## 調達の現場：約束よりも「証跡」が重要視される時代政府機関がクラウドサービスを導入する際、重要なのはサプライヤーが強力なセキュリティを「主張」しているかどうかではありません。リスクが変動した際に、その証跡が「利用可能」で「最新」であり、「正当性を立証できるか」という点です。FedRAMP（連邦リスク・認証管理プログラム）の新しい認証区分とRev5（第5版）の指針は、こうした意思決定の根拠となる情報の標準化を目的としています。これにより、組織は単発の文書作成から、再利用可能で常に更新される「証跡ストリーム」の活用へと移行することになります。 ([FedRAMP Initial Outcome from RFC-0020 Authorization Designations](https://www.fedramp.gov/notices/0004/?utm_source=pulse.latellu.com&utm_medium=editorial))。 FedRAMPは、認証区分の策定成果を「authorization package」と定義しています。これは、政府機関が情報システムの運用を承認するかどうかを判断するために不可欠な情報として法律で定められたものです。この「正式な標準」を、構造化され監査可能な証跡として提示することで、調達担当者や承認権限を持つ官職（AO）が、毎回ゼロからリスク評価をやり直すことなく、情報を再利用できるようにすることが狙いです。 ([FedRAMP Initial Outcome from RFC-0020 Authorization Designations](https://www.fedramp.gov/notices/0004/?utm_source=pulse.latellu.com&utm_medium=editorial))。証跡の標準化が進み、機械判読可能（machine-readable）な形式が増えるにつれ、購買決定はより迅速かつ比較可能なものになります。また、一度限りの書類提出で審査を潜り抜けるような恣意的な操作も困難になります。これはサプライヤー側の動機付けも変えることになります。つまり、静的な認証成果物を作成することよりも、管理策や設定、脅威の進化に合わせて証跡を生成し続けるシステムの構築に重点が置かれるようになるのです。 ([RFC-0024 FedRAMP Rev5 Machine-Readable Packages](https://www.fedramp.gov/rfcs/0024?utm_source=pulse.latellu.com&utm_medium=editorial))。 ## FedRAMPにおける標準ベースのサイバーセキュリティ標準ベースのサイバーセキュリティは、しばしば「ベンダーがクリアすべきチェックリスト」と誤解されがちです。しかし、FedRAMPにおいては、NIST Risk Management Framework（NISTリスクマネジメントフレームワーク：RMF）に立脚した「証跡の文法を持つリスク言語」に近いものです。RMFは、システムの分類、管理策の選択、評価、承認、そしてモニタリングといったライフサイクル全体を通じてセキュリティ業務を整理する枠組みです。 ([NIST SP 800-37 Rev. 2](https://csrc.nist.gov/pubs/sp/800/37/r2/final?utm_source=pulse.latellu.com&utm_medium=editorial))。 FedRAMPでは、この枠組みがauthorization package、および「継続的モニタリング（continuous monitoring）」の要件を満たすという継続的な義務を通じて、調達の言語へと翻訳されます。FedRAMPの文書では、継続的な要件が満たされている限り、承認作業をゼロから再開するのではなく、原則としてその妥当性を推定すべきであると強調されています。この構造こそが、ガバナンスの原則として「証跡の再利用」を支えているのです。 ([M-24-15 Modernizing the Federal Risk and Authorization Management Program, Section IV](https://www.fedramp.gov/docs/authority/m-24-15/process/?utm_source=pulse.latellu.com&utm_medium=editorial))。また、FedRAMPの標準志向は、連邦政府のセキュリティおよびプライバシー管理策のカタログであるNIST SP 800-53とも密接に関連しています。Rev5の指針の下で、FedRAMPはauthorization packageに必要な情報のリストを公開・維持しなければなりません。これにはNIST SP 800-53の管理策に加え、FedRAMP固有の割り当てやガイダンスが含まれており、サプライヤー間での証跡の比較を可能にしています。 ([RFC-0024 FedRAMP Rev5 Machine-Readable Packages](https://www.fedramp.gov/rfcs/0024?utm_source=pulse.latellu.com&utm_medium=editorial))。 ## 調達対象としての「authorization package」 FedRAMPは、authorization packageを「機関が運用承認を決定する際の根拠となる不可欠な情報」と定義しています。調達の観点から見れば、これは契約、買収計画、そして再利用の意思決定プロセスを流れる、一貫性のある「オブジェクト」と言えます。 ([FedRAMP Initial Outcome from RFC-0020](https://www.fedramp.gov/notices/0004/?utm_source=pulse.latellu.com&utm_medium=editorial))。新たな認証区分の策定は、現在の承認状況を特定の区分やレベルにマッピングすることで、調達における混乱を軽減することも目指しています。ラベルが重複することを避けるため、特定のカテゴリーに対して（「FedRAMP Validated」のような）個別の区分は設けない方針です。これにより、調達に関する議論やその他の用途における透明性を高めています。 ([FedRAMP Initial Outcome from RFC-0020](https://www.fedramp.gov/notices/0004/?utm_source=pulse.latellu.com&utm_medium=editorial))。投資家の視点で見れば、標準化は市場を形作る要素です。調達が標準化されたパッケージ定義に依存するようになると、証跡を迅速に構造化できるサプライヤーは販売サイクルを加速させることができます。一方で、叙述的な文書に頼るサプライヤーは、「証跡提示までのコスト」が増大し、不利な立場に置かれます。FedRAMP Rev5の機械判読可能なパッケージ要件は、このダイナミズムをさらに強めるでしょう。将来的には、システムが自動生成するテレメトリを取り込むことが想定されています。FedRAMPはNISTと共同で、これらの成果物を標準化された形式で表現するためのOSCAL（Open Security Controls Assessment Language）を開発しました。これにより、手動の文書から、機械生成された決定論的なテレメトリを含む資料への移行が促されています。 ([RFC-0024 FedRAMP Rev5 Machine-Readable Packages](https://www.fedramp.gov/rfcs/0024?utm_source=pulse.latellu.com&utm_medium=editorial))。 ## 証跡生成の重点は「アウトプット」へサプライヤーにとっての大きな変化は、証跡の生成方法にあります。従来の認証制度では、静的で強力な成果物を作成できれば十分でした。しかし、継続的な保証（continuous assurance）においては、予測可能なリズムで更新され、管理策の記述とのトレーサビリティが維持されたアウトプットが求められます。FedRAMPの継続的モニタリング戦略では、認証を維持するために、証跡を通じてセキュリティ評価パッケージを定期的に更新することが義務付けられています。 ([CSP_Continuous_Monitoring_Strategy_Guide.pdf](https://www.fedramp.gov/resources/documents/CSP_Continuous_Monitoring_Strategy_Guide.pdf?utm_source=pulse.latellu.com&utm_medium=editorial))。また、こうした継続的な報告は、決して「追加の付随業務」ではありません。FedRAMP継続的報告標準（FedRAMP Continuous Reporting Standard）によれば、クラウドサービスプロバイダーは認証を維持するために報告要件に従う必要があり、継続的な証跡の提示が強調されています。例えば、誤検知（false positive）の判定に関する文書化された証跡は、そのサービスが存在する限り保持しなければなりません。 ([RFC-0008 FedRAMP Continuous Reporting Standard](https://www.fedramp.gov/rfcs/0008/?utm_source=pulse.latellu.com&utm_medium=editorial))。 Rev5の下での機械判読化への移行は、さらなるインセンティブを生んでいます。FedRAMPのRev5に関する意見募集（RFC）では、構造化された資料に機械生成のテレメトリを統合することを奨励し、評価するとしています。また、今後はワープロソフト形式のテンプレートを公開・維持しないことも明言されています。たとえ完全な自動化が困難な場合でも、調達への影響は避けられません。買い手や評価者は、叙述的なPDFだけでなく、構造化されたデータとしての証跡をますます期待するようになっているからです。 ([RFC-0024 FedRAMP Rev5 Machine-Readable Packages](https://www.fedramp.gov/rfcs/0024?utm_source=pulse.latellu.com&utm_medium=editorial))。