FISMA (Federal Information Security Management Act)

Définition

Le FISMA, Federal Information Security Management Act, est la loi fédérale américaine imposant à l'ensemble des agences gouvernementales des États-Unis, ainsi qu'à leurs sous-traitants opérant des systèmes d'information pour leur compte, de mettre en place un programme de gestion de la sécurité de l'information proportionné aux risques et à la criticité des informations traitées, en s'appuyant sur les catalogues de contrôles et les méthodologies publiés par le National Institute of Standards and Technology, notamment les publications spéciales 800-53 et 800-37. Cette loi impose à chaque agence de catégoriser ses systèmes d'information selon leur niveau d'impact potentiel, faible, modéré ou élevé, de sélectionner les contrôles de sécurité correspondants dans le catalogue NIST 800-53, de faire évaluer et autoriser formellement chaque système avant sa mise en service selon un processus dit d'autorisation d'exploiter, puis d'assurer une surveillance continue de la sécurité du système tout au long de son cycle de vie. Le programme FedRAMP, spécifiquement dédié aux services cloud fournis aux agences fédérales, constitue une déclinaison sectorielle de cette logique générale imposée par le FISMA. Pour les entreprises européennes candidates à des marchés publics fédéraux américains ou à la fourniture de services cloud à des agences gouvernementales des États-Unis, la compréhension du FISMA et de son articulation avec les référentiels NIST constitue un prérequis pour évaluer la faisabilité d'un tel positionnement commercial.