自动化 RMF：来自 FedRAMP 20x 试点的经验
Automating the RMF: Lessons from the FedRAMP 20x Pilot
AI总结：
本案例研究基于 FedRAMP 20x 试点经验，探讨了利用 KSI、自动化证据和 DevSecOps 集成实现 RMF 自动化，以简化云系统授权并支持实时风险管理。
摘要：
美国联邦风险与授权管理计划（FedRAMP）长期以来依赖大量控制措施和静态文档来评估云系统。然而，这种手动的、特定时间点的方法难以跟上云原生开发的步伐。FedRAMP 20x 是一项 2025 年的试点计划，重新构想了 NIST 风险管理框架（RMF）：用关键安全指标（KSI）取代传统的 NIST 800-53 控制措施，使用自动化、机器可读的证据，并强调持续报告和授权。本案例研究提供了一份来自行业参与者的实践者主导的现场报告，该参与者领导了多次 FedRAMP 20x 试点提交，并与 FedRAMP PMO、3PAO 和社区工作组直接接触。它探讨了 KSI、持续证据管道和 DevSecOps 集成如何简化授权并改善网络风险管理。研究表明，FedRAMP 20x 是一个以云原生、自动化优先方法实施 RMF 的实时试验台，并为寻求现代化合规并支持实时、风险知情决策的风险专业人士提供了可操作的建议。
英文摘要：
The U.S. Federal Risk and Authorization Management Program (FedRAMP) has long relied on extensive sets of controls and static documentation to assess cloud systems. However, this manual, point-in-time approach has struggled to keep pace with cloud-native development. FedRAMP 20x, a 2025 pilot program, reimagines the NIST Risk Management Framework (RMF): replacing traditional NIST 800-53 controls with Key Security Indicators (KSIs), using automated, machine-readable evidence, and emphasizing continuous reporting and authorization. This case study presents a practitioner-led field report from an industry participant who led multiple FedRAMP 20x pilot submissions and engaged directly with the FedRAMP PMO, 3PAOs, and community working groups. It explores how KSIs, continuous evidence pipelines, and DevSecOps integration can streamline authorization and improve cyber risk management. The study shows FedRAMP 20x as a live testbed for implementing the RMF in a cloud-native, automation-first approach and shares actionable recommendations for risk professionals seeking to modernize compliance and support real-time, risk-informed decision-making.
机构、总结、中文摘要均由AI分析而来，可能存在错误，请以论文正文为准。
