FedRAMP（美国政府云合规）
定义
FedRAMP（联邦风险与授权管理计划）是美国政府对联邦机构所用云服务进行统一安全评估和授权的项目。它基于 NIST SP 800-53 控制项目录，定义低/中/高三个影响等级，并要求在获得运营授权（ATO）后持续监控。没有 FedRAMP 授权，云产品基本无法卖给联邦机构。
为什么对 AI 求职重要
AI 厂商正在抢滩公共部门市场——Anthropic（Claude Gov）、OpenAI（OpenAI for Government）等都在专门招聘“Public Sector”工程师来构建 FedRAMP 合规部署。对工程师而言，FedRAMP 经验意味着你能在强约束下做工程：FIPS 认证加密、仅限美国人员访问、隔离环境（如 AWS GovCloud）、文档化的变更管理和随时可审计的日志。
核心概念
- ATO——运营授权（Authorization to Operate），由具体机构或联合授权委员会路径颁发。
- 影响等级——低/中/高基线，对应逐级增多的 NIST 800-53 控制项。
- SSP——系统安全计划：逐条记录每个控制项如何实现。
- 持续监控（ConMon）——每月漏洞扫描、POA&M 跟踪、重大变更申请。
- FIPS 140 认证加密——传输与存储加密必须使用认证过的加密模块。
- 环境隔离——GovCloud 区域、仅限美国人员访问、系统边界图。
- 3PAO——负责审计实现情况的第三方评估机构。
学习路径
- 通读 FedRAMP 项目基础介绍，浏览一份公开的 SSP 模板，直观了解控制项长什么样。
- 把 10 个常见 NIST 800-53 控制项（AC-2、AU-2、SC-13 等）映射到你已掌握的具体工程手段。
- 练习相关工程模式：集中审计日志、FIPS 模式 TLS、最小权限 IAM、基础设施即代码。
- 研究云厂商的支持：AWS GovCloud、Azure Government 及其合规文档。
- 面试时用合规术语重新表述你过往的企业级经验（银行/医疗）——底层机制是相通的。