Wymaga programów bezpieczeństwa agencji odpowiednich do ryzyka, przypisuje odpowiedzialności ogólnorządowe i agencjowe oraz adresuje systemy używane lub operowane przez agencje albo przez innych w ich imieniu.
Public Law 113-283 jest głównie skodyfikowana w 44 United States Code §§3551–3558. Office of Management and Budget ustala politykę i nadzór, Department of Homeland Security administruje działaniami implementacyjnymi, a National Institute of Standards and Technology rozwija wspierające standardy i wytyczne; szefowie agencji pozostają odpowiedzialni.
Najważniejsze punkty
Ustal zakresZidentyfikuj informacje federalne, systemy agencji, systemy operowane przez kontrahentów w imieniu agencji, odpowiedzialnych urzędników i odrębne przepisy mające zastosowanie do systemów bezpieczeństwa narodowego.
Prowadź program ryzykaUtrzymuj inwentarze, oceniaj ryzyko, wdrażaj polityki i kontrole, planuj ciągłość, szkol personel, testuj skuteczność, usuwaj słabości oraz wykrywaj, raportuj i reaguj na incydenty.
Wspieraj nadzórProdukuuj wymagane raporty i metryki, przeprowadzaj coroczne niezależne oceny, utrzymuj dowody dla autoryzacji i ciągłego monitorowania oraz przestrzegaj aktualnych wytycznych ogólnorządowych i agencjowych.
Istotne ograniczenieFISMA nie tworzy uniwersalnej „certyfikacji FISMA", a lista kontrolna ani autoryzacja nie gwarantuje bezpieczeństwa. Obowiązki zależą od aktualnej ustawy, polityki, standardów, dyrektyw, zakresu systemu i umów; konkretna stosowalność wymaga wykwalifikowanego federalnego przeglądu prawnego i zamówień.