ÉtatRAMP - Services d'autorisation GovRAMP et d'audit 3PAO | Conformité accélérée pour les fournisseurs de cloud. Appelez-nous. +1 (888) 896-7580 dès aujourd’hui.
- Lazarus Alliance, partenaire pour l'audit de certification FedRAMP, FISMA et NIST ; nous sommes prêts quand vous l'êtes !
ÉtatRAMP, fonctionnant comme GovRAMP Depuis son changement de nom en février 2025, cette organisation à but non lucratif (501(c)(6)) a été créée en 2021 afin de standardiser et de rationaliser l'évaluation, l'autorisation et la surveillance continue de la cybersécurité des offres de services cloud (CSO) pour les gouvernements des États, les collectivités locales, les tribus et les établissements d'enseignement (SLED) aux États-Unis. Elle s'inspire du modèle fédéral. FedRAMP Ce programme répond aux besoins spécifiques des gouvernements infranationaux en proposant un cadre « vérifier une fois, servir plusieurs » qui réduit la duplication dans les évaluations de sécurité, diminue les coûts pour les fournisseurs de services cloud (CSP) et permet une adoption plus rapide et plus sûre du cloud pour les entités du secteur public qui traitent des données sensibles comme les informations personnelles identifiables, les données financières et les informations sur les infrastructures critiques.
Le programme promeut les meilleures pratiques en matière de cybersécurité par le biais de l'élaboration de politiques, de l'éducation et de la collaboration entre les gouvernements, les fournisseurs de services de communication et les organismes d'évaluation tiers (3PAO). C'est non affilié à ou approuvé par FedRAMP ou le gouvernement fédéral américainToutefois, il est étroitement aligné sur les normes fédérales telles que NIST SP 800-53 Rev. 5 afin de garantir l'interopérabilité autant que possible. En décembre 2025, le programme GovRAMP avait gagné en popularité, plus de 23 États l'ayant rendu obligatoire ou reconnu.
Interet
- Pour les gouvernementsSimplifie les procédures d'approvisionnement en offrant une validation fiable et réutilisable des postures de sécurité des fournisseurs de services cloud, réduisant ainsi la prolifération des données et les cyber-risques tout en prenant en compte diverses normes spécifiques à chaque État.
- Pour les CSP: Fournit des attestations de conformité transférables, minimisant ainsi le temps, le coût et la complexité liés au respect des exigences fragmentées du SLED.
- Total: Renforce la cyber-résilience du secteur public face à la montée des menaces, en favorisant la confiance entre les fournisseurs du secteur privé et les entités gouvernementales.
Le programme StateRAMP a vu le jour en 2021 en réponse aux mesures fédérales. FedRAMP Fort de son succès, le programme a adapté son modèle aux environnements des collectivités territoriales où les agences manquaient de ressources pour mener des évaluations indépendantes complètes. Initialement axé sur la normalisation au niveau des États, il s'est depuis étendu aux institutions tribales et éducatives. Son changement de nom en 2025 pour GovRAMP reflète sa mission plus globale de « gouvernement », englobant non seulement les États, mais aussi les collectivités locales, les tribus et l'enseignement supérieur, sans toutefois faire double emploi avec le programme fédéral GovRAMP (un programme fédéral distinct à fort impact).
Niveaux d'autorisation
GovRAMP définit quatre niveaux d'impact principaux basés sur la norme NIST FIPS 199 (Faible : impact négatif limité ; Modéré : grave ; Élevé : grave/catastrophique), avec des contrôles issus de la publication spéciale NIST 800-53 rév. 5 et des surcouches spécifiques à GovRAMP. Les autorisations donnent lieu à des statuts tels que Prêt à fonctionner (auto-certification ou audit léger), Provisoire (équivalent P-ATO), ou Autorisé (ATO complet avec surveillance continue).
