Die FedRAMP-Autorisierung erfordert strenge Sicherheitstests – monatliche Schwachstellenscans, jährliche Penetrationstests und kontinuierliche Überwachung. KENSAI unterstützt Cloud Service Provider dabei, mit automatisierten Scans, die den PMO-Anforderungen entsprechen, eine FedRAMP ATO zu erlangen und aufrechtzuerhalten.
FedRAMP-Bewertung starten → FedRAMP-Berichterstattung ansehenFedRAMP basiert auf NIST SP 800-53 und verpflichtet Cloud Service Provider (CSPs), bestimmte Sicherheitskontrollen mit kontinuierlicher Überwachung umzusetzen. Die Anforderungen an Sicherheitstests unterscheiden sich je nach Auswirkungsstufe:
| FedRAMP-Stufe | Schwachstellenscans | Penetrationstests | ConMon-Häufigkeit |
|---|---|---|---|
| Niedrig | Monatlich | Jährlich | Monatlich |
| Moderat | Monatlich (Betriebssystem, Datenbank, Webanwendung) | Jährlich | Monatlich |
| Hoch | Monatlich (alle Komponenten) | Jährlich | Monatlich + bei Bedarf |
Monatliche authentifizierte Schwachstellenscans von Betriebssystemen, Datenbanken und Webanwendungen. Die Scans müssen aktuelle CVE-Daten verwenden. Die Ergebnisse müssen innerhalb festgelegter Fristen analysiert werden.
Jährliche Penetrationstests durch eine von FedRAMP anerkannte unabhängige Prüforganisation (3PAO) oder einen gleichwertig qualifizierten Prüfer. Alle Komponenten innerhalb der Autorisierungsgrenze müssen abgedeckt werden.
Kritische Schwachstellen: 30 Tage. Schwachstellen mit hohem Schweregrad: 30 Tage. Moderate Schwachstellen: 90 Tage. Schwachstellen mit niedrigem Schweregrad: 180 Tage. Alle Fristen werden bei ConMon-Prüfungen strikt durchgesetzt.
Für alle Komponenten sind Konfigurationen gemäß USGCB/CIS-Benchmarks erforderlich. Schwachstellenscans müssen überprüfen, ob die Konfigurationen weiterhin konform sind.
💡 FedRAMP Rev5 (2024): FedRAMP wurde 2024 auf NIST SP 800-53 Rev5 aktualisiert. Zu den wichtigsten Änderungen gehören neue Kontrollen für das Lieferketten-Risikomanagement (SR-Familie), erweiterte Cloud-spezifische Leitlinien und aktualisierte Bewertungsverfahren. Bestehende Autorisierungen müssen innerhalb eines mit der Behörde vereinbarten Zeitplans umgestellt werden.
Nach der ersten Autorisierung stellt ConMon viele CSPs vor Schwierigkeiten. Die monatlichen Nachweise umfassen in der Regel:
Werden die monatlichen ConMon-Pakete nicht fristgerecht eingereicht, kann dies eine Überprüfung und mögliche Aufhebung der ATO auslösen – ein katastrophales Ergebnis für CSPs mit Einnahmen aus dem Bundesgeschäft.
Die FedRAMP-Scananforderungen sind spezifischer als bei den meisten Compliance-Frameworks:
Automatisierte monatliche Scans aller FedRAMP-Komponenten innerhalb der Autorisierungsgrenze einschließlich Planung, Ausführung und fristgerechter Bereitstellung der Berichte zu den ConMon-Terminen.
Scans von Windows, Linux und führenden Datenbankplattformen mit Zugangsdaten erfüllen die FedRAMP-Anforderungen gemäß RA-5 an authentifizierte Scans.
Exportieren Sie Befunde direkt in das FedRAMP-POA&M-Format (Excel/CSV). Verfolgen Sie den Behebungsstatus und die Fristen gemäß den FedRAMP-SLAs.
Deckt die Rev5-Anforderungen an das Scannen von Container-Images für Kubernetes und containerbasierte Architekturen ab, die in modernen FedRAMP-Autorisierungsgrenzen üblich sind.
KENSAI verwendet die NVD und den CISA-KEV-Katalog und erfüllt damit die FedRAMP-Anforderungen an die Nutzung aktueller Schwachstellendatenbanken.
Automatisierte Erstellung monatlicher ConMon-Pakete einschließlich Scanergebnissen, KPIs und Trendanalysen in den von FedRAMP erwarteten Formaten.
KENSAI bietet die automatisierten Schwachstellenscans, die ConMon-Berichterstattung und die POA&M-Nachverfolgung, die für FedRAMP-Autorisierungen erforderlich sind. Reduzieren Sie den operativen Aufwand der monatlichen ConMon-Prozesse und verbessern Sie gleichzeitig Ihre Sicherheitslage.
FedRAMP-Bewertung starten → Mit einem FedRAMP-Experten sprechen