fedramp

FedRAMP 认证技能

最后验证时间： 2026-10-03

帮助用户完成 FedRAMP 授权的综合指南——涵盖从初始准备度评估到 ATO，再到持续监控的全过程。

快速参考：用户需要什么？

确定用户的目标，并跳转到相应部分：

用户目标	跳转到
“我们准备好申请 FedRAMP 了吗？”/ 差距评估	→ 准备度与差距评估
编写 SSP、POA&M、SAR、SAP 或其他文档	→ ATO 文档
“哪些控制措施适用于我们？”/ 控制映射	→ NIST 800-53 控制映射
云架构 / AWS/Azure/GCP 配置	→ 架构指南
已获得授权，需持续合规	→ 持续监控

---

当前 FedRAMP 状态（截至 2026 年 8 月 — CR26）

⚠️ CR26（2026 年 FedRAMP 综合规则）：FedRAMP 已重构其授权框架。基于 FIPS 199 的基线标签（Low/Moderate/High/LI-SaaS）已替换为 Certification Classes A–D（依据通知 NTC-0004；CR26 规则有效至 2028 年 12 月 31 日）。类别标签改变的是基线的名称，而非要求。已根据旧标签获得授权的 CSP 在过渡期内仍保留其授权，期间新旧标签会进行关联。

• 基线：NIST SP 800-53 Rev 5（已全面生效）
• 控制数量（Rev 5）：Low ≈ 156、Moderate = 323、High = 421（旧版参考数据；PMO 正在发布基于 CR26 类别的控制数量）
• CR26 Certification Classes（官方映射，NTC-0004）：A = 新试点／过渡基线（通过 Program Certification，基于 SOC 2 Type II 等外部框架进入；持有者有 2 年时间取得 B/C/D），B = 当前 LI-SaaS + Low 基线，C = 当前 Moderate 基线（大多数联邦部署，包括 CUI），D = 当前 High 基线。
• FedRAMP 20x：现为主要授权途径 — 基于 Key Security Indicators (KSIs)、机器可读证据、模块化 API 驱动的提交以及自动化验证，实现持续授权。传统 SSP/SAP/SAR 模板仍适用于旧版途径。
• CR26 状态：于 2026 年 6 月 25 日定稿；自 2026 年 7 月 4 日起可选提前采用；2027 年 1 月 1 日起强制实施。
• 旧版 FedRAMP Ready：Ready designation 于 2026 年 7 月 28 日退役／更名为 Legacy FedRAMP Ready — 不再接受新提交。Rev5 Ready 持有者必须在其年度评估到期日或 2026 年 11 月 17 日（以较晚者为准）之前完成转换；该状态将于 2027 年 12 月 31 日彻底取消。
• Certification Class 流程：Class A 于 2026 年 8 月 3 日开放；Classes B/C 于 2026 年 8 月 31 日开放；Class D 试点预计于 2026 年末启动，正式选项预计于 2027 年初推出。
• Rev5 逐步退出：2027 年 6 月 11 日之后不再接受新的 Rev5 申请；Rev5 将于 2028 年 12 月 31 日停止使用。
• JAB P-ATO：已全面暂停；FedRAMP PMO 是唯一授权机构。
• 机器可读要求（RFC-0024/NOTICE-0009，已通过 CR26 落地） — 仅适用于 Rev5 流程，明确不适用于 FedRAMP 20x：自 2026 年 9 月 30 日美国东部时间下午 2 点起（现已生效），新的 Rev5 初始认证材料包必须采用机器可读格式，没有宽限期（包括已处于机构授权流程中的材料包）[LMR-GEN-ICR]；现有 Rev5 认证提供商必须在该日期之后完成的每次年度评估中提交完整的机器可读材料包 [LMR-GEN-OAR]。获批格式：NIST OSCAL，或任何由 5 家以上已认证 CSP 同意维护的公有领域标准化格式（须经 FedRAMP 验证）；CR26 JSON schema 和验证器已发布。仍须按要求提供人类可读版本。不合规处理：在 2027 年 9 月 30 日美国东部时间下午 2 点之前公开通知，之后撤销认证。
• Security Inbox：所有已获授权的 CSP 必须设置专用 Security Inbox（不得设置 CAPTCHA 或其他障碍），以接收紧急漏洞指令 — 自 2026 年 1 月 5 日起生效。
• 主要模板已更新：SSP、SAR、SAP、POA&M、CIS/CRM、IIW、ISCP — 均已更新以符合 Rev 5（2024 年 12 月发布）。

