FedRAMPとは何か:認証・準拠、そして本当に押さえるべき用語

連邦政府向けクラウド調達の現場では、「FedRAMP authorized（認証済み）」「FedRAMP compliant（準拠）」「FedRAMP equivalent（相当）」という3つの用語が頻繁に登場します。一見同じ意味に思えますが、実態はまったく異なります。ひとつは連邦政府による正式な認証、ひとつは非公式な表現、そしてもうひとつは公式な定義を持たないマーケティング用語です。取引先のクラウドベンダーがどの用語に該当するかによって、あなたの組織のコンプライアンス体制が「実質を伴っているか」「書類上だけのものか」が決まります。

本ガイドでは、FedRAMPとは何か、認証プロセスの実際の仕組み、2026年のプログラム大改訂（CR26）で何が変わったのか、そしてベンダーの主張——特に連邦クラウド調達において最も重大な争点となっている「相当」という主張——をどう見極めればよいかを解説します。

エグゼクティブサマリー

要点：FedRAMPは、米連邦政府によるクラウドセキュリティ認証の枠組みです。「FedRAMP authorized」「FedRAMP compliant」「FedRAMP equivalent」は似た響きを持ちますが、法的・実務的な重みはまったく異なります。この違いを理解しているかどうかが、取引先のクラウドベンダーが実際に貴社のコンプライアンス要件を満たしているのか、それとも単に「満たしていると主張しているだけ」なのかを左右します。

なぜ重要なのか：CMMC 2.0の審査は加速しています。CISAのBinding Operational Directive 26-04により、連邦民間機関に対する執行も厳格化されました。そしてFedRAMP自体も、2026年5月のCR26で大規模な構造改革を経ています。取引先が「FedRAMP相当」と主張している場合、それが正確に何を意味し、何を意味しないのかを、審査でギャップとして露呈する前に理解しておく必要があります。

重要ポイント

1. FedRAMPは連邦政府によるクラウドセキュリティ認証プログラムであり、自己申告できる認定ではありません。

Federal Risk and Authorization Management Program（連邦リスク・認証管理プログラム）は、認定された第三者評価機関（3PAO）による独立審査、セキュリティ管理策の文書化、そして連邦政府の認証責任者によるAuthority to Operate（ATO：運用認可）の発行を必要とします。FedRAMPマーケットプレイスには、Authorized（認証済み）、In Process（審査中）、Ready（準備完了）という3つの公式区分のみが掲載されています。それ以外の区分は存在しません。「Equivalent（相当）」という区分は存在しないのです。

2. 「FedRAMP authorized」と「FedRAMP compliant」は同じではありません。

Authorized（認証済み）とは、連邦政府の認証責任者が独立した3PAOによる審査結果を精査し、ATOを発行し、そのサービスがFedRAMPマーケットプレイスにAuthorizedとして掲載されている状態を指します。一方、Compliant（準拠）は非公式な表現であり、連邦政府による定義は存在しません。「FedRAMP compliant」を名乗るベンダーは、実際に認証を保有している場合もあれば、単に「自社のセキュリティ慣行がFedRAMP要件に似ている」と主張しているだけの場合もあります。真偽を確認する唯一の方法は、マーケットプレイスを直接確認することです。

3. 「FedRAMP equivalent（相当）」はマーケティング用語であり、連邦政府の正式なステータスではありません。

NIST 800-53にも定義がなく、FedRAMP認証プロセスにも位置づけがなく、FedRAMPマーケットプレイスへの掲載もありません。2024年1月の国防総省（DoD）メモでは、正当な「相当」を主張するためであっても、認定3PAOによる審査を経てFedRAMP Moderateの管理策を100%実装している必要があると明確化されました——この基準を満たしているベンダーは、この言葉を使う企業の中でもごく少数です。ベンダーが「相当」を主張するとき、彼らが省略したコンプライアンス業務は、そのままあなたのコンプライアンス上のギャップになります。

4. 2026年5月に開始されたCR26は、FedRAMPの認証階層を再構成します。

従来のLow/Moderate/High（低・中・高）という区分は、アルファベットによるクラス制度に置き換えられつつあります。Class Cは従来のModerateに相当し、大半の連邦機関の業務やControlled Unclassified Information（CUI：機密指定されていない管理対象情報）を扱うシステムをカバーする階層です。Class Dは従来のHighに相当します。要件は散文形式の文書ではなく、機械可読なMUST/MUST NOT（〜しなければならない／してはならない）形式で公開されるようになり、審査員とベンダー間での解釈のばらつきが解消されます。