証跡が継続的かつ構造化されたものになれば、サプライヤーの証跡パイプライン自体が強力な資産となります。標準化された評価アウトプットを複数の機関で再利用できれば、サプライチェーンのレジリエンスは向上します。それができなければ、購入サイクルごとに証跡を再構築することになり、導入の遅れを招くだけでなく、納期に間に合わせるために契約チームが要件を緩和してしまうリスクも生じます。 ## リスク評価に不可欠な「コンテキスト」調達が標準化されたからといって、リスク評価が不要になるわけではありません。FedRAMPの構造は、重複作業を減らし再利用を可能にすることを目的としていますが、最終的なリスク判断は依然として各政府機関が行います。特に、あるクラウドサービスが別のシステム内で利用され、承認境界（authorization boundary）が異なる可能性がある場合は注意が必要です。FedRAMPのRFC-0020では、特定のセキュリティ目標レベルでFedRAMP認証を受けていても、それを再利用する機関の情報システムの目標レベルと必ずしも一致するわけではないと指摘されています。 ([RFC-0020 FedRAMP Authorization Designations](https://www.fedramp.gov/rfcs/0020/?utm_source=pulse.latellu.com&utm_medium=editorial))。標準化された証跡ワークフローにおいて、これは「残存リスクの論理」を一貫した証跡ロジックに基づいて明文化し続ける必要があることを意味します。NIST RMFにおいて、承認（authorization）とは、評価された管理策とリスク判断に基づき、承認権限者が残存リスクを許容できるかどうかを決定するステップです。継続的モニタリングがライフサイクルに組み込まれているため、この決定は時間の経過とともに検証可能な状態に保たれます。 ([NIST SP 800-37 Rev. 2](https://csrc.nist.gov/pubs/sp/800/37/r2/final?utm_source=pulse.latellu.com&utm_medium=editorial))。また、行政管理予算局（OMB）のメモM-24-15によれば、機関に提供されるモニタリングデータは、クラウド製品やサービスのリスク判断を支援するものであるべきだとされています。標準化されたパッケージは「証跡」を提供しますが、最終的な意思決定の責任は依然として政府機関側にあります。 ([M-24-15 Section VI: Continuous Monitoring](https://www.fedramp.gov/docs/authority/m-24-15/monitoring/?utm_source=pulse.latellu.com&utm_medium=editorial))。標準化は「証跡のギャップ」を埋めるべきものであり、「責任のギャップ」を生むものであってはなりません。内部ワークフローにおいては、標準化されたauthorization packageが最新かつ完全であることの「検証」と、システムのコンテキストやモニタリングに基づく「リスクの受容」を切り離して考える必要があります。 ## 並行する標準規格：ISOおよびCISとのマッピング FedRAMPは米国連邦政府向けのクラウド特化型認証メカニズムですが、その「標準と証跡」のモデルは、他の公的なアプローチに対しても規制当局や機関が何を求めているかを示唆しています。それは、ベンダーのセキュリティ姿勢を、購入のたびにゼロから評価し直すことなく、買い手固有の承認作業へと翻訳する方法です。 ISO 27001認証やCIS Controlsの実装プログラムは、正式なセキュリティ管理体制を証明するために広く利用されています。ここでも調達の鍵となるのは「マッピング」です。買い手は、ISOやCISのアウトプットを、承認決定に用いる証跡オブジェクト（管理策の範囲、評価手法、最新性を示すモニタリング証跡など）と確実に関連付けることができるでしょうか。 AFNOR Internationalの報告によると、世界全体のISO/IEC 27001有効認証数は、2021年の約5万8,000件から2024年には約9万6,000件へと、4年間で約65%増加しました。調達における示唆は、ISO 27001をFedRAMPと同等に扱うべきということではなく、買い手が承認プロセスを実行する際に、受け入れや翻訳、補完を求められる「セキュリティ管理の証跡」が市場に大量に供給されているという事実です。 ([ISO/IEC 27001: 20 years of global cybersecurity, AFNOR](https://international.afnor.com/en/international-news/iso-iec-27001-20-ans-au-service-de-la-cybersecurite-mondiale/?utm_source=pulse.latellu.com&utm_medium=editorial))。同様に、CIS ControlsもNIST SP 800-53 Rev. 5とのマッピングを公開しており、これは証跡の翻訳において重要です。