Хронология авторизации GovRAMP: ускоренная процедура ATO для Lazarus Alliance

StateRAMP, действуя как GovRAMP После ребрендинга в феврале 2025 года, организация является некоммерческой организацией с членским взносом 501(c)(6), созданной в 2021 году для стандартизации и оптимизации оценки кибербезопасности, авторизации и непрерывного мониторинга облачных сервисов (CSO) для государственных, местных, племенных и образовательных органов власти (SLED) в США. Созданная по образцу федеральной FedRAMP Программа учитывает уникальные потребности субнациональных органов власти, предоставляя структуру «проверь один раз, обслужи многих», которая уменьшает дублирование оценок безопасности, снижает затраты поставщиков облачных услуг (CSP) и обеспечивает более быстрое и безопасное внедрение облака для организаций государственного сектора, обрабатывающих конфиденциальные данные, такие как персональные данные, финансовые записи и критически важная информация об инфраструктуре.

Программа способствует продвижению передового опыта в области кибербезопасности посредством разработки политики, обучения и сотрудничества между правительствами, поставщиками услуг связи и сторонними организациями по оценке (3PAO). это не связан и не одобрен FedRAMP или федеральное правительство США, но он тесно согласуется с федеральными стандартами, такими как NIST SP 800-53 Rev. 5, чтобы обеспечить совместимость везде, где это возможно. По состоянию на декабрь 2025 года программа GovRAMP получила широкое распространение: более 23 штатов ввели её в действие или признали.

Цель

Для правительств: упрощает закупки, предлагая надежную, многоразовую проверку состояния безопасности CSP, сокращая «разрастание данных» и киберриски, а также учитывая различные стандарты, характерные для конкретных штатов.
Для поставщиков услуг связи: Предоставляет передаваемые учетные данные о соответствии, сводя к минимуму время, стоимость и сложность выполнения фрагментированных требований SLED.
В общем: Повышает киберустойчивость государственного сектора на фоне растущих угроз, укрепляя доверие между поставщиками частного сектора и государственными структурами.

StateRAMP появился в 2021 году как ответ на федеральные FedRAMP Успех программы заключается в адаптации её модели к условиям SLED, где агентства не имели ресурсов для проведения полноценной независимой оценки. Изначально программа была сосредоточена на стандартизации на уровне штатов, а затем расширилась, включив в неё племенные и образовательные учреждения. Ребрендинг 2025 года на GovRAMP отражает её более широкую «общегосударственную» миссию, охватывающую не только штаты, но и местный, племенной и высший образовательный секторы, без дублирования федеральной программы GovRAMP (отдельной федеральной высокоэффективной программы).

Уровни авторизации

GovRAMP определяет четыре основных уровня воздействия на основе стандарта NIST FIPS 199 (низкий: ограниченное негативное воздействие; средний: серьёзное; высокий: серьёзное/катастрофическое) с элементами управления из стандарта NIST SP 800-53 Rev. 5 и специфичными для GovRAMP оверлейными настройками. После авторизации присваиваются следующие статусы: Готовый (самостоятельная проверка или облегченный аудит), Предварительный (эквивалент P-ATO), или Уполномоченный (полный АТО с постоянным мониторингом).

Уровень воздействия	Базовые контроли (приблизительно)	Ключевые случаи использования	Область повторного использования
Низкий	~125 NIST 800-53 Низкий контроль	Публичные/низкоконфиденциальные данные (например, общие веб-сайты, публичные информационные порталы)	SLED-организации по всей стране
Низкий+	Улучшенный низкий (~150 элементов управления)	Немного повышенный уровень данных с низким уровнем риска (например, базовые инструменты администрирования; уникально для GovRAMP)	SLED-организации по всей стране
Средняя	~325 NIST 800-53 Умеренный контроль + наложения	Конфиденциальные данные (например, личные данные, финансовые/медицинские записи)	SLED-организации по всей стране
Высокий	~421 NIST 800-53 Высокие элементы управления + накладки	Высококонфиденциальные данные (например, критическая инфраструктура, правоохранительные органы)	SLED-организации по всей стране
Основные (Вступление, май 2025 г.)	60 основных умеренных элементов управления (сопоставлены MITRE ATT&CK)	Валидация начального уровня для продвижения продуктов к полной авторизации	Широкий доступ к предварительной авторизации для SLED