---

1. 准备情况与差距评估

方法

1. 明确范围 — 询问用户：什么是 CSO（云服务产品）？是 IaaS/PaaS/SaaS？目标认证等级是什么（CR26 下）？
2. 确定授权路径 — FedRAMP 20x（首选）还是传统机构授权材料包（在 CR26 过渡期间仍适用于复杂系统）
3. 逐项核对准备情况清单 — 参见 references/readiness-checklist.md
4. 指出差距 — 将当前状态映射到所需控制措施；标出缺失的文档、尚未实施的控制措施和架构缺陷
5. 确定优先级 — 按以下类别对差距分组：(a) 准备情况审查的阻碍项，(b) 可在 3PAO 评估前解决的事项，(c) POA&M 候选项

FedRAMP Ready 已于 2026 年 7 月 28 日退役（现称“Legacy FedRAMP Ready”）。建议 CSP 按管道路径推进：Class A（自 2026 年 8 月 3 日开放）用于通过外部框架准入；Classes B/C（自 2026 年 8 月 31 日起）用于完整认证；现有 Rev5 Ready 持有者必须在年度评估到期日或 2026 年 11 月 17 日（以较晚者为准）之前完成转换。

需要向用户提出的关键准备情况问题

• 您的目标是 FedRAMP 20x（首选）还是传统授权材料包？
• 您使用什么云平台（AWS GovCloud、Azure Government、GCP、本地混合环境）？
• 您是否使用任何现有的 FedRAMP 授权 IaaS/PaaS（例如，AWS GovCloud FedRAMP High）？
• 您是否已部署通过 FIPS 140-2/3 验证的加密？
• 您是否已定义并记录授权边界？
• 您是否有漏洞扫描计划（OS、DB、Web 应用、容器）？
• 您是否已记录安全策略和流程？
• 您是否有经过测试的事件响应计划（IRP）和应急计划（CP）？
• 您的 Rev5 授权材料包工件是否为机器可读格式（OSCAL 或经批准的格式）？自 2026 年 9 月 30 日起，新 Rev5 材料包必须采用此格式；现有提供商须在该日期之后的下一次年度评估时完成转换。（20x 有自己的机器可读模型。）

输出格式

• 生成一份差距表：控制系列 | 当前状态 | 差距 | 优先级 | 负责人
• 用文字概述优先级最高的 5–10 项差距
• 注明目标认证等级，以及 FedRAMP 20x 是否可行

---

2. ATO 文档

FedRAMP 授权材料包的核心内容包括：

Authorization Package
├── System Security Plan (SSP) + Appendices A–Q
├── Security Assessment Plan (SAP) + Appendices A–D  [3PAO-prepared]
├── Security Assessment Report (SAR) + Appendices A–F  [3PAO-prepared]
└── Plan of Action & Milestones (POA&M)  [SSP Appendix O]

重要提示：Rev5 的 Word/Excel 模板正在逐步退役——自 2026 年 9 月 30 日起，新 Rev5 材料包必须采用机器可读格式（OSCAL 或经批准的格式）；现有提供商须在下一次年度评估时完成转换。可按需提供人类可读版本。 模板：https://www.fedramp.gov/documents-templates/

文档指南

有关各类文档的详细指南，请阅读相应的参考文件：

• SSP → references/ssp-guide.md
• POA&M → references/poam-guide.md
• SAP / SAR → references/sap-sar-guide.md
• 支持性附录 → references/appendices-guide.md

所有 ATO 文档的通用写作原则

1. 仅描述已实施的内容 — 不要记录计划中或理想状态的控制措施；这会导致发现项，应改列入 POA&M
2. 具体明确 — 注明确切的工具、文件名、章节编号和策略名称；含糊的表述会导致发现项
3. 注意动词 — 每项控制要求都使用特定动词（跟踪、记录、强制执行、测试）。逐一明确说明每个动词对应的做法
4. 明确共同责任 — 对任何可由客户配置或由双方共同承担的控制措施，创建清晰的“客户责任”部分
5. 保持一致 — 架构图、数据流、清单和控制声明必须彼此一致