5. FedRAMP認証済みプラットフォームの利用は、文書化された管理策の継承につながります。「相当」プラットフォームの利用では、そうはなりません。

取引先のクラウドベンダーが実際にFedRAMP認証を保有している場合、貴社の審査員は、連邦政府の独立審査員がすでに検証済みの管理策を確認するだけで済みます。コンプライアンス負担は目に見えて軽減されます。一方、ベンダーが「相当」を主張する場合、参照できる3PAO審査結果も、機関によるレビューも、マーケットプレイスへの掲載もありません——ベンダーが省略したコンプライアンス業務を、今度は貴社のチームが担うことになるのです。

FedRAMPとは何か、なぜ存在するのか

FedRAMPは、連邦政府の「Cloud First」政策のもと、2011年に行政管理予算局（OMB）によって設立されました。解決すべき課題は明確でした。各連邦機関がそれぞれ独自にクラウドセキュリティ審査を実施していたため、結果に一貫性がなく、何百もの調達案件で作業が重複していたのです。

「一度認証すれば、多くの機関で利用できる」という原則がこれを変えました。一度審査・認証を受けたクラウドプロバイダーは、フルの再審査なしにあらゆる連邦機関から利用できるようになったのです。連邦データを保存、処理、または送信するクラウドサービスはすべてFedRAMPの管轄下に置かれます——DFARS 252.204-7012のもとでCovered Defense Information（対象防衛情報）を扱う防衛関連企業が利用するサービスも含まれます。

FedRAMP認証は実際にどのように機能するのか

認証プロセスは4つの段階で進みます。

準備（Prepare）。クラウドサービスプロバイダーは、System Security Plan（SSP：システムセキュリティ計画）にセキュリティ体制を文書化し、全システムコンポーネントを棚卸しし、セキュリティ管理策の実装状況をマッピングします。

審査（Assess）。ベンダーから独立し、連邦政府に認定された3PAOが、該当するFedRAMPベースラインに照らしてプロバイダーのセキュリティ管理策を全面的に評価します。この審査結果として、Security Assessment Report（SAR：セキュリティ評価報告書）が作成され、発見事項、ギャップ、管理策の検証結果が文書化されます。

認証（Authorize）。審査パッケージは連邦政府の認証責任者に提出され、精査のうえATOが発行されます。この段階こそが認証を「本物」にするステップです——判断を下すのはベンダー自身ではなく、連邦政府の担当者です。

監視（Monitor）。認証は一度取得すれば終わりというものではありません。認証済みベンダーは、毎月の脆弱性スキャン、年次のペネトレーションテスト結果、そして未解決のPlans of Action and Milestones（POA&M：是正計画）を継続的に認証責任者へ提出します。この継続的な監視記録があるからこそ、各機関は初回認証時だけでなく、いつでもベンダーのセキュリティ体制を検証できるのです。

ここでひとつ、構造的な変更点に触れておく価値があります。かつて政府全体向けのProvisional ATO（暫定運用認可）を発行していたJoint Authorization Board（JAB）は、FedRAMPの近代化の一環として2023年に活動を停止しました。現在は機関ごとのATOが主要な認証経路となっています。

本当に押さえるべき3つの用語

この違いこそ、多くの調達現場での会話が見過ごしがちなポイントであり、実際のコンプライアンスリスクが潜んでいる部分です。

FedRAMP Authorized（認証済み）は、連邦政府における正式な位置づけを持つ唯一の用語です。これは、3PAOがベンダーのセキュリティ管理策を独立して検証し、連邦政府の認証責任者がその審査結果を精査したうえでATOを発行し、そのサービスがmarketplace.fedramp.govにAuthorizedとして掲載されていることを意味します。継続的監視は進行中であり、文書化され、報告可能な状態にあります。機関や請負業者がベンダーのセキュリティ体制——パッチ適用のタイムライン、脆弱性スキャン結果、未解決の指摘事項など——の証拠を必要とする際、認証済みベンダーはそれを提示できます。

FedRAMP Compliant（準拠）は非公式な表現であり、連邦政府による公式な定義はありません。この言葉を「認証を保有している」という意味で使うベンダーもいれば、「セキュリティプログラムがFedRAMP要件に似ている」という意味で使うベンダーもいます。この言葉自体は何も保証しません。「compliant」という表記を見かけたら、マーケットプレイスで「authorized」の有無を確認してください。

FedRAMP Equivalent（相当）は、実際のFedRAMP認証取得に多大な費用と時間がかかることから生まれたマーケティング用語です——フルのModerate認証取得には通常12〜24カ月、そして審査・是正・文書化に数百万ドル規模の費用がかかります。特に連邦向け専門部門を持たない中小ベンダーの多くにとって、認証取得を目指すよりも、自社のセキュリティ体制を「相当」と表現するほうが容易だったのです。この言葉には、NIST 800-53における定義も、FedRAMP認証プロセス上の位置づけも、マーケットプレイスへの掲載もありません。

