Gouvernance, risque et conformité
GovRAMP (anciennement StateRAMP)
Le même programme de sécurité infonuagique pour les produits vendus aux gouvernements des États et locaux · renommé en 2025
GovRAMP est un programme normalisé d’évaluation de la sécurité et d’autorisation pour les produits infonuagiques vendus aux gouvernements des États et locaux des États-Unis, à la manière de FedRAMP pour les agences fédérales. Il s’appelait StateRAMP jusqu’en 2025; le nom a changé, rien de ce qui se trouve en dessous n’a changé. Son échelle de vérification comprend Security Snapshot, Core, Ready, Provisional et Authorized. Vous n’avez pas besoin d’un parrain gouvernemental pour y accéder.
Quels sont les niveaux de vérification GovRAMP?
Il y en a cinq, et ils forment une échelle. Chacun ajoute de la preuve et du coût; un fournisseur ne grimpe donc que jusqu’où ses acheteurs l’exigent réellement. Les deux échelons les plus bas n’exigent ni parrain ni évaluateur payé, et c’est exactement là que le mythe du parrain s’effondre.
| Niveau | Ce qu’il confirme | 3PAO? | Parrain? |
|---|---|---|---|
| Security Snapshot | Étalonnage précoce par rapport aux exigences Ready, noté sur des contrôles critiques du NIST 800-53 rév. 5 | Non | Non |
| Core | Mise en œuvre de 60 contrôles fondamentaux du NIST, choisis au moyen de MITRE ATT&CK et alignés sur la base de référence Moderate | Non | Non |
| Ready | Satisfait aux exigences obligatoires minimales; le premier échelon qu’un évaluateur indépendant doit vérifier | Oui | Non requis |
| Provisional | Atteint le seuil d’autorisation, mais s’appuie sur une technologie qui n’est pas encore autorisée par GovRAMP ou FedRAMP | Oui | Décision d’autorisation |
| Authorized | Conformité complète aux contrôles requis pour le niveau d’impact | Oui | Décision d’autorisation |
Un 3PAO (un évaluateur indépendant reconnu par GovRAMP que le fournisseur mandate et paie) n’intervient pour la première fois qu’au niveau Ready. En dessous, Snapshot et Core sont menés par le fournisseur : un fournisseur peut donc présenter à un agent d’approvisionnement une posture de sécurité réelle et notée avant de dépenser pour une évaluation.
Faut-il un parrain gouvernemental pour commencer?
Non, et c’est le mythe qui arrête les fournisseurs avant même qu’ils commencent. Vous pouvez atteindre Snapshot, Core et Ready sans aucun gouvernement qui vous parraine.
De nombreux fournisseurs travaillent effectivement directement avec un gouvernement parrain, et c’est une voie légitime. Mais un fournisseur qui n’en a pas n’est pas exclu : le comité d’approbation de GovRAMP agit comme organe d’autorisation au nom des gouvernements participants; la décision d’autorisation qu’exigent Provisional et Authorized peut donc venir du comité plutôt que d’une agence précise disposée à vous parrainer. Si une conversation de vente s’est enlisée sur « il nous faudrait d’abord qu’un gouvernement nous parraine », cette prémisse est fausse pour les échelons inférieurs et facultative pour les plus élevés.
Lorsqu’un parrain existe, il doit être un dirigeant principal de l’information (CIO) ou son délégué, issu d’une entité gouvernementale, et un membre gouvernemental individuel de GovRAMP (GovRAMP Individual Government Member) avant de pouvoir parrainer un produit. Cette exigence incombe au parrain.
Qu’est-ce qui a changé quand StateRAMP est devenu GovRAMP?
Le nom, et rien qui touche une décision de conformité. StateRAMP a été renommé GovRAMP en 2025 pour refléter qu’il sert désormais les villes, les comtés, les États et d’autres organismes gouvernementaux, et non plus seulement les États.
C’est la même organisation, avec la même direction et le même programme. Les statuts, les exigences, les prix et les autorisations existantes ont tous été reportés sans changement : un produit qui détenait un statut StateRAMP détient le statut GovRAMP équivalent, et un document d’approvisionnement qui parle encore de StateRAMP demande la même chose. C’est la dernière fois que cette page utilise l’ancien nom; partout ailleurs, il s’agit de GovRAMP.
Comment Lavawall® vous aide avec GovRAMP
GovRAMP, ce sont surtout des contrôles du NIST SP 800-53 que vous devez mettre en œuvre, documenter, puis continuer à documenter au fil d’un cycle de surveillance continue. C’est cette partie continue qui fait échouer la paperasse ponctuelle. Lavawall exploite les contrôles techniques sur Windows, macOS, Linux et Microsoft 365 / Google Workspace depuis une seule console, les associe à la base de référence GovRAMP pour votre niveau d’impact cible et tient la preuve horodatée à jour plutôt que de la rassembler la semaine précédant une revue.
- Associez votre produit ou votre programme à la base de référence GovRAMP et voyez l’écart jusqu’à Snapshot, Core ou Ready à partir d’une même bibliothèque de contrôles partagée.
- Corrigez sur la même plateforme au moyen de l’application des correctifs, du durcissement des configurations, de la détection des intrusions, des sauvegardes et de la revue des accès, plutôt que dans un projet distinct.
- Documentez en continu, avec des registres exportables qu’acceptent un 3PAO et un évaluateur de la surveillance continue.
Comme GovRAMP s’appuie sur la même base NIST 800-53 que la CJIS et la Publication 1075 de l’IRS, une seule cartographie satisfait une grande partie des trois. Lavawall ne prétend pas détenir actuellement un statut GovRAMP précis; il cartographie et documente par rapport à la base de référence, et vous donnera sa position actuelle exacte si votre approvisionnement l’exige.
Voir aussi
Source principale : GovRAMP (anciennement StateRAMP). Dernière vérification : 27 août 2026.
Questions fréquentes
GovRAMP et StateRAMP, est-ce la même chose?
Oui. StateRAMP a été renommé GovRAMP en 2025 pour refléter son utilisation à tous les paliers de gouvernement. C’est la même organisation, avec la même direction, et les statuts, les exigences, les prix et les autorisations existantes ont tous été reportés sans changement. Un produit inscrit sous l’ancien nom est le même produit.
Quels sont les niveaux de vérification GovRAMP?
Cinq, du plus bas au plus élevé : Security Snapshot (étalonnage précoce), Core (mise en œuvre de 60 contrôles fondamentaux du NIST SP 800-53), Ready (satisfait aux exigences obligatoires minimales), Provisional (atteint le seuil d’autorisation, mais dépend d’une technologie qui n’est pas encore autorisée) et Authorized (conformité complète pour le niveau d’impact).
Faut-il un parrain gouvernemental pour obtenir un statut GovRAMP?
Non. De nombreux fournisseurs travaillent directement avec un gouvernement parrain, mais un fournisseur qui n’en a pas peut recourir au comité d’approbation de GovRAMP (GovRAMP Approvals Committee), qui agit comme organe d’autorisation au nom des gouvernements participants. L’idée selon laquelle il faut un parrain avant de commencer est le mythe le plus répandu au sujet de GovRAMP.
Quand un évaluateur tiers (3PAO) est-il exigé pour la première fois?
Au niveau Ready. Security Snapshot et Core sont menés par le fournisseur; un statut Ready ou Authorized exige un 3PAO indépendant reconnu par GovRAMP, que le fournisseur mandate et paie. Snapshot et Core permettent à un fournisseur de démontrer des progrès réels avant d’engager ce coût.
Qu’est-ce que le GovRAMP Security Snapshot?
Une autoévaluation préliminaire qui note un produit par rapport aux exigences du niveau Ready au moyen d’une méthode normalisée fondée sur des contrôles critiques de la révision 5 du NIST SP 800-53. C’est le point d’entrée de l’échelle, et il n’exige ni 3PAO ni parrain.
Quand une municipalité ou son fournisseur a-t-il besoin de GovRAMP?
GovRAMP vise les produits infonuagiques vendus aux gouvernements des États et locaux, tout comme FedRAMP vise le gouvernement fédéral. Une agence le rencontre lorsqu’elle acquiert des services infonuagiques; un fournisseur a besoin d’un statut pour vendre sur ce marché. Qu’il soit obligatoire dépend des règles d’approvisionnement de chaque gouvernement, et non de GovRAMP lui-même.
Lavawall détient-il un statut GovRAMP Authorized?
Demandez-nous : pour le statut actuel de Lavawall sur l’échelle GovRAMP, nous vous donnerons la réponse exacte plutôt qu’une réponse de marketing. Ce que fait Lavawall, c’est associer votre produit ou votre programme à la base de référence GovRAMP et tenir une preuve continue et horodatée pour le cycle de surveillance continue, plutôt qu’un instantané à un moment donné.