| Niveau d'impact | Contrôles de base (approximatifs) | Cas d'utilisation clés | Portée de réutilisation |
|---|---|---|---|
| Low | ~125 NIST 800-53 Contrôles bas | Données publiques/peu sensibles (par exemple, sites web généralistes, portails d'information publics) | Entités SLED à l'échelle nationale |
| Faible+ | Mode faible amélioré (~150 commandes) | Données à faible risque légèrement plus élevées (par exemple, outils d'administration de base ; spécifiques à GovRAMP) | Entités SLED à l'échelle nationale |
| Modérée | ~325 NIST 800-53 Contrôles modérés + superpositions | Données confidentielles (par exemple, informations personnelles, dossiers financiers/médicaux) | Entités SLED à l'échelle nationale |
| Haute | ~421 NIST 800-53 Contrôles et superpositions de niveau élevé | Données à haute sensibilité (par exemple, infrastructures critiques, application de la loi) | Entités SLED à l'échelle nationale |
| Core (Introduction prévue en mai 2025) | 60 commandes fondamentales de niveau modéré (cartographiées MITRE ATT&CK) | Validation préliminaire pour faire progresser les produits vers l'autorisation complète | Accès étendu à la préautorisation pour le SLED |
Processus d'évaluation
Les fournisseurs de services cloud (CSP) font l'objet d'audits indépendants réalisés par des organismes tiers accrédités (3PAO), tels que… Alliance LazareLes voies d’accès comprennent les autorisations parrainées par l’agence ou les autorisations provisoires, suivies d’une surveillance continue (par exemple, des analyses de vulnérabilité mensuelles, des rapports trimestriels).
Calendrier des audits d'autorisation GovRAMP : À quoi s'attendre avec Lazarus Alliance
GovRAMP (anciennement StateRAMP) est un cadre standardisé d'évaluation et d'autorisation des fournisseurs de services cloud (FSC) pour la fourniture de services cloud sécurisés aux administrations étatiques et locales. Bien qu'il soit étroitement aligné sur FedRAMP, il se concentre sur les marchés publics au niveau étatique, permettant des approbations plus rapides grâce aux autorisations réciproques. En tant qu'organisme d'évaluation tiers accrédité (3PAO) par A2LA et le bureau de gestion de projet GovRAMP, Lazarus Alliance se spécialise dans ces audits, en s'appuyant sur sa méthodologie du chemin critique, son approche proactive et des outils tels que la plateforme Continuum GRC ITAM pour optimiser le processus. Cette approche permet généralement de réduire de 46 % les délais d'évaluation traditionnels, rendant ainsi le parcours global, du lancement à l'obtention de l'autorisation d'exploitation (ATO), plus efficace.
Le processus d'autorisation complet GovRAMP s'étend généralement sur 12-18 mois Pour la plupart des fournisseurs de services cloud (FSC), cela dépend de la complexité du système, du niveau de base (modéré ou élevé) et de la préparation interne. Cependant, Lazarus Alliance insiste sur l'importance d'une analyse des écarts et d'une préparation précoces afin d'accélérer ce processus. Après l'autorisation, une surveillance continue (ConMon) est requise, comprenant des analyses de vulnérabilité mensuelles, des rapports trimestriels et des réévaluations annuelles pour maintenir la conformité.
Phases clés et calendrier
Voici le détail des phases typiques d'un partenariat avec Lazarus Alliance en tant que tiers accrédité (3PAO). Les délais indiqués sont basés sur leurs moyennes documentées pour les missions 2024-2025 et supposent une procédure d'autorisation d'exploitation (ATO) parrainée par l'agence (la voie la plus courante). Les procédures d'autorisation provisoire peuvent être plus rapides, mais nécessitent un examen par le comité d'approbation des brevets (JAB).
