Gouvernance, risque et conformité
GovRAMP (anciennement StateRAMP) : assurance des fournisseurs infonuagiques 2026
Assurance de sécurité normalisée pour les produits infonuagiques vendus aux organisations étatiques, locales, territoriales, tribales et du secteur de l’éducation.
StateRAMP est devenu GovRAMP en 2025; les statuts, les exigences, les tarifs et les autorisations existantes ont tous été maintenus sans changement, de sorte qu’un fournisseur inscrit sous l’ancien nom est le même fournisseur. GovRAMP est l’équivalent de FedRAMP pour les États et les administrations locales, et la distinction compte davantage que la ressemblance : il s’agit d’un cadre qu’une municipalité utilise pour évaluer les produits qu’elle achète, et non d’un cadre selon lequel elle se certifie elle-même.
La question d’approvisionnement est de savoir si ce produit détient un statut GovRAMP, lequel, à quel niveau d’impact, et si l’autorisation couvre réellement le module acheté plutôt qu’un autre produit du même fournisseur. Un fournisseur qui détient une autorisation FedRAMP satisfait généralement à GovRAMP par réciprocité et peut utiliser GovRAMP Fast Track.
Un fournisseur qui ne détient ni l’une ni l’autre doit plutôt s’attendre à remplir un questionnaire de sécurité complet, ce qui est une réponse légitime pour un petit produit : c’est simplement plus de travail pour les deux parties. Plusieurs États exigent GovRAMP pour les achats infonuagiques, et le Texas exploite son propre équivalent, TX-RAMP; vérifiez donc les règles de votre État avant de supposer que c’est facultatif.
Lorsque c’est facultatif, considérez un statut comme un raccourci dans la vérification diligente du fournisseur plutôt que comme un substitut à la question de savoir ce que le produit fait réellement de vos données.
Niveaux d’évaluation pris en charge par Lavawall
Lavawall évalue ce cadre à chacun des niveaux ci-dessous, pour que vous puissiez commencer là où vous en êtes et progresser à mesure que votre programme mûrit.
| Niveau | Ce qu’il couvre | Inclut les niveaux inférieurs |
|---|---|---|
| Security Snapshot (instantané de sécurité) | Le premier échelon. Une autoévaluation notée, examinée par le bureau de gestion du programme, sans organisme d’évaluation tiers, qui inscrit le produit à la liste des produits autorisés (Authorized Product List) comme offre en progression. Pour un acheteur, cela indique que le fournisseur a été mesuré et qu’il gravit les échelons; ce n’est pas une autorisation et il ne faut pas l’interpréter comme telle. Pour un petit fournisseur, c’est le titre le moins cher de ce programme : environ 1 000 $ en frais d’étape, plus 500 $ d’adhésion annuelle dans la tranche de revenus de moins de 1 M$. | Non |
| Core (de base) | Soixante contrôles de niveau modéré de la publication NIST SP 800-53, mis en correspondance avec MITRE ATT&CK et vérifiés par le bureau de gestion du programme. Toujours sans évaluateur tiers. C’est le niveau à demander à un petit fournisseur lorsqu’une autorisation complète, en raison de son coût, l’exclurait entièrement de votre processus d’approvisionnement, ce qui est fréquent pour un produit qu’achète une ville de trente mille habitants. | Oui |
| Ready (prêt) | Le premier statut qui exige un organisme d’évaluation tiers indépendant, lequel produit un rapport d’évaluation de l’état de préparation par rapport à la base de référence modérée. Ready signifie qu’une partie externe qualifiée a examiné le produit et l’a jugé capable de satisfaire aux exigences. Aucun parrain gouvernemental n’est nécessaire pour l’atteindre, ce qui fait de Ready le statut le plus élevé qu’un fournisseur peut obtenir de sa propre initiative. | Oui |
| Provisional (provisoire) | Dépasse les exigences minimales, est évalué par un organisme d’évaluation tiers et exige un parrain gouvernemental : un chef de la sécurité de l’information, ou son délégué, qui est membre gouvernemental de GovRAMP, ou un membre de l’Approvals Committee. Un fournisseur ne peut atteindre cet échelon sans un client du secteur public prêt à y apposer son nom. | Oui |
| Authorized (autorisé) | Le statut complet : toutes les exigences satisfaites, un rapport d’évaluation de la sécurité par un tiers, une surveillance continue et un parrain gouvernemental. C’est ce que signifie l’obligation lorsqu’un État exige GovRAMP. Confirmez le niveau d’impact et confirmez que l’offre inscrite est bien le module que vous achetez, car il est courant, et tout à fait légitime, qu’un fournisseur ait un produit autorisé et six produits non autorisés. | Oui |
GovRAMP (anciennement StateRAMP) : assurance des fournisseurs infonuagiques : comment Lavawall® vous aide à atteindre la conformité
Ce cadre se résume surtout à des contrôles techniques que vous devez appliquer et prouver : maintenir les systèmes à jour, renforcer la configuration, détecter les intrusions tôt, sauvegarder ce qui compte, contrôler les accès et conserver la preuve que tout cela a bien été fait. Lavawall® applique ces contrôles sur Windows, macOS, Linux et Microsoft 365 / Google Workspace depuis une seule console, les associe aux exigences de ce cadre et suit votre posture en continu plutôt qu’une fois par année au moment de l’audit.
- Évaluez votre situation actuelle par rapport à ce cadre dans le module GRC de Lavawall, avec le questionnaire et l’ensemble de contrôles intégrés.
- Corrigez les écarts avec la même plateforme (correctifs automatisés, corrections de configuration, sauvegardes et revue des accès) plutôt que dans un projet distinct.
- Prouvez le tout avec des registres horodatés et exportables qu’acceptent les auditeurs, les assureurs et les clients.
Ressources connexes
Lavawall® prend en charge ce cadre dans son catalogue intégré de cadres de conformité. Les exigences sont résumées à des fins de planification; confirmez toujours le texte officiel en vigueur avant toute certification.
En un coup d’œil
- Cadre
- GovRAMP (anciennement StateRAMP) : assurance des fournisseurs infonuagiques 2026
- Catégorie
- Régional
- Région
- États-Unis
- Niveaux
- 5 niveaux d’évaluation
Cartographier ce cadre gratuitementParler à notre équipe