2024年1月の国防総省（DoD）メモは、この点に直接踏み込んでいます。DFARS 7012を満たすような正当な「相当」の主張であっても、クラウドサービスプロバイダーは現行のFedRAMP Moderateセキュリティ管理策を100%実装し、FedRAMP認定の3PAOによる審査を受け、SSP、SAP（Security Assessment Plan）、SAR、POA&Mを含む完全な証拠一式を提示する必要があると明確化されました。この基準のもとで真の「相当」を達成することは、実際のFedRAMP Moderate認証を取得するよりも複雑になることが少なくありません。なぜなら、「相当」には標準化されたプロセスがなく、個別のカスタムレビューが必要になるためです。この用語を使うベンダーの大半は、これらの要件をひとつも満たしていません。

実務上の結果はこうです。ベンダーが認証を保有する代わりに「相当」を主張する場合、彼らが省略したコンプライアンス業務は、そのまま貴社の業務になります。参照できる3PAO審査結果も、機関によるレビューも、PMO（プログラムマネジメントオフィス）による承認も、マーケットプレイスへの掲載もありません。あるのは、「自社の管理策はおそらくFedRAMP Moderateベースラインに匹敵する」と主張するベンダーのホワイトペーパーだけです。C3PAOの審査員が目の前にいるとき、その「おそらく」という言葉が、貴社のコンプライアンス体制において重い意味を持つことになります。

この問題がCMMC審査やBOD 26-04のもとでどのように現れるかについては、FedRAMP Equivalent vs. Authorized: What’s at StakeおよびWhy Empty Claims of FedRAMP Equivalency Put CMMC Compliance at Riskをご覧ください。

2026年のCR26でFedRAMPは何が変わったのか

FedRAMPは2026年5月4日、Consolidated Rules 2026（CR26）のパブリックプレビューを開始し、最終リリースは6月末に予定されています。これは、プログラム設立以来最も大規模な構造変更です。

最も本質的な変化は、要件の表現方法です。FedRAMPは以前から要件ベースの枠組みでしたが、その要件はWordファイル、PDF、スプレッドシートといった形式で存在し、審査員とベンダーによって解釈が異なることが、審査結果の一貫性を損ない、認証取得までの期間を長引かせる原因となっていました。CR26では、こうした散文形式に代わり、MUST/MUST NOT（〜しなければならない／してはならない）という宣言的な形式が採用され、GitHub上に構造化された機械可読データとして公開されます。要件はバージョン管理され、検索可能になり、審査員とベンダーの間で解釈の食い違いが生じる余地がなくなります。

階層構造も変わります。Low/Moderate/HighはClass A〜Dに置き換えられます。Class Cは、大半の連邦クラウド導入において実質的な基準となる階層であり——従来のModerateに相当し、CUIを扱うシステムや民間機関の業務の大部分をカバーします。Class Dは従来のHighに対応します。この構造は加算的であり、各クラスは前のクラスのすべての管理策に加え、追加要件を含みます。

既存のFedRAMP Moderate認証を保有する組織にとって、管理策そのものが根本的に変わるわけではありません——課題は、現行のSSP文書をClass C構造にマッピングすることです。ベンダーを評価する組織にとっては、「Class C authorized」が、かつての「FedRAMP Moderate Authorized」に相当する表現となります。

ここで特筆すべき点があります。CR26のもとでは、「FedRAMP equivalent（相当）」という用語はさらに意味を失います。クラス制度には「相当」という経路自体が存在しないのです。マーケットプレイスには依然としてAuthorized、In Process、Readyのみが掲載され、それ以外はありません。

CR26の詳細と、貴社の認証ロードマップにとっての意味については、FedRAMP CR26: What It Actually Means for Your Authorizationをご覧ください。

FedRAMP認証レベルが貴社にとって意味すること

適切な認証レベルは、扱うデータの機微性と、侵害が発生した場合の影響の大きさによって決まります。

FedRAMP Moderate（Class C）は、連邦クラウド利用ケースの大半——おおよそ80%——をカバーします。これは、機微ではあるが機密指定されていないデータを扱い、侵害が発生すれば深刻な被害をもたらすケースです。CUI、日常的な機関記録、PII（個人識別情報）、そしてサプライチェーンデータ、設計図、調達情報を扱う請負業者向けシステムの大半が該当します。また、Covered Defense Informationを扱うクラウドサービスに対してDFARS 252.204-7012が要求する認証レベルでもあり、防衛関連企業向けのCMMC 2.0が基盤とするベースラインでもあります。