| phase | Description | Durée typique | Activités clés de l'Alliance Lazarus |
|---|---|---|---|
| 1. Décision et sélection du partenaire | Évaluez si GovRAMP correspond aux besoins de votre entreprise ; sélectionnez un organisme tiers d'organisation des services administratifs (3PAO) et un organisme parrain. | 1-2 mois | Les Cybervisors™ réalisent des consultations initiales (plusieurs jours d'analyse) afin de définir les limites du système, d'estimer les coûts, les délais et les ressources nécessaires. Ils signent ensuite le contrat et établissent la feuille de route. |
| 2. Analyse des écarts et examen de la conformité | Identifier les écarts par rapport aux contrôles de la norme NIST 800-53 Rev 5 (adaptés au référentiel GovRAMP). Examiner les politiques, les procédures et les contrôles critiques. | 1-2 mois | Analyse technique des vulnérabilités, de la pertinence des tests d'intrusion et de l'état des contrôles. Utilisez la plateforme ITAM pour la collecte automatisée de preuves afin d'établir rapidement un état des lieux de votre organisation. |
| 3. Évaluation de l'état de préparation | Simuler l'audit complet pour confirmer que les contrôles sont conçus et mis en œuvre efficacement. Génère un rapport d'évaluation de la préparation (REP). | 2-3 mois | Analyse complète des contrôles ; présentation des plans d’action et des jalons. La méthodologie de Lazarus permet de gagner du temps en se concentrant sur les étapes critiques, garantissant ainsi une progression rapide vers l’audit formel. |
| 4. Évaluation complète par 3PAO | Évaluation de sécurité indépendante, comprenant des entretiens, des tests et l'examen de la documentation. Génère un rapport d'évaluation de sécurité (SAR) et les documents justificatifs (par exemple, un plan de sécurité du système). | 3-6 mois | Audits sur site ou à distance avec accès ITAM 24h/24 et 7j/7 pour une collaboration optimale. Vérification de la conformité des offres SaaS, PaaS ou IaaS ; inclut des analyses de vulnérabilité et des tests d’intrusion. |
| 5. Examen du dossier d'autorisation et ATO | Soumettez le dossier à l'organisme parrain et à la plateforme GovRAMP pour examen. L'organisme délivre ensuite l'autorisation de transfert de fonds (ATO). | 2-3 mois | Lazarus facilite la préparation des dossiers et la correction des anomalies. Gain de temps de 46 % grâce à des outils proactifs. |
| 6. Surveillance continue (post-ATO) | Respect continu des règles pour conserver l'autorisation ; réévaluation annuelle requise. | En cours (démarre immédiatement) | Analyses mensuelles, rapports trimestriels et audits annuels via ITAM. Permet de conserver les pistes d'audit sans tracas de dernière minute. |
À quoi s'attendre pendant le processus
- Préparation et collaborationAttendez-vous à une forte implication de vos équipes internes (informatique, sécurité, conformité, etc.) pour la collecte de preuves. La solution ITAM SaaS de Lazarus Alliance automatise une grande partie de ce processus, offrant une transparence en temps réel et réduisant les tâches manuelles. Les réunions de lancement permettent de définir le périmètre d'autorisation et les contrôles critiques.
- Audits et testsLes évaluations comprennent l'examen de documents, des tests de contrôle, des entretiens et des analyses. L'approche proactive de Lazarus en matière de cybersécurité se traduit par une intervention directe permettant de résoudre les problèmes en temps réel et d'éviter ainsi les retards.
- Défis et atténuationsLes obstacles courants incluent les retards dans l'élaboration des plans d'action et de gestion (POA&M) ou les preuves incomplètes ; Lazarus les atténue grâce à des modèles, A.ITAMBot pour l'automatisation et son expertise des environnements de cloud hybride. Les coûts globaux et les exigences internes sont clairement définis en amont par Cybervisors™.
- Les résultatsUne fois votre certification ATO obtenue, votre fiche de service apparaît sur la plateforme GovRAMP, vous donnant accès aux marchés publics. Les certifications sont valables un an et leur renouvellement est garanti par un suivi continu.
Pour des conseils personnalisés, contactez Lazarus Alliance au +1 (888) 896-7580.
Questions fréquemment posées
Qu’est-ce que StateRAMP et qui doit obtenir la certification StateRAMP ?
ÉtatRAMP Le programme StateRAMP (State Risk and Authorization Management Program) est un cadre de cybersécurité standardisé qui permet aux administrations étatiques et locales d'évaluer et d'autoriser rapidement et de manière cohérente les fournisseurs de services cloud. Tout fournisseur de services cloud proposant des services aux entités étatiques, locales, éducatives (SLED) ou tribales doit obtenir au minimum l'autorisation StateRAMP de niveau modéré (ou supérieur) pour figurer sur la liste des produits approuvés StateRAMP.
En quoi StateRAMP diffère-t-il de FedRAMP ?
StateRAMP s'inspire de FedRAMP, mais est adapté aux administrations étatiques et locales. Si FedRAMP est obligatoire pour les marchés publics fédéraux, StateRAMP est de plus en plus exigé ou privilégié par les États (par exemple, le Texas, la Caroline du Nord, l'Ohio, le Colorado et l'Illinois). StateRAMP propose trois niveaux d'impact (faible, modéré et élevé) et reconnaît le niveau modéré ou supérieur de FedRAMP par réciprocité.