Процесс оценки

Поставщики услуг связи проходят независимые аудиты аккредитованных 3PAO, таких как Альянс Лазаря. Пути включают спонсируемые агентством или временные разрешения, за которыми следует постоянный мониторинг (например, ежемесячное сканирование уязвимостей, ежеквартальные отчеты).

Хронология аудита авторизации GovRAMP: чего ожидать от Lazarus Alliance

GovRAMP (ранее StateRAMP) — это стандартизированная система оценки и авторизации поставщиков облачных услуг (CSP) для предоставления безопасных облачных сервисов государственным и местным органам власти. Она тесно связана с FedRAMP, но фокусируется на закупках на уровне штата, что позволяет ускорить процесс утверждения благодаря взаимной авторизации. Lazarus Alliance, аккредитованный A2LA и Офисом управления проектами (PMO) GovRAMP как независимая организация по оценке (3PAO), специализируется на таких аудитах, используя свою «методологию критического пути», проактивную философию и такие инструменты, как платформа Continuum GRC ITAM, для оптимизации процесса. Такой подход обычно сокращает традиционные сроки оценки на 46%, делая весь процесс от начала до получения разрешения на эксплуатацию (ATO) более эффективным.

Полный процесс авторизации GovRAMP обычно охватывает 12-18 месяцев Для большинства поставщиков коммуникационных услуг (CSP) это зависит от сложности системы, базового уровня (средний или высокий) и внутренней готовности. Однако Lazarus Alliance делает акцент на раннем анализе пробелов и готовности для ускорения этого процесса. После авторизации требуется непрерывный мониторинг (ConMon), включающий ежемесячное сканирование уязвимостей, ежеквартальные отчёты и ежегодные переоценки для поддержания статуса.

Ключевые этапы и временная шкала

Ниже приведено описание типичных этапов сотрудничества с Lazarus Alliance в качестве вашего третьего партнера по аудиту (3PAO). Сроки основаны на задокументированных средних показателях для проектов 2024–2025 годов и предполагают спонсируемый агентством путь ATO (наиболее распространенный путь). Пути предварительной авторизации могут быть быстрее, но требуют рассмотрения JAB.

Фаза	Описание	Типичная продолжительность	Основные направления деятельности Lazarus Alliance
1. Принятие решения и выбор партнера	Оцените, соответствует ли GovRAMP потребностям вашего бизнеса; выберите 3PAO и агентство-спонсора.	1-2 месяцев	Cybervisors™ проводит предварительные консультации (анализ занимает несколько дней) для определения границ системы, оценки стоимости, сроков и потребностей в ресурсах. Подписание договора и разработка дорожной карты.
2. Анализ пробелов и проверка соответствия	Выявите отклонения от контрольных показателей NIST 800-53 Rev 5 (адаптированных к базовому уровню GovRAMP). Проверьте политики, процедуры и важные контрольные показатели.	1-2 месяцев	Технический анализ уязвимостей, применимости тестирования на проникновение и состояния контроля. Используйте платформу ITAM для автоматизированного сбора данных, чтобы быстро оценить состояние вашей организации.
3. Оценка готовности	Моделирование полного аудита для подтверждения эффективности разработки и внедрения средств контроля. Создание отчёта об оценке готовности (RAR).	2-3 месяцев	Полный обзор средств контроля; рассмотрение планов действий и контрольных точек (POA&M). Методология Lazarus сокращает время, концентрируясь на критических путях, обеспечивая быстрый переход к формальному аудиту.
4. Полная оценка 3PAO	Независимая оценка безопасности, включая интервью, тестирование и проверку документации. Формирует отчёт об оценке безопасности (SAR) и сопутствующие материалы (например, SSP — план безопасности системы).	3-6 месяцев	Аудиты на месте и удаленно с круглосуточным доступом к ITAM для эффективного взаимодействия. Проверка соответствия SaaS, PaaS и IaaS-решений; включает сканирование на уязвимости и тестирование на проникновение.
5. Проверка пакета авторизации и ATO	Отправьте пакет на рассмотрение в агентство-спонсор и на торговую площадку GovRAMP. Агентство выдает ATO.	2-3 месяцев	Lazarus поддерживает подготовку пакетов и устранение неполадок. Быстрее благодаря сокращению времени на 46% благодаря проактивным инструментам.
6. Непрерывный мониторинг (после АТО)	Постоянное соблюдение требований для сохранения разрешения; требуется ежегодная переоценка.	Продолжается (начинается немедленно)	Ежемесячное сканирование, ежеквартальная отчётность и ежегодный аудит через ITAM. Помогает вести аудиторские журналы без лишних хлопот в последнюю минуту.