FedRAMP High（Class D）は、政府が扱う最も機微な非機密データ向けに設けられています——侵害されれば人命の損失、国家安全保障への脅威、あるいは壊滅的な被害につながりかねないシステムです。緊急サービス、法執行機関の情報、ITAR（国際武器取引規制）対象の兵器仕様、国レベルの金融システムなどが含まれます。

防衛関連企業に特に関わる点として、DFARS 252.204-7012は、Covered Defense Informationを扱うクラウドサービスがFedRAMP Moderate要件を満たすことを義務付けています——実際のFedRAMP Moderate認証によるか、2024年1月のDoDメモで定義された真の「相当」によるかのいずれかです。CMMC 2.0はこの要件を土台に、第三者機関による必須審査を追加します。未検証の「相当」を主張するベンダーを利用すると、C3PAO審査の際にコンプライアンス上のギャップが露呈します——そしてDoDのCivil Cyber Fraud Initiative（民間サイバー詐欺イニシアチブ）のもとでは、サイバーセキュリティに関する虚偽表示はFalse Claims Act（虚偽請求防止法）に基づくリスクを伴います。

規制対象となる民間セクター——医療、金融サービス、法律関連——の組織にとっても、FedRAMP Moderateは連邦政府による義務がなくとも、事実上のセキュリティ基準となっています。独立審査と継続的監視という体制は、自己申告では決して代替できない保証を提供します。

ベンダーのFedRAMPステータスを検証する方法

手順は3つ、順を追って進めてください。

まずマーケットプレイスを直接確認する。marketplace.fedramp.govにアクセスし、対象ベンダーを検索してください。存在するのは、Authorized、In Process、Readyの3区分のみです。ベンダーのサービスがAuthorizedに該当しない場合、そのベンダーはマーケティング資料で何と主張していようと、FedRAMP認証を保有していません。

会社名だけでなく、具体的なサービス名を確認する。ベンダーがひとつのサービスについては認証を保有していても、別のサービスについては保有していない場合があります。マーケットプレイスの掲載情報には、対象となる具体的なクラウドサービス、認証レベル、認証を行った機関、認証日が記載されています。評価対象のサービスが、掲載されているものと一致するかを確認してください。

審査文書の提示を求める。認証済みベンダーであれば、Security Assessment Report、現行のSystem Security Plan、継続的監視パッケージを提示できます。「相当」を主張するだけのベンダーは、通常これができません。3PAO審査によって作成されるはずの文書の提示をベンダーが渋る場合、その姿勢自体が重要な手がかりになります。

KiteworksのFedRAMPへの取り組み

Kiteworksは、Coalfireによる独立審査を経てFedRAMP Moderate認証を取得しており、2017年6月から継続的な監視を受けています。さらに、2025年2月時点で、Secure Gov CloudについてFedRAMP High In Processのステータスを達成しています。

Moderate認証は、CUIおよび中リスクデータを対象とするNIST SP 800-53 Rev. 5の325件の管理策をカバーし、Kiteworksのすべての情報交換チャネル——セキュアメール、セキュアファイル共有、マネージドファイル転送、SFTP、セキュアデータフォーム——に及びます。Secure Gov CloudのHigh In Processは、緊急サービス、法執行機関、ITAR規制対象の防衛関連通信など、極めて機微かつ重要なデータを対象とする421件の管理策をカバーしています。

認証レベル自体を超えて特筆すべき点として、Kiteworksは認証を維持するために300件を超える管理策について厳格な年次監査を受けています。FIPS 140-3検証済みの暗号化が、保存データ・転送データの両方に適用されています。顧客自身が暗号鍵を保有するため、Kiteworksは技術的に顧客データを復号できません。そしてCMMC対応を進める組織にとって、FedRAMP Moderateの管理策継承はC3PAO審査の範囲を圧縮します——未検証のベンダー主張を、独立して文書化された証拠に置き換えるのです。

Kiteworksにとって、認証取得は一度限りの通過点ではありません。毎月の脆弱性スキャン、継続的監視、そして従業員の資格維持は、例外ではなく通常の業務基盤です。この継続的な記録があるからこそ、機関や請負業者は、調達時だけでなく契約期間中いつでも、クラウドベンダーのセキュリティ体制を証明する根拠として参照できるのです。

KiteworksのFedRAMP認証が貴社固有のコンプライアンス要件にどう適用されるかについては、Kiteworks FedRAMP Authorizationページをご覧いただくか、カスタムデモをお申し込みください。