CISは、CIS Controls v8とNIST SP 800-53 Rev. 5の対応表を提供しており、管理策ファミリー間のクロスウォーク（相互参照）を支援しています。これにより、どの管理策が比較可能で、何が不足しており、買い手が求める言語で何を証明すべきかという「導入初期段階」の作業を軽減できます。 ([CIS Controls v8 Mapping to NIST 800-53 Rev. 5](https://www.cisecurity.org/insights/white-papers/cis-controls-v8-mapping-to-nist-800-53-rev-5?utm_source=pulse.latellu.com&utm_medium=editorial))。ただし、マッピングにはガバナンス上の懸念もあります。マッピングが不完全であったり、根拠となる証跡が「承認」ではなく「管理体制」に偏っていたりする場合、サプライヤーは追加の資料でその穴を埋める必要があり、コストと遅延が増大します。投資家にとっての差別化要因は「証跡のポータビリティ（可搬性）」となるでしょう。異なる標準エコシステム間で評価アウトプットを再利用できるサプライヤーは、収集と承認までの時間を短縮できます。ただし、それは証跡が最新であり、買い手のワークフローと手法的に互換性がある場合に限られます。 FedRAMPが推進するように、標準化された証跡を求めるのであれば、代替規格の証跡をどのように受け入れ、翻訳するか（最新性、評価手法、範囲の整合性など）についての明確な期待値も設定する必要があります。さもなければ、市場は「リスク判断を支える証跡」ではなく、「買い手の摩擦を減らすラベル」の獲得に走ってしまうでしょう。 ## 認証取得の日常化を示すサプライヤーの動向サプライヤーの具体的な進展を見れば、調達への影響は明らかです。FedRAMP認証は抽象的なラベルではなく、標準化された証跡構造に裏打ちされた評価と承認の結果を反映しています。 Atlassian（アトラシアン）は2025年3月、Atlassian Government CloudにおいてFedRAMP Moderate（中機密）認証を取得したと発表しました。調達チームにとってのガバナンス上の価値は、このマイルストーンが、Moderate要件に合致した標準的な証跡パッケージが利用可能になったことを示している点にあります。これにより、各機関がサービスを再利用する際、個別の管理策検証を最小限に抑えられる可能性があります。 ([Atlassian announcement](https://www.atlassian.com/blog/announcements/atlassiangovernmentcloud?utm_source=pulse.latellu.com&utm_medium=editorial))。 Cloudera（クラウデラ）も2025年6月、Cloudera Government SolutionsにおいてFedRAMP Moderate認証を取得しました。他のサプライヤーと同様、調達における意義は、各機関がこのauthorization packageを再利用可能な証跡ベースとして扱い、自らのシステム境界やモニタリングのニーズに合わせたコンテキストのリスク評価に集中できる点にあります。 ([Cloudera press release](https://www.cloudera.com/about/news-and-blogs/press-releases/2025-06-25-cloudera-achieves-fedramp-moderate-authorization-advancing-its-commitment-to-secure-data-analytics-and-ai-in-the-public-sector.html?utm_source=pulse.latellu.com&utm_medium=editorial))。 GitLab（ギットラブ）は2025年5月19日、米国一般調達局（GSA）のスポンサーシップの下で、GitLab Dedicated for GovernmentがFedRAMP Moderate認証を取得したと発表しました。これは投資家にとっても重要なデータポイントです。標準化されたauthorization packageが調達のインフラとなるにつれ、開発プラットフォームや管理ツールは、個別の監査ではなく予測可能な証跡経路を通じて連邦政府の調達サイクルに参入できるようになります。 ([GitLab press release](https://about.gitlab.com/press/releases/2025-05-19-gitlab-announces-gitlab-achieves-fedramp-moderate-authorization/?utm_source=pulse.latellu.com&utm_medium=editorial))。 GSAのパフォーマンス報告も、政府全体での再利用の広がりを強調しています。2023会計年度末までに、FedRAMP認証製品の累計再利用数は6,318件に達しました。これはガバナンスに直結する調達指標です。再利用が増えるほど、標準化された認証証跡の価値は高まります。各機関のレビュー作業が削減され、より質の高いリスク判断に労力を割けるようになるからです。