Чего ожидать во время процесса

Подготовка и сотрудничество: Ожидайте активного участия ваших внутренних отделов (например, ИТ, безопасности, комплаенса) в сборе доказательств. Решение ITAM SaaS от Lazarus Alliance автоматизирует большую часть этого процесса, обеспечивая прозрачность в режиме реального времени и сокращая ручную работу. Стартовые совещания посвящены согласованию границ полномочий и важных элементов управления.
Аудиты и Тестирование: Оценка включает в себя проверку документов, контрольное тестирование, собеседования и сканирование. «Проактивный» подход Lazarus к кибербезопасности подразумевает практическое участие, помогающее устранять проблемы в режиме реального времени, избегая задержек.
Проблемы и смягчения: К распространённым препятствиям относятся задержки POA&M или неполные данные — Lazarus решает их с помощью шаблонов, A.ITAMBot для автоматизации и своего опыта работы с гибридными облачными средами. Общие затраты и внутренние требования заранее определяются компанией Cybervisors™.
Результаты: После ATO ваши услуги появятся на торговой площадке GovRAMP, открывая доступ к государственным контрактам. Сертификаты действительны в течение 1 года и подлежат постоянному мониторингу, гарантирующему их продление.

Для получения индивидуальной консультации свяжитесь с Lazarus Alliance по телефону +1 (888) 896-7580.

FAQ

Что такое StateRAMP и кто должен получить сертификацию StateRAMP?

StateRAMP (Программа управления государственными рисками и авторизацией) — это стандартизированная система кибербезопасности, которая позволяет государственным и местным органам власти быстро и согласованно оценивать и авторизовать поставщиков облачных услуг. Любой поставщик облачных услуг, предлагающий услуги государственным, местным, образовательным (SLED) или племенным организациям, должен получить как минимум средний уровень авторизации StateRAMP (или выше) для включения в список одобренных продуктов StateRAMP.

Чем StateRAMP отличается от FedRAMP?

StateRAMP создан по образцу FedRAMP, но адаптирован для органов власти штатов и местных органов власти. Хотя FedRAMP является обязательным для федеральных контрактов, StateRAMP всё чаще требуется или предпочтительнее для штатов (например, Техас, Северная Каролина, Огайо, Колорадо, Иллинойс). StateRAMP предлагает три уровня воздействия (низкий, средний, высокий) и принимает FedRAMP уровня «умеренный» или выше в качестве взаимного.

Какие уровни авторизации существуют в StateRAMP?

Готовность к StateRAMP (предварительная оценка)
StateRAMP Прогресс (в процессе)
Авторизовано StateRAMP – Низкий
Утверждено StateRAMP – умеренно (наиболее распространено)
Авторизация StateRAMP — высокая. Большинству государственных учреждений требуется как минимум средняя авторизация для систем, обрабатывающих конфиденциальные или персональные данные.

