FedRAMP とは？

米国の連邦政府機関がクラウドサービスを使うとき、そのサービスがセキュリティ的に安全かどうかを政府が認定する制度だよ。AWSやMicrosoft Azureなども取得していて、政府向けサービスでは必須になっているんだ。

一つの機関が審査を通れば、その結果を他の連邦機関も再利用できる「一度審査すれば全員が使える」という仕組みがあるんだ。これを「Do Once, Use Many Times」と呼ぶよ。審査コストが大幅に下がるから、ベンダーにとってもメリットが大きいね。

かなり厳しいよ。NIST SP 800-53という米国政府のセキュリティ基準をベースにしていて、数百項目のコントロールを満たす必要があるんだ。第三者評価機関（3PAO）による独立した監査も必要だよ。

扱うデータの重要度によって分かれているよ。Lowは一般公開データ向け、Moderateは個人情報など影響が中程度のデータ向け、Highは国家安全保障に関わる機密データ向けだね。Highになるほど要件は格段に厳しくなるんだ。

日本には政府調達向けの「政府情報システムのためのセキュリティ評価制度（ISMAP）」があるよ。FedRAMPを参考に設計されていて、クラウドベンダーが登録することで政府機関への提案がしやすくなる制度だね。