Quels sont les niveaux d'autorisation dans StateRAMP ?
- StateRAMP Ready (pré-évaluation)
- StateRAMP progresse (en cours)
- Autorisé par StateRAMP – Niveau bas
- Autorisé par StateRAMP – Modéré (le plus courant)
- Autorisation StateRAMP – Niveau élevé. La plupart des agences étatiques exigent au minimum une autorisation de niveau modéré pour les systèmes traitant des données sensibles ou personnelles.
Quels services Lazarus Alliance propose-t-elle pour la conformité au programme StateRAMP ?
En tant qu'organisme tiers accrédité (3PAO), Lazarus Alliance propose des services StateRAMP-GovRAMP de bout en bout pour les offres cloud publiques, privées, communautaires et hybrides (SaaS, PaaS, IaaS). Ces services comprennent des évaluations de préparation, des audits 3PAO officiels, des analyses de justification commerciale, des analyses d'écart de conformité et l'élaboration de feuilles de route avec son équipe de cyber-conseillers StateRAMP-GovRAMP™. ITAM de Continuum GRC Plateforme de gestion de la conformité efficace 24h/24 et 7j/7, aidant les fournisseurs de services de communication à obtenir des autorisations plus rapidement et à remporter des contrats auprès des administrations publiques.
Quel est le processus d'évaluation StateRAMP avec Lazarus Alliance ?
Le processus débute par une analyse de justification commerciale afin d'évaluer l'adéquation, les coûts, les délais et les améliorations nécessaires. Vient ensuite une analyse de conformité qui identifie les lacunes, vérifie les limites et évalue les contrôles. Ceci conduit à une évaluation de préparation pour une progression rapide vers l'autorisation d'exploitation (ATO), suivie de l'évaluation complète par un organisme tiers (3PAO) pour une autorisation parrainée par l'agence ou une autorisation provisoire. Un suivi continu (par exemple, des analyses mensuelles, des rapports trimestriels) garantit une conformité permanente. La méthodologie du chemin critique de Lazarus Alliance réduit le temps d'évaluation de 46 % par rapport aux approches traditionnelles.
Quels sont les principaux avantages de l'obtention de l'autorisation StateRAMP ?
Pour les fournisseurs de services cloud (CSP), StateRAMP fournit des certifications transférables qui réduisent les coûts et les délais de mise en conformité en minimisant les efforts redondants face aux exigences fragmentées des administrations publiques. Les gouvernements bénéficient ainsi d'une simplification des procédures d'achat, d'une réduction des cyber-risques et de validations de sécurité réutilisables pour les données sensibles. Globalement, StateRAMP renforce la confiance, accélère l'adoption du cloud et améliore la résilience, grâce aux outils proactifs de Lazarus Alliance qui préviennent les menaces et évitent l'invalidation des certifications ou les hausses de prix.
Comment mon organisation peut-elle déterminer si StateRAMP nous convient ?
Les experts Cybervisors™ de Lazarus Alliance réalisent une première analyse gratuite de la justification commerciale afin d'évaluer l'adéquation de votre service cloud aux objectifs StateRAMP. Cette analyse comprend l'évaluation des coûts du programme, des échéanciers, des ressources internes nécessaires, des améliorations de sécurité et des éventuelles modifications architecturales. Elle est idéale pour les fournisseurs de services cloud ciblant les marchés SLED et gérant des données à faible ou fort impact, notamment si vous êtes déjà engagés dans le programme StateRAMP ou si vous avez déjà… FedRAMP Conformité pour l'interopérabilité.
Comment puis-je commencer à utiliser les services StateRAMP de Lazarus Alliance ?
Contactez Lazarus Alliance au +1 (888) 896-7580 pour planifier une consultation ou une analyse de votre justification commerciale. Leur équipe vous accompagnera tout au long des phases de préparation, d'impératif et d'évaluation, vous garantissant ainsi un processus d'autorisation simplifié. En tant que partenaire 3PAO, ils privilégient l'optimisation des coûts et la conformité proactive pour vous aider à obtenir rapidement des contrats SLED.
Lazarus Alliance, en tant que 3PAO StateRAMP-GovRAMP, fournit des services d'audit, de conseil et d'évaluation StateRAMP, GovRAMP, FedRAMP, FISMA et NIST pour les offres de services cloud publics, privés, communautaires et hybrides, y compris les logiciels en tant que service (SaaS), les plateformes en tant que service (PaaS) et l'infrastructure en tant que service (IaaS).