Какие услуги предоставляет Lazarus Alliance для обеспечения соответствия требованиям StateRAMP?

Будучи аккредитованной организацией 3PAO, Lazarus Alliance предлагает комплексные услуги StateRAMP-GovRAMP для публичных, частных, коллективных и гибридных облачных решений (SaaS, PaaS, IaaS). Это включает в себя оценку готовности, официальные аудиты 3PAO, анализ бизнес-обоснования, анализ пробелов в соблюдении требований и разработку дорожной карты с помощью команды StateRAMP-GovRAMP Cybervisors™. Они используют ITAM Continuum GRC Платформа для эффективного управления соответствием требованиям 24/7, помогающая поставщикам коммуникационных услуг быстрее получать разрешения и выигрывать бизнес SLED.

Что представляет собой процесс оценки StateRAMP в Lazarus Alliance?

Процесс начинается с анализа бизнес-обоснования для оценки соответствия, стоимости, сроков и необходимых улучшений. Затем проводится анализ соответствия требованиям, выявляются пробелы, проверяются границы и оцениваются средства контроля. Это приводит к оценке готовности для быстрого перехода к ATO, а затем к полной оценке 3PAO для получения спонсируемого агентством или временного разрешения. Постоянный мониторинг (например, ежемесячное сканирование, ежеквартальные отчеты) обеспечивает постоянное соблюдение требований. Методология критического пути Lazarus Alliance сокращает время оценки на 46% по сравнению с традиционными подходами.

Каковы основные преимущества получения разрешения StateRAMP?

Для поставщиков коммуникационных услуг StateRAMP предоставляет переносимые учетные данные, которые сокращают затраты и время на соблюдение требований, сводя к минимуму дублирование действий по разрозненным требованиям SLED. Государственные органы получают упрощенные закупки, снижение киберрисков и возможность многократного использования валидации безопасности для конфиденциальных данных. В целом, это укрепляет доверие, ускоряет внедрение облачных технологий и повышает устойчивость благодаря проактивным инструментам Lazarus Alliance, предотвращающим угрозы и позволяющим избежать аннулирования сертификации или повышения цен.

Как моя организация может определить, подходит ли нам StateRAMP?

Cybervisors™ от Lazarus Alliance проводит бесплатный первичный анализ бизнес-обоснования, чтобы оценить соответствие вашего облачного сервиса целям StateRAMP. Это включает в себя оценку стоимости программы, сроков, необходимых внутренних ресурсов, улучшений безопасности и любых изменений в архитектуре. Этот подход идеально подходит для поставщиков коммуникационных услуг, ориентированных на рынки SLED, обрабатывающие данные с низким и высоким уровнем воздействия, особенно если вы уже работаете над этим. FedRAMP соответствие требованиям по совместимости.

Как начать работу с Lazarus Alliance для услуг StateRAMP?

Свяжитесь с Lazarus Alliance по телефону +1 (888) 896-7580, чтобы записаться на консультацию или проверку бизнес-обоснования. Их команда проведет вас через этапы подготовки, готовности и оценки, обеспечивая быструю и эффективную процедуру получения разрешения. Как партнерская 3PAO, Lazarus Alliance уделяет первостепенное внимание экономической эффективности и проактивному соблюдению требований, чтобы помочь вам быстро получить контракты SLED.

Lazarus Alliance, как StateRAMP-GovRAMP 3PAO, предоставляет услуги аудита, консультирования и оценки StateRAMP, GovRAMP, FedRAMP, FISMA и NIST для государственных, частных, общественных и гибридных облачных сервисов, включая программное обеспечение как услугу (SaaS), платформу как услугу (PaaS) и инфраструктуру как услугу (IaaS).

