「もしどの省庁もベース仕様を受け入れず、全てがFedRAMP“プラスα”を求めることになれば、それら全部に追加的コストを支払わなければならなくなるだろう。それが果たして有益なことだろうか」（カーバー氏）

　SANS Instituteのリサーチディレクター、アラン・パルマー氏は、FedRAMPに対してかなりに批判的だ。このプログラムが機会の損失につながると見ているからだ。

　「うまくやっていれば、FedRAMPは政府がサイバーセキュリティを正しい方向へリードするブレークスルーになったはずだ」と同氏は電子メールで述べる。「FedRAMPにはそのチャンスがあった。なぜなら政府調達という力関係があるからだ。FedRAMPのセキュリティルールに適合しないベンダーは、FedRAMPサービスを提供できない。正しいルールを設定していれば、政府はセキュリティを劇的に改善し、効果的なセキュリティに要するコストを低く抑えることができただろう」

　しかし政府は、効果的なセキュリティを実現するためのよく知られた6つの方策、すなわち、統一されたセキュリティ構成や日常的・継続的なモニタリング、リスク緩和などを含まないガイダンスを出してそのチャンスを逸した。パルマー氏は続ける。「政府のガイダンスは、その6つ（の方策）を実装しなくても容易に作成できるリポートを書くように求めている。下手をすればFISMAへの後退であり、全く意味がない」

FedRAMPの要素

　米連邦政府は、セキュリティコントロール、運用コンセプト、綱領などの発行を含む一連のステップを完了した後、2012年6月にはFedRAMPを実施できるとみている。

　連邦政府は2012年1月9日、セキュリティコントロールの要求仕様をリリースした。それらはNIST Special Publication 800-53 Revision 3（PDF）をベースにして、マルチテナントや共有リソースプーリングなど、クラウド固有のリスクに対応するコントロールを含んでいる。

　FedRAMPのキーコンポーネントは、クラウド業者のセキュリティ実装を評価するサードパーティーアセスメント組織（3PAO）だ。FedRAMPプログラム管理局は第2四半期にも、FedRAMP認定3PAOの初期リストを公開する。

　FedRAMPは効果的なセキュリティを実装しないリポートベースのコンプライアンスプログラムにすぎないとの批判に、FedRAMPプログラム管理局の広報担当は、「FedRAMPはNIST SP 800-53セキュリティコントロールの実装をベースとするクラウドソリューションを評価、認証し、それらは認定3PAOによって客観的に検証される」と、電子メールで反論する。「認証後も、FedRAMPは各省庁やDHS（国土安全保障省）を連携させ、クラウドソリューションを継続的にモニタリングし、リアルタイムデータと自動化にフォーカスし、ほぼリアルタイムでクラウドソリューションのリスクを監視する能力を省庁に提供する」

　フィルポット氏によると、省庁にとって認定3PAOは、クラウドサービス業者の専門技術やクラウドセキュリティを評価する上で大きな力になるという。同氏は、FedRAMPセキュリティコントロールの最終リリースを歓迎するとともに、CSAでも早急に「Cloud Controls Matrix」に適合させ、クラウド業界の導入を支援するとしている。

　米CSCは、自社のクラウドサービスを政府の認証および認定プロセスに対応させ、「FedRAMPに向けて万全の体制を整えた」と、北米公共セクタCTOのヨゲシュ・カーナ氏は述べる。この技術業者は最近、DHS向けにIaaSおよびクラウドベースの開発、テストサービスを導入した。

　「われわれはDHSと連携し、自社のシステムを包括的なC&A（証明および資格認定）プロセスに適応させた」と同氏は語る。「われわれは800-53の目的を理解している。連邦政府をリードする省庁の1つと戦略的なパートナー関係を結ぶ企業として、われわれはFedRAMPで重要な役割を果たすとともに、非常に多くの経験を積んできた」

　カーナ氏は、FedRAMPがクラウドのセキュリティ標準のベンチマークを提供することで、サービス業者やベンダー、クラウドユーザーに利益がもたらされると指摘する。「クラウドユーザーは一定レベルのコントロールを手放すことになる。何らかの業界標準やサードパーティーのレビューがないかぎり、われわれは人々がセキュリティをバリアとして用いるモードに縛られ続けるだろう」

FedRAMPの問題点

　FedRAMPに楽観的なカーナ氏だが、政府が同プログラムの生み出す大規模な需要に備えていることを望んでいる。「ゲートを出たばかりで、怠惰な官僚主義という印象を持たれたくはないだろう」

　クラウドサービス業者には、このプログラムの成否を左右する1つの役割がある。それは、再評価に向けて自社のパッケージを洗練させることだ。同氏は、3PAOによるクラウドサービスのレビューのタイムリミットについて、FedRAMP当局が何らかのコミットメントを出した方がよかったという。

　「トラフィックが急増し、FedRAMPが適切にハンドルできなくなり、その結果、FedRAMP当局には能力がない、と思われてしまうような事態は避けなければならない。われわれには、それを回避する役割がある」

　フィルポット氏は、政府のイニシアチブ「Trusted Internet Connections（TIC）」がFedRAMPの下でどのように機能するか懸念する。TICは、各省庁にインターネット接続を制限し、セキュリティ脅威をモニタリングするためにトラフィックをDHSへ転送するように求めている。ところが、クラウドサービスモデルによっては、こうしたTICによるネットワークトラフィックのルーティング要求に対応できない可能性もあるという。

　「いずれにしても、RedRAMPによって確立されるクラウドセキュリティ標準のベースラインは、クラウドセキュリティを改善する大きな力を秘めている」とフィルポット氏は語る。今後、商用ユーザーはクラウド業者に対して、政府と同等のセキュリティを求めることができるようになるだろう。

　「多くの業者がセキュリティに強い自信を持っている。全ての業者がそうというわけではないが、大多数はそうだ」と同氏。「われわれは、FedRAMPが業界のレベルアップにつながることを望み、強く期待している」