Chez Lazarus Alliance, la proactivité n'est pas seulement notre marque de fabrique, c'est notre promesse de protéger votre avenir avant même que les menaces n'émergent. Michael Peters, PDG et fondateur
Tirer parti du Continuum GRC Machine d'audit informatique, Trio de sécurité méthodologie et la Machine à politiquesLazarus Alliance fournit des normes internationales reconnues comme «Pratiques d'excellence« pour l’élaboration de normes et de contrôles de sécurité organisationnelle qui soutiennent les certifications et les évaluations d’audit de conformité basées sur le programme fédéral de gestion des risques et d’autorisation. »
Des références sur lesquelles vous pouvez compter
Numéro de certification accrédité ISO/IEC 2 de l'American Association for Laboratory Accreditation (A17020LA) 3822.01
Parlez avec l'un de nos experts
Nos équipes Lazarus Alliance Cybervisor™ possèdent une vaste expérience dans la réalisation de milliers d'évaluations pour des organisations fournissant des services à des clients du monde entier.
Nous sommes là pour répondre à toutes vos questions.
Avantages de l'autorisation StateRAMP
Pour les fournisseurs de services cloud (CSP)
- Une seule certification ouvre des dizaines de marchés étatiques et locaux : Plus de 23 États (et ce nombre ne cesse d'augmenter) exigent désormais l'autorisation StateRAMP ou la recommandent fortement pour les achats de services cloud. Une seule autorisation suffit pour satisfaire aux exigences de la Californie, du Texas, de New York, de l'Illinois, de la Caroline du Nord, de la Virginie et de nombreux autres États, sans avoir à procéder à une évaluation complète pour chaque juridiction.
- Réduction spectaculaire des frictions commerciales et du délai du cycle d'approvisionnement : Les produits référencés StateRAMP figurent sur la liste publique des produits autorisés (APL). Les agences SLED peuvent ainsi s'affranchir des longs examens de sécurité individuels et délivrer des contrats ou des autorisations d'exploitation (ATO) en quelques semaines au lieu de plusieurs mois ou années.
- Avantage concurrentiel dans les appels d'offres : De nombreux appels d'offres accordent désormais des points d'évaluation supplémentaires ou rendent la certification StateRAMP obligatoire. Les fournisseurs agréés obtiennent systématiquement de meilleurs résultats que leurs concurrents non agréés.
- Réduction des coûts globaux de conformité à long terme : « Évaluer une seule fois, réutiliser plusieurs fois » élimine le besoin de dizaines d'audits, de questionnaires et de progiciels de sécurité personnalisés spécifiques à chaque État.
- Tire parti des ressources existantes FedRAMP Travailler : Si vous possédez déjà la certification FedRAMP Moderate ou High, l'écart avec la certification StateRAMP Moderate ou High est relativement faible, ce qui vous permet d'obtenir rapidement et à moindre coût une deuxième certification ouvrant l'accès à l'ensemble du marché SLED.
- À l'épreuve du futur : L'adoption s'accélère rapidement. Les entreprises pionnières s'assurent le statut de fournisseur privilégié avant même que cela ne devienne une obligation (comme ce fut le cas avec FedRAMP dans le secteur fédéral).
Pour les agences étatiques, locales, tribales et éducatives (SLED)
- Adoption du cloud plus rapide et moins risquée : Privilégiez les offres présélectionnées et surveillées en permanence plutôt que de réaliser des évaluations de risques individuelles qui nécessitent d'importantes ressources.
- Un niveau de sécurité supérieur à moindre coût : Des contrôles normalisés et validés par un tiers (NIST 800-53 Rev. 5) avec une surveillance continue offrent une meilleure protection que celle que de nombreuses agences pourraient obtenir par elles-mêmes.
- Cohérence entre les juridictions : Permet le partage sécurisé des données et la collaboration entre les États, les comtés, les villes et les établissements d'enseignement utilisant les mêmes fournisseurs de confiance.
- Conforme aux exigences législatives et d'audit : Conforme aux lois étatiques, aux politiques des DSI et aux exigences des auditeurs en matière de diligence raisonnable documentée lors de l'utilisation de services cloud.