---

3. NIST 800-53 控制映射

控制族（修订版 5）

ID	控制族	说明
AC	访问控制	IAM、RBAC、最小权限、远程访问
AT	安全意识与培训	安全与隐私培训（修订版 5 新增）
AU	审计与问责	日志保留、SIEM、审计审查
CA	评估、授权与监控	ConMon、3PAO、ATO
CM	配置管理	基线、变更控制、CMDB
CP	应急规划	BCP/DR，每年测试
IA	身份识别与身份验证	MFA、PIV、FIPS 140-2/3 加密
IR	事件响应	IRP、每年测试、报告 SLA
MA	维护	远程维护控制
MP	媒体保护	静态数据、媒体清理
PE	物理与环境安全	数据中心；通常由 IaaS 继承
PL	规划	SSP、行为规则
PM	项目管理	企业级安全项目
PS	人员安全	背景审查、离职流程
PT	PII 处理与透明度	修订版 5 新增控制族 — 隐私控制
RA	风险评估	漏洞扫描、MITRE ATT&CK 评分
SA	系统与服务采购	SDLC、供应链
SC	系统与通信保护	传输中加密、网络分段
SI	系统与信息完整性	修补、恶意软件防护、完整性监控
SR	供应链风险管理	修订版 5 新增控制族 — SCRM

CR26 认证类别映射

根据 CR26，FedRAMP PMO 正在将控制基线与认证类别对应起来。用户描述其系统时，请映射到相应类别：

• 类别 A（试点/过渡）：20x 引入的新基线——通过项目认证，借助外部框架（初期为 SOC 2 Type II）进入联邦市场；类别 A 持有者有2 年期限，需通过完整评估获得类别 B、C 或 D 认证
• 类别 B（取代 LI-SaaS + Low）：处理非敏感联邦信息的系统，发生泄露时造成的危害有限
• 类别 C（取代 Moderate）：最常见——绝大多数联邦云部署，包括处理 CUI 的系统
• 类别 D（取代 High）：涉及联邦信息的系统，一旦遭到破坏会造成严重或灾难性影响（例如执法、财务、健康数据）

旧版参考：许多现有 FedRAMP 文档仍引用 Low/Moderate/High/LI-SaaS。这些等级对应关系为：LI-SaaS/Low → 类别 B，Moderate → 类别 C，High → 类别 D（类别 A 为新增类别，没有对应的旧版等级）。在 CR26 过渡期间，新旧标签会关联使用。建议 CSP 查看 fedramp.gov 获取最新信息。

映射工作流

1. 询问：系统将处理/存储/传输哪些类型的联邦数据？
2. 根据 CR26 确定目标认证类别（A、B、C 或 D）
3. 根据类别映射选择 NIST 800-53 修订版 5 基线（B ↔ Low、C ↔ Moderate、D ↔ High）
4. 对照 FedRAMP 参数要求（FedRAMP 设置的参数通常比 NIST 基线更严格）
5. 对于继承的控制，确定哪些控制完全/部分继承自所依托的 FedRAMP IaaS/PaaS，并记录在 CIS/CRM 工作簿中

修订版 4 → 修订版 5 的重点变化

• 新增控制族：PT（隐私）、SR（供应链）
• 修订密码控制：不再强制定期轮换；要求使用已泄露密码列表和密码强度计量工具（与 NIST 800-63b 保持一致）
• 集成隐私要求：AT-3 现要求开展隐私培训；许多控制族都新增了隐私专项增强要求
• 基于威胁的方法：MITRE ATT&CK 框架用于指导控制优先级排序

---

4. 架构指南

授权边界

边界定义了 FedRAMP 的范围。这是最常见的发现项和延误来源之一。

关键原则：

• 所有处理、存储或传输联邦数据的系统都必须位于边界内
• 与范围内系统相连的外部服务必须获得 FedRAMP 授权，或通过补偿性控制予以记录
• 必须通过清晰的网络／数据流图展示边界（SSP 中的必需内容）

云平台注意事项

AWS GovCloud (US)

