Το FedRAMP γίνεται μηχαναγνώσιμο

Το τέλος του φακέλου σε Word

Για χρόνια, ένας φάκελος αδειοδότησης FedRAMP ήταν πάνω απ' όλα ένα πράγμα: πολλά έγγραφα. Σχέδια ασφάλειας συστημάτων εκατοντάδων σελίδων, περιγραφές μέτρων ελέγχου σε πρότυπα Word, μητρώα και αποτελέσματα δοκιμών σε Excel. Ακόμη και το 2025, οι αδειοδοτήσεις Rev5 βασίζονταν σχεδόν εξ ολοκλήρου σε αυτά τα πρότυπα, παρόλο που το OSCAL υπήρχε από καιρό ως μηχαναγνώσιμη εναλλακτική.

Τον Ιανουάριο του 2026, το FedRAMP ξεκίνησε την αλλαγή πορείας με το RFC-0024: τα δεδομένα αδειοδότησης πρέπει να υποβάλλονται ως δομημένα, μηχαναγνώσιμα δεδομένα αντί για στοίβες εγγράφων. Για τις υπηρεσίες της κυβέρνησης, αυτό σημαίνει ταχύτερες επανεξετάσεις και συγκρίσιμους φακέλους. Για τους παρόχους υπηρεσιών cloud, σημαίνει μια μετάβαση που είναι πολύ καλύτερο να σχεδιαστεί νωρίς παρά αργά.

• Τα πρότυπα Word και Excel αποσύρονται ως μορφές υποβολής
• Τα δομημένα δεδομένα καθιστούν τους φακέλους ελέγξιμους, συγκρίσιμους και επαναχρησιμοποιήσιμους
• Η μετάβαση αφορά όλους τους παρόχους, όχι μόνο τη διαδρομή εκσυγχρονισμού 20x

Από το RFC-0024 στους Consolidated Rules 2026

Η διαδρομή προς τον τελικό κανόνα είναι από μόνη της ένα μάθημα δημόσιας τυποποίησης. Η αρχική πρόταση όριζε αυστηρές καταληκτικές ημερομηνίες ήδη από τις 30 Σεπτεμβρίου 2026. Κατά την περίοδο σχολίων, που έληξε στις 11 Μαρτίου 2026, οι πάροχοι ζήτησαν σχεδόν ομόφωνα περισσότερο χρόνο προετοιμασίας.

Το FedRAMP ανταποκρίθηκε: το ενδιάμεσο αποτέλεσμα που δημοσιεύθηκε τον Μάρτιο του 2026 μετέθεσε τις προθεσμίες. Στη συνέχεια όλα ενοποιήθηκαν στους τελικούς Consolidated Rules for 2026 (CR26), που δημοσιεύθηκαν στα τέλη Ιουνίου 2026 και οργανώνουν τις απαιτήσεις σε κατηγορίες πιστοποίησης A έως D. Το μήνυμα παραμένει το ίδιο: η μηχαναγνωσιμότητα έρχεται· απλώς το χρονοδιάγραμμα έγινε πιο ρεαλιστικό.

Οι προθεσμίες με μια ματιά

Αυτό που μετράει είναι το τελικό χρονοδιάγραμμα των CR26· τα προηγούμενα ενδιάμεσα σχέδια με καταληκτικές ημερομηνίες μορφής ανά κατηγορία έχουν αντικατασταθεί.

• Από τις 4 Ιουλίου 2026: προαιρετική πρόωρη υιοθέτηση του νέου συνόλου κανόνων, με τις ροές υποβολής ανά κατηγορία να ανοίγουν από τον Αύγουστο του 2026
• Από την 1η Ιανουαρίου 2027: οι Consolidated Rules ισχύουν υποχρεωτικά· οι νέες πιστοποιήσεις στην υψηλότερη κατηγορία D απαιτούν μηχαναγνώσιμα δεδομένα αδειοδότησης σε JSON που επικυρώνονται έναντι των δημοσιευμένων σχημάτων του FedRAMP
• Υφιστάμενες πιστοποιήσεις: μετάβαση το αργότερο κατά την πρώτη ανεξάρτητη αξιολόγηση που ξεκινά μετά την 1η Ιανουαρίου 2027
• 11 Ιουνίου 2027: τέλος των νέων πιστοποιήσεων Rev5· από τότε και στο εξής, οι νέες αιτήσεις βασίζονται αποκλειστικά στο νέο σύνολο κανόνων

Σημαντικό για τον σχεδιασμό: όποιος στοχεύει σε νέα αδειοδότηση το 2027 εργάζεται ουσιαστικά με τις νέες μορφές ήδη το 2026· η προετοιμασία του φακέλου, οι αναλύσεις κενών και οι δοκιμές ξεκινούν αρκετά πριν από την καταληκτική ημερομηνία.

Ο ρόλος του OSCAL

Οι τελικοί κανόνες θεμελιώνουν τη μηχαναγνωσιμότητα σε έγγραφα JSON που επικυρώνονται έναντι δημοσιευμένων σχημάτων του FedRAMP· το FedRAMP δεν επιβάλλει συγκεκριμένο εργαλείο σύνταξης. Στην πράξη, ο δρόμος περνά μέσα από το OSCAL: το πρότυπο του NIST είναι το καθιερωμένο ανοιχτό μοντέλο δεδομένων ακριβώς για αυτό το περιεχόμενο, το FedRAMP συνεργάζεται με την κοινότητα του OSCAL σε πρότυπα και πόρους, και το οικοσύστημα εργαλείων αναπτύσσεται εκεί ταχύτερα· το άρθρο μας για το τοπίο των εργαλείων OSCAL δίνει μια επισκόπηση.

Το πώς συνδέονται τα μοντέλα εγγράφων, από τον κατάλογο στο προφίλ, στο SSP και στην αξιολόγηση, εξηγείται στην εισαγωγή μας Τι είναι το OSCAL;

Τι πρέπει να κάνουν τώρα οι πάροχοι cloud

Από την εργασία μας με δομημένα δεδομένα συμμόρφωσης, μια απλή αλληλουχία έχει αποδειχθεί αποτελεσματική. Λειτουργεί ανεξάρτητα από το αν ο στόχος είναι το FedRAMP ή κάποιο άλλο πρόγραμμα με απαιτήσεις μηχαναγνωσιμότητας.

• Καταγραφή: ποια μέρη του σημερινού φακέλου βρίσκονται πού και σε ποια ποιότητα;
• Πιλοτικό: μετατρέψτε ένα τμήμα του SSP σε OSCAL και ελέγξτε το έναντι των σχημάτων, για παράδειγμα με τον δωρεάν OSCAL Validator μας
• Μοντέλο λειτουργίας: ορίστε υπευθύνους, επανεξετάσεις και χειρισμό τεκμηρίων ώστε τα δομημένα δεδομένα να είναι ο κανόνας και όχι μια εξαγωγή στο τέλος

Ακριβώς γι' αυτό χτίζουμε το Secani: μια πλατφόρμα όπου τα δεδομένα αδειοδότησης είναι δομημένα από την αρχή, με πηγές, εγκρίσεις και ιστορικό. Αν σχεδιάζετε τη μετάβαση, μιλήστε μαζί μας.