ただし、そのためにはauthorization packageの適切な箇所を迅速に特定し、最新性を検証し、自システムのコンテキストに関連付けられることが前提となります。意思決定者へのアドバイス：単にサプライヤーが認証を受けているかどうかだけでなく、自組織の調達プロセスがその証跡を最小限の補足で再利用できるかどうかを優先すべきです。再利用率が低かったり、証跡の照会に時間がかかったりする場合、標準化されたワークフローが意図した通りに機能していない可能性があります。その場合、作業が「評価」から「契約」や「手動の翻訳」へとスライドしているだけかもしれません。 ## データが示唆する変革の兆し以下の3つのデータポイントは、単なるマーケティング指標ではなく「処理能力と鮮度」のシグナルとして捉えることで、今後の方向性を浮き彫りにします。 FedScoopがGSAの声明を引用して報じたところによると、FedRAMPは2025会計年度の7月単月だけで114のクラウドサービスを承認しました。これは運用の加速を示すものです。標準化された承認経路が機能すれば、個別のレビューサイクルを比例して増やすことなく、承認数を増やすことができます。規制当局は、この数字と併せて「再利用可能なパッケージの申請から承認までの平均時間」や「直接再利用できずに追加の証跡が必要となった割合」などの内部指標を注視すべきです。 ([FedScoop](https://fedscoop.com/fedramp-government-cloud-services-technology-modernization/?utm_source=pulse.latellu.com&utm_medium=editorial))。また、近代化の取り組みでは運用のスケーリング目標も掲げられています。FedRAMPの「20x」アップデートによると、昨年の同時期までFedRAMPが10年間で承認したクラウドサービスは350未満であり、過去5年間の平均承認数は年50件を下回っていました。この基準値（ベースライン）が重要なのは、ガバナンスの変革が測定可能なスループット（処理能力）によって評価されていることを示しているからです。ただし、数字だけでは証跡の再利用性は証明できません。実務的な指標としては、再利用の決定において、評価の物語を書き直すのではなく、標準化されたauthorization packageのセクションや最新の継続的モニタリング証跡が直接引用されているかどうかを確認する必要があります。 ([Fedramp 20x Four Months In and Authorizing](https://www.fedramp.gov/2025-07-30-fedramp-20x-four-months-in-and-authorizing/?utm_source=pulse.latellu.com&utm_medium=editorial))。 FedRAMP以外に目を向けると、AFNOR InternationalによるISO 27001認証数の統計は、市場にどれほどの認証証跡が存在するかを示しています（2021年の5.8万件から2024年には9.6万件へ）。これは、調達における標準と証跡の翻訳が、買い手とサプライヤーの間で繰り返される交渉事になることを示唆しています。規制当局は、このISOのトレンドを「証跡の供給量」のシグナルとして捉えるべきであり、品質のシグナルと混同してはなりません。最新性や承認手法の互換性を示す指標がなければ、ISOの普及は承認の摩擦を減らすどころか、事務作業を増やすだけになりかねないからです。 ([AFNOR International ISO/IEC 27001 report](https://international.afnor.com/en/international-news/iso-iec-27001-20-ans-au-service-de-la-cybersecurite-mondiale/?utm_source=pulse.latellu.com&utm_medium=editorial))。承認のスループットが向上し、同時にレビューサイクルの短縮や継続的モニタリングの迅速な検証といった「再利用の成果」が改善されれば、調達ガバナンスは恩恵を受けます。そうでなければ、証跡の形式が買収ワークフローと適合せず、サプライヤーは不必要な翻訳コストを負担し続けることになり、結果として導入の遅れを招くことになるでしょう。

## 証跡の再利用準備態勢を契約条件に FedRAMPの最新の認証区分とRev5の機械判読化の指針は、クラウド以外にも適用できる調達の教訓を提示しています。それは、標準ベースのサイバーセキュリティがリスクを軽減できるのは、買い手が証跡を再利用でき、かつサプライヤーがそれを継続的に更新できる場合に限られるということです。FedRAMPのガイダンスは、継続的モニタリングへの期待と、標準化されたauthorization package構造の重視を通じて、この点を明確にしています。 ([CSP_Continuous_Monitoring_Strategy_Guide.pdf](https://www.fedramp.gov/resources/documents/CSP_Continuous_Monitoring_Strategy_Guide.pdf?utm_source=pulse.latellu.com&utm_medium=editorial); [RFC-0024 FedRAMP Rev5 Machine-Readable Packages](https://www.fedramp.gov/rfcs/0024?utm_source=pulse.latellu.com&utm_medium=editorial))。具体的な推奨事項は、クラウドおよび標準化されたセキュリティ製品の調達契約において、「証跡の再利用準備態勢（evidence reuse readiness）」を義務付けることです。これを行うべき主体は、各機関の契約条項を作成する調達およびサイバーセキュリティのリーダーシップ層です。具体的には、FedRAMP PMO（プログラム管理事務所）やFedRAMP理事会が、OMBやGSAと協力して進めるべき役割です。 ([M-24-15 roles and responsibilities in FedRAMP modernization](https://www.fedramp.gov/docs/authority/m-24-15/roles/?utm_source=pulse.latellu.com&utm_medium=editorial); [M-24-15 Section IV and continuous authorization reuse framing](https://www.fedramp.gov/docs/authority/m-24-15/process/?utm_source=pulse.latellu.com&utm_medium=editorial))。契約条項では、単に「管理策を増やす」ことではなく、検証可能な「証跡の振る舞い」を求めるべきです。具体的には以下の2点を明文化します。 1) サプライヤーは、FedRAMP/NISTの管理策構造に沿った標準化されたauthorization packageデータを提供し、認証維持に必要な継続的モニタリングのアウトプットを利用可能な状態にすること。 ([RFC-0024 Rev5 Machine-Readable Packages](https://www.fedramp.gov/rfcs/0024?utm_source=pulse.latellu.com&utm_medium=editorial); [RFC-0008 Continuous Reporting Standard](https://www.fedramp.gov/rfcs/0008/?utm_source=pulse.latellu.com&utm_medium=editorial))。 2) 各機関は、自組織のシステム境界内での再利用に向けてコンテキストに応じたリスク評価を行い、継続的モニタリングの更新に合わせて見直し可能な形式で、残存リスクの受容を文書化すること。 ([RFC-0020 Authorization Designations](https://www.fedramp.gov/rfcs/0020/?utm_source=pulse.latellu.com&utm_medium=editorial); [NIST SP 800-37 Rev. 2](https://csrc.nist.gov/pubs/sp/800/37/r2/final?utm_source=pulse.latellu.com&utm_medium=editorial))。今後の見通しとして、2026会計年度末までに、FedRAMPの近代化ロードマップは、政府機関がリスク評価と再利用を支えるために、標準化された（そしておそらく機械判読可能な）証跡ワークフローへの依存を強めることを示唆しています。M-24-15の実施セクションでは、OSCAL（またはFedRAMPが指定する後継プロトコル）を用いて、各機関のガバナンスツールや資産管理ツールが機械判読可能な成果物を取り込み、生成できるようにするための24ヶ月のタイムラインが示されています。これは2026年から2027会計年度にかけての市場変化の重要な指標となります。構造化された証跡を提供できるベンダーは承認までの時間を短縮できる一方で、それができないベンダーは調達における大きな摩擦に直面することになるでしょう。 ([M-24-15 Section IX Implementation](https://www.fedramp.gov/docs/authority/m-24-15/implementation/?utm_source=pulse.latellu.com&utm_medium=editorial))。契約テンプレートと内部レビューのワークフローを更新し、「標準ベースのサイバーセキュリティ」が「証跡の再利用準備態勢」を意味するように改めてください。契約言語において、authorization package内の「継続的かつ標準に準拠した証跡」のあるべき姿をサプライヤーに提示できなければ、それはセキュリティを買っているのではなく、後でまたゼロから検証し直さなければならない「約束」を買っているに過ぎないのです。

Trending Topics

Browse by Category

Trending Topics

Browse by Category