	Rev 5で新しいファミリー — プライバシー管理策
RA	リスク評価	脆弱性スキャン、MITRE ATT&CKスコアリング
SA	システムおよびサービスの調達	SDLC、サプライチェーン
SC	システムおよび通信の保護	通信中の暗号化、ネットワークのセグメンテーション
SI	システムおよび情報の完全性	パッチ適用、マルウェア対策、完全性のモニタリング
SR	サプライチェーンリスク管理	Rev 5で新しいファミリー — SCRM

CR26認証クラスの対応付け

CR26では、FedRAMP PMOが管理策ベースラインを認証クラスに対応付けています。ユーザーがシステムについて説明したら、該当するクラスに対応付けます。

• クラスA（パイロット／移行段階）：20xで導入された新しいベースライン。プログラム認証を通じて、外部フレームワーク（当初はSOC 2 Type II）を利用し、連邦市場に参入します。クラスAの認証保有者は、完全な評価を受けてクラスB、C、またはDの認証を取得するまでに2年間の猶予期間があります
• クラスB（LI-SaaSおよびLowに代わるもの）：漏えいが発生しても被害が限定的な、機密性のない連邦情報を扱うシステム
• クラスC（Moderateに代わるもの）：最も一般的なクラス。CUIを扱うシステムを含む、連邦政府のクラウド導入の大半が該当します
• クラスD（Highに代わるもの）：侵害された場合に深刻または壊滅的な影響が生じる連邦情報（法執行、金融、医療データなど）

従来の参照表記：既存のFedRAMP文書の多くでは、Low／Moderate／High／LI-SaaSが引き続き使われています。これらはLI-SaaS／Low → クラスB、Moderate → クラスC、High → クラスDに対応します（クラスAは新設されたため、従来の同等クラスはありません）。CR26への移行期間中は、旧表記と新表記が併記されています。CSPには、最新情報をfedramp.govで確認するよう案内してください。

対応付けのワークフロー

1. 質問する：システムで処理、保存、送信する連邦データにはどのような種類がありますか？
2. CR26に基づく対象の認証クラス（A、B、C、またはD）を決定します
3. クラスの対応関係（B ↔ Low、C ↔ Moderate、D ↔ High）を用いて、NIST 800-53 Rev 5のベースラインを選択します
4. FedRAMPのパラメーター要件と照合します（FedRAMPでは、基盤となるNISTより厳格なパラメーターが設定されることがよくあります）
5. 継承された管理策については、利用するFedRAMP IaaS/PaaSから完全または部分的に継承される管理策を特定し、CIS/CRMワークブックに記録します

Rev 4からRev 5への主な変更点

• 新しい管理策ファミリー：PT（プライバシー）、SR（サプライチェーン）
• パスワード管理策の改訂：強制的な定期変更は不要になりました。侵害されたパスワードのリストとパスワード強度メーターが必要です（NIST 800-63bに準拠）
• プライバシーの統合：AT-3でプライバシートレーニングが必須となり、多くのファミリーにプライバシー固有の強化策が追加されました
• 脅威ベースの手法：MITRE ATT&CKフレームワークを活用して管理策の優先順位を決定します

---

4. アーキテクチャガイダンス

認可境界

境界によって、FedRAMP の対象範囲が定義されます。これは、指摘事項や遅延の最も一般的な原因の 1 つです。

主な原則：

• 連邦政府のデータを処理、保存、または送信するすべてのものを境界内に含める必要があります
• 対象範囲内のシステムに接続される外部サービスは、FedRAMP の認可を受けているか、補完的な管理策とともに文書化されている必要があります
• 境界は、明確なネットワーク／データフロー図に示す必要があります（SSP で必須）

クラウドプラットフォームに関する考慮事項

AWS GovCloud (US)

• AWS GovCloud は FedRAMP High の認可を受けており、ほとんどの PE 管理策と一部の SC 管理策は完全に継承されます
• AU、RA、SI 管理策を満たすために、AWS Config、CloudTrail、GuardDuty、Security Hub を使用します
• 境界内にとどまるため、GovCloud リージョンのエンドポイント（標準の商用エンドポイントではなく）を使用していることを確認します
• IA 管理策向けに FIPS エンドポイントを利用できます

Azure Government

• Azure Government は FedRAMP High の認可を受けています
• Azure Policy と Defender for Cloud は CM、RA、SI に適合します
• FedRAMP Moderate／High に準拠した Azure Blueprints／Policy Initiatives を使用します

Google Cloud（FedRAMP 認可リージョン）

• FedRAMP コンプライアンスには Assured Workloads を使用します
• AU 管理策には Chronicle SIEM を使用します

FedRAMP をサポートするアーキテクチャパターン

• ゼロトラスト — AC、IA、SC 管理策ファミリーに直接適合します
• 不変のインフラストラクチャ — CM を簡素化します（構成ドリフトは一般的な指摘事項です）
• ログの一元管理 — SIEM／ログ集約により、AU ファミリーに包括的に対応します
• 脆弱性スキャンの自動化 — 必須です。OS、DB、Web アプリケーション、およびコンテナ（使用している場合）を対象にする必要があります
• 機械可読形式のツール（OSCAL ネイティブまたは承認済み形式） — 新しい Rev5 パッケージでは 2026 年 9 月 30 日から必須となります。既存の Rev5 プロバイダーでは、次回の年次評価時に必要となります

よくあるアーキテクチャ上の指摘事項

• 境界外に出る、文書化されていない外部接続
• 転送中または保存時の暗号化における、FIPS 非準拠のアルゴリズム
• IAM ロールの権限が広すぎる／最小権限の原則が適用されていない
• 特権アカウントに MFA が設定されていない
• 脆弱性スキャンが境界内のすべてのコンポーネントを対象としていない
• ログの欠落（すべてのコンポーネントから一元管理された SIEM にログが送信されていない）
• 2026 年 9 月 30 日の受付締切を前に Rev5 パッケージがまだ機械可読形式になっていない（または、締切後に実施されるプロバイダー初回の年次評価までに対応していない）

---

5. 継続的な監視

認可後、CSP は ConMon 活動を通じてコンプライアンスを維持する必要があります。

月次要件

• 脆弱性スキャンの結果を機関の AO に提出
• POA&M の更新（未解決の指摘事項、是正の進捗状況）
• インベントリの更新（新規／削除された資産）
• ConMon 月次エグゼクティブサマリー（テンプレートは 2024 年 11 月に更新）

年次要件

• Annual Assessment Controls Selection Worksheet を使用した、3PAO による包括的なセキュリティ評価
• 更新された SSP と付録
• テスト済みの IRP と CP
• SAR と更新された POA&M

POA&M の管理

• 未解決の指摘事項すべてに、リスクレベル、担当者、マイルストーンの日付、是正計画を含める必要があります
• Vendor Dependencies（VD）：指摘事項の解消がサードパーティの修正に依存する場合、その内容を文書化して追跡します
• Deviation Requests（DR）：誤検知およびリスク調整には AO の承認が必要です
• 是正の SLA（FedRAMP ConMon Performance Management Guide）：特定日から High = 30 日、Moderate = 90 日、Low = 180 日。Critical が High と区別されている場合（スキャナーの評価など）は、High 以上に厳しい基準（≤30 日）として扱い、直ちに優先対応します

---

出力形式ガイド

依頼の種類に合わせて出力形式を選択してください。

依頼の種類	推奨形式
ギャップ評価	表＋文章による要約
SSP 管理策の説明	文章の段落（管理策／強化項目ごとに1段落）
POA&M 項目	必須フィールドをすべて含む構造化された表の行
アーキテクチャレビュー	箇条書きの指摘事項＋推奨される是正策
管理策マッピングに関する質問	表：管理策 ID | 要件 | 実装方法
準備状況の概要	経営層向けの文章による要約＋優先度順のアクションリスト

文書の内容を生成する場合は、必ず次の点を記載してください。"fedramp.gov の公式 FedRAMP テンプレートを使用してください。この内容は適切なテンプレートのセクションに挿入してください。"

---

参考ファイル

さらに詳しい情報が必要な場合は、次のファイルを読み込んでください。

• references/readiness-checklist.md — 準備状況チェックリストの全項目（75 項目以上）
• references/ssp-guide.md — SSP のセクション別執筆ガイド
• references/poam-guide.md — POA&M の構成、フィールドの定義、SLA 表
• references/sap-sar-guide.md — CSP 向け SAP／SAR の概要とレビューのヒント
• references/appendices-guide.md — SSP のすべての付録（A～Q）のガイド
• references/control-families.md — 20 の管理策ファミリーそれぞれの詳細解説

---

このスキルが提供するのは一般的なコンプライアンス情報であり、法的助言ではありません。公式情報源で最新の要件を確認し、判断にあたっては有資格の弁護士または認定評価者に相談してください。