В Lazarus Alliance проактивность — это не просто наша визитная карточка, это наше обещание защитить ваше будущее еще до возникновения угроз. Майкл Питерс, генеральный директор и основатель

Используя Континуум GRC Машина ИТ-аудита, Безопасность Трифекта Методология и Политическая машинаLazarus Alliance предоставляет международные стандарты, которые признаны как «Лучшие практики» для разработки стандартов безопасности организации и средств контроля, поддерживающих сертификацию и оценку аудита соответствия на основе Федеральной программы управления рисками и авторизацией.

Репутация, на которую вы можете положиться

Американская ассоциация по аккредитации лабораторий (A2LA) аккредитованный номер сертификата ISO/IEC 17020 3822.01

Поговорите с одним из наших экспертов

Наши команды Lazarus Alliance Cybervisor™ имеют опыт проведения тысяч оценок для организаций, предоставляющих услуги клиентам по всему миру.

Мы здесь, чтобы ответить на любые ваши вопросы.

Если вы видите это сообщение, а не форму регистрации, вам все равно необходимо подтвердить свой адрес электронной почты.

Если вы получили это сообщение по ошибке, пожалуйста, свяжитесь с нами по телефону, указанному на нашем сайте, для получения помощи.

Преимущества авторизации StateRAMP

Для поставщиков облачных услуг (CSP)

Единый сертификат открывает доступ к десяткам государственных и местных рынков: Более 23 штатов (и их число растёт) уже требуют или настоятельно рекомендуют получать разрешение StateRAMP для закупок облачных технологий. Одного разрешения достаточно для удовлетворения требований Калифорнии, Техаса, Нью-Йорка, Иллинойса, Северной Каролины, Вирджинии и многих других штатов, без необходимости повторной полной оценки для каждой юрисдикции.
Значительное сокращение затрат на продажи и времени цикла закупок: Предложения, включенные в список StateRAMP, включены в публичный список авторизованных продуктов (APL). Агентства SLED могут обходить длительные индивидуальные проверки безопасности и заключать контракты или ATO за несколько недель, а не месяцев или лет.
Конкурентное преимущество в запросах предложений: Многие запросы предложений теперь присуждают дополнительные баллы или делают StateRAMP обязательным требованием. Авторизованные поставщики услуг регулярно опережают неавторизованных конкурентов.
Снижение общих затрат на соблюдение требований в долгосрочной перспективе: Принцип «Оцени один раз, используй повторно» устраняет необходимость в десятках отдельных аудитов, анкет и специальных пакетов безопасности для каждого штата.
Использует существующие FedRAMP Работать: Если у вас уже есть сертификат FedRAMP Moderate или High, разрыв до StateRAMP Moderate или High относительно невелик, что дает вам возможность быстро и экономически эффективно получить вторую сертификацию, открывающую доступ ко всему рынку SLED.
Будущее: Внедрение стремительно набирает обороты. Первопроходцы закрепляют за собой статус привилегированного поставщика ещё до того, как это требование станет обязательным (аналогично тому, как это произошло с FedRAMP в федеральном секторе).

Для государственных, местных, племенных и образовательных агентств (SLED)

Более быстрое и менее рискованное внедрение облака: Доверяйте предварительно проверенным и постоянно отслеживаемым предложениям вместо проведения ресурсоемких индивидуальных оценок рисков.
Более высокий уровень безопасности при меньших затратах: Стандартизированные, проверенные третьей стороной средства контроля (NIST 800-53 Rev. 5) с постоянным мониторингом обеспечивают лучшую защиту, чем могли бы обеспечить многие агентства самостоятельно.
Последовательность в разных юрисдикциях: Обеспечивает безопасный обмен данными и сотрудничество между штатами, округами, городами и образовательными учреждениями с использованием одних и тех же надежных поставщиков.
Соответствует законодательным и аудиторским требованиям: Соответствует государственным законам, политикам CIO и требованиям аудиторов к документированному комплексному анализу при использовании облачных сервисов.