• AWS GovCloud 已获得 FedRAMP High 授权——大多数 PE 控制和部分 SC 控制可完全继承
• 使用 AWS Config、CloudTrail、GuardDuty、Security Hub 满足 AU、RA、SI 控制
• 确保使用 GovCloud 区域端点（而非标准商业端点），以确保处于边界内
• IA 控制可使用 FIPS 端点

Azure Government

• Azure Government 已获得 FedRAMP High 授权
• Azure Policy + Defender for Cloud 与 CM、RA、SI 控制的映射效果良好
• 使用与 FedRAMP Moderate/High 对齐的 Azure Blueprints / Policy Initiatives

Google Cloud（获得 FedRAMP 授权的区域）

• 使用 Assured Workloads 满足 FedRAMP 合规要求
• 使用 Chronicle SIEM 满足 AU 控制

支持 FedRAMP 的架构模式

• 零信任——与 AC、IA、SC 控制族直接对应
• 不可变基础设施——简化 CM（配置漂移是常见发现项）
• 集中式日志记录——SIEM／日志聚合全面满足 AU 控制族的要求
• 自动化漏洞扫描——必须覆盖操作系统、数据库、Web 应用和容器（如使用）
• 机器可读工具（原生支持 OSCAL 或采用已批准格式）——新的 Rev5 软件包须从 2026 年 9 月 30 日起提供；现有 Rev5 提供商须在下一次年度评估时提供

常见架构发现项

• 未记录的外部连接穿越边界
• 传输中或静态数据使用不符合 FIPS 标准的加密算法
• IAM 角色权限过宽／未遵循最小权限原则
• 特权账户未启用 MFA
• 漏洞扫描未覆盖边界中的所有组件
• 日志记录存在缺口（并非所有组件都将日志发送到集中式 SIEM）
• 在 2026 年 9 月 30 日受理截止日期之前，Rev5 软件包尚未实现机器可读（或提供商在截止日期后的首次年度评估时仍未实现）

---

5. 持续监控

获得授权后，CSP 必须通过持续监控（ConMon）活动维持合规：

月度要求

• 向机构 AO 提交漏洞扫描结果
• 更新 POA&M（未解决的发现项、修复进度）
• 更新资产清单（新增／移除的资产）
• ConMon 月度执行摘要（模板于 2024 年 11 月更新）

年度要求

• 由 3PAO 使用年度评估控制选择工作表进行完整安全评估
• 更新 SSP 及其附录
• 测试 IRP 和 CP
• SAR 和更新后的 POA&M

POA&M 管理

• 所有未解决的发现项都必须包含：风险级别、负责人、里程碑日期、修复计划
• 供应商依赖项（VD）：当发现项依赖第三方修复时，须记录并跟踪
• 偏差请求（DR）：误报和风险调整须获得 AO 批准
• 修复 SLA（FedRAMP 持续监控绩效管理指南）：自发现之日起，High = 30 天、Moderate = 90 天、Low = 180 天。如果单独区分 Critical 和 High（例如扫描器评级），则按 High 或更严格的标准处理（≤30 天，并立即优先处理）

---

输出格式指南

根据请求类型匹配输出格式：

请求类型	首选格式
差距评估	表格 + 概述文字
SSP 控制叙述	分段文字（每项控制/增强一段）
POA&M 条目	包含所有必填字段的结构化表格行
架构审查	条目式发现 + 建议的补救措施
控制映射问题	表格：控制 ID | 要求 | 实施方式
准备情况概览	执行摘要文字 + 优先行动清单

生成文档内容时，始终注明：“请使用 fedramp.gov 上的官方 FedRAMP 模板 — 此内容应插入相应的模板部分。”

---

参考文件

需要深入了解时，请加载以下文件：

• references/readiness-checklist.md — 完整的准备情况检查清单（75 项以上）
• references/ssp-guide.md — SSP 分节撰写指南
• references/poam-guide.md — POA&M 结构、字段定义和 SLA 表
• references/sap-sar-guide.md — SAP/SAR 概述及面向 CSP 的审查建议
• references/appendices-guide.md — SSP 所有附录（A–Q）指南
• references/control-families.md — 20 个控制族的深入介绍

---

此技能提供一般性合规信息，不构成法律建议。请根据官方来源核实当前要求；如需做出决策，请咨询合格的法律顾问或经认可的评估员。