FedRAMP muutub masinloetavaks

Wordi-paketi lõpp

Aastaid oli FedRAMP-i volituspakett eelkõige üks asi: suur hulk dokumente. Sadu lehekülgi pikad süsteemi turvaplaanid, meetmete kirjeldused Wordi mallides, inventuurid ja testitulemused Excelis. Veel