FedRAMP（フェドランプ、、連邦リスク・認可管理プログラム）は、アメリカ合衆国連邦政府の各機関が利用するクラウド製品・サービスについて、セキュリティ評価と認可の手法を標準化し、その結果を機関の間で再利用できるようにする政府横断のプログラムである。2011年12月8日の行政管理予算局（OMB）の覚書が連邦政府の方針としてFedRAMPの構成と各機関の責務を定めており、運営を担うプログラム管理室（PMO）は一般調達局（GSA）に置かれている。2022年12月に成立したFedRAMP認可法（）により、合衆国法典第44編に根拠規定が置かれた。
概要 FedRAMPは、各機関がクラウドサービスの評価と認可を個別に行うことによる重複と不整合を減らし、1つの製品・サービスの評価結果を複数の機関で使い回せるようにするために設けられた。合衆国法典第44編3608条は、各機関が利用する非機密情報を処理するクラウド製品・サービスについて、標準化され再利用可能な評価・認可の手法を提供する政府横断のプログラムをGSA内に設けると定めている。
2011年の覚書は、FedRAMPが各機関に提供するものとして、影響度レベルごとに標準化されたセキュリティ要件、第三者による独立した評価の仕組み、標準契約文言、政府横断で活用できる認可パッケージの保管庫を挙げた。適用範囲は、アメリカ国立標準技術研究所（NIST）が定義するすべての配備モデルと、IaaS・PaaS・SaaSを含むすべてのサービスモデルに及ぶ。ただし、外部の組織にサービスを提供せず自機関のみで利用する連邦施設内の私有クラウドは適用除外とされた。
2011年の覚書は、FedRAMPの認可要件が、NIST SP 800-53のセキュリティ管理策とプライバシー管理策および継続的な監視のために選定された管理策からなる標準化されたベースラインを含むとしている。ローラ・テイラー（Laura Taylor）は2014年の論文で、FedRAMPは連邦政府にシステムを提供しようとするすべてのクラウド事業者が用いなければならない包括的なクラウドセキュリティ要件を定め、認可後も適合を確かめるために継続的な監視を求めるとしている。
主な内容 影響度レベルとベースライン High・Moderate・Low・LI-SaaSの4つのベースラインがあり、各ベースラインの管理策の一覧は「FedRAMP Security Controls Baseline」として公開されている。これらの資料は2026年統合規則への移行期の参照用と位置づけられている。 認可の経路 合衆国法典は「FedRAMP認可」を、GSA長官が判断する認可プロセスの完了、またはFedRAMP理事会が判断する暫定運用認可（）の取得のいずれかを満たした証明と定義している。 第三者による独立した評価 クラウド事業者が実装した管理策は、第三者評価機関（、3PAO）が独立して評価する。合衆国法典3611条も、事業者が提出した評価資料の品質と適合性を検証するために独立評価サービスを用いうると定めている。 認可パッケージ 認可の判断に用いる認可パッケージには、最低限、セキュリティ計画、セキュリティ評価報告書、行動計画とマイルストーン、継続的監視計画が含まれる。 評価結果の再利用 合衆国法典3613条は、各機関が認可の手続を始める前にFedRAMP認可の有無を確認し、認可済みの製品・サービスについては可能な範囲で既存の評価と認可パッケージ内の資料を利用すると定めている。 FedRAMP Marketplace FedRAMPの認可を受けたクラウドサービス、認可を行った機関、認定された評価機関を検索できるデータベース。
経緯 2011年12月8日、連邦最高情報責任者スティーブン・ヴァンローケル（Steven VanRoekel）名義のOMB覚書「クラウドコンピューティング環境における情報システムのセキュリティ認可」がクラウドサービス上の連邦情報の保護に関する連邦政策を定め、FedRAMPの構成と各機関の責務を示した。当初は、国防総省（DOD）・国土安全保障省（DHS）・GSAの最高情報責任者（CIO）で構成する合同認可委員会（、JAB）がセキュリティ認可要件を定め、3PAOの認定基準を承認し、各機関が活用できる暫定認可を付与する体制が採られた。JABは暫定認可を定期的に見直し、取り消しを含む変更を各機関に通知することとされた。GSAはPMOを設置することとした。
2022年12月23日、FedRAMP認可法（Pub. L. 117–263, div. E, title LIX, §5921）が成立し、FedRAMPは法律上の制度となった。同法はGSA内にFedRAMPを設置すると定め、FedRAMP理事会（）を置いた。理事会は7名を超えない各機関の上級職員または専門家で構成され、OMB長官がGSA長官と協議してDOD・DHS・GSAなどから任命する。理事会は、NISTの標準と指針に沿って認可の要件と指針を定めて随時更新し、機関と事業者の間の一貫性と透明性を確保する。同法により追加されたこれらの条は、成立から5年後に失効すると定められている。GSAは2026年時点で、理事会をFedRAMPの議決機関とし、OMBの連邦最高情報責任者が選任する7名の連邦技術幹部で構成されると説明している。
2024年7月にOMB覚書M-24-15が従前の方針を置き換え、2025年3月にGSAは「FedRAMP 20x」を発表した。FedRAMPは2026年6月に「2026年統合規則」（）を確定させた。FedScoopは、新規則が影響度レベル（Low・Moderate・High）から認可クラス（、A・B・C・D）への移行を含み、機械可読の形式で作成されたと報じ、適用は2026年7月4日から任意で始まって2027年1月1日に義務化され、従来のRev5の枠組みは2027年6月11日まで利用できるとしている。2026年9月時点でFedRAMP 20xは第3段階にあり、クラスA・B・Cの規則が確定し、High相当のクラスDは第4段階で策定される予定とされている。
関連する規格 カルロ・ディジュリオ（Carlo Di Giulio）らは2017年の論文で、クラウドの情報保証を評価するために世界的に採用されている規格として、ISO/IEC 27001・SOC 2・C5とFedRAMPの4つを取り上げ、相互の補完関係と重複を比較している。
関連項目 System and Organization Controls ISO/IEC 27017 リスクマネジメント 監査
脚注
外部リンク FedRAMP.gov（英語） - 公式サイト