FedRAMP преминава към машинночетими данни

Краят на пакета в Word

Години наред пакетът за оторизация по FedRAMP беше преди всичко едно нещо: много документи. Планове за сигурност на системите от стотици страници, описания на контроли в шаблони на Word, регистри и резултати от тестове в Excel. Дори през 2025 г. оторизациите по Rev5 почти изцяло се основаваха на тези шаблони – въпреки че OSCAL отдавна съществуваше като машинночетима алтернатива.

През януари 2026 г. FedRAMP постави началото на промяната в курса с RFC-0024: данните за оторизация трябва да се подават като структурирани, машинночетими данни вместо купища документи. За агенциите това означава по-бързи прегледи и сравними пакети. За доставчиците на облачни услуги това означава преход, който е много по-добре да се планира рано, отколкото късно.

• Шаблоните на Word и Excel се извеждат от употреба като формати за подаване
• Структурираните данни правят пакетите проверими, сравними и повторно използваеми
• Преходът се отнася за всички доставчици, а не само за модернизационния път 20x

От RFC-0024 до Consolidated Rules 2026

Пътят до окончателното правило сам по себе си е урок по публична стандартизация. Първоначалното предложение определяше твърди крайни срокове още от 30 септември 2026 г. По време на периода за коментари, който приключи на 11 март 2026 г., доставчиците почти единодушно поискаха повече време за подготовка.

FedRAMP отговори: междинният резултат, публикуван през март 2026 г., отложи сроковете. След това всичко беше обединено в окончателните Consolidated Rules for 2026 (CR26), публикувани в края на юни 2026 г., които организират изискванията в класове на сертифициране от A до D. Посланието е непроменено: машинночетимостта идва – само графикът стана по-реалистичен.

Сроковете накратко

Значение има окончателният график на CR26; по-ранните междинни проекти с крайни срокове за формата по класове са заменени.

• От 4 юли 2026 г.: незадължително ранно приемане на новия набор от правила, като от август 2026 г. се отварят процесите по класове
• От 1 януари 2027 г.: Consolidated Rules се прилагат задължително; новите сертифицирания в най-високия клас D изискват машинночетими данни за оторизация във формат JSON, които се валидират спрямо публикуваните схеми на FedRAMP
• Съществуващи сертифицирания: преход не по-късно от първата независима оценка, която започва след 1 януари 2027 г.
• 11 юни 2027 г.: край на новите сертифицирания по Rev5 – оттогава новите заявления се обработват изцяло по новия набор от правила

Важно за планирането: всеки, който се стреми към нова оторизация през 2027 г., на практика работи с новите формати още през 2026 г. – подготовката на пакета, анализите на пропуските и тестовете започват доста преди крайния срок.

Каква роля играе OSCAL

Окончателните правила закрепват машинночетимостта в документи JSON, които се валидират спрямо публикувани схеми на FedRAMP – FedRAMP не предписва конкретен инструмент за създаването им. На практика пътят минава през OSCAL: стандартът на NIST е утвърденият отворен модел на данни точно за това съдържание, FedRAMP работи с общността на OSCAL по шаблони и ресурси, а екосистемата от инструменти расте най-бързо именно там – нашата публикация за пейзажа от инструменти за OSCAL дава общ преглед.

Как се съчетават моделите на документите – от каталога през профила до SSP и оценката – е разгледано в нашето въведение Какво е OSCAL?

Какво трябва да направят доставчиците на облачни услуги сега

От нашата работа със структурирани данни за съответствие една проста последователност се е доказала. Тя работи независимо дали целта е FedRAMP или друга програма с изисквания за машинночетимост.

• Инвентаризация: кои части от днешния пакет къде се намират – и в какво качество?
• Пилот: преобразувайте част от SSP в OSCAL и я проверете спрямо схемите, например с нашия безплатен OSCAL Validator
• Работен модел: определете собственици, прегледи и боравене с доказателствата така, че структурираните данни да са стандартът, а не експорт в края

Точно за това изграждаме Secani: платформа, в която данните за оторизация са структурирани от самото начало – с източници, одобрения и история. Ако планирате прехода, свържете се с нас.