FedRAMP

Définition

FedRAMP (Federal Risk and Authorization Management Program) est un programme fédéral américain établissant une méthodologie standardisée d'évaluation de sécurité, d'autorisation et de surveillance continue pour les produits et services cloud utilisés par les agences du gouvernement fédéral. Créé en 2011, le programme s'appuie directement sur le catalogue de contrôles NIST SP 800-53 et sur la norme FIPS 199 pour catégoriser l'impact des systèmes (Low, Moderate, High), chaque niveau imposant un sous-ensemble croissant de contrôles à implémenter par le fournisseur de service cloud (CSP). L'obtention d'une autorisation FedRAMP suit deux voies principales : l'Agency Authorization, où une agence fédérale sponsorise directement l'évaluation, ou la voie JAB (Joint Authorization Board, désormais FedRAMP Board), offrant une autorisation provisoire (P-ATO) réutilisable par plusieurs agences. L'évaluation initiale et les audits annuels de surveillance continue sont réalisés par un 3PAO (Third-Party Assessment Organization) accrédité. FedRAMP conditionne l'accès des CSP, notamment AWS GovCloud, Microsoft Azure Government et Google Cloud, aux marchés publics fédéraux américains, et constitue un équivalent fonctionnel du SecNumCloud français ou du C5 allemand, bien que sans réciprocité automatique entre référentiels. Le programme a introduit en 2023 une version accélérée (FedRAMP 20x) visant à réduire les délais d'autorisation historiquement longs, un frein majeur à l'adoption cloud dénoncé par de nombreux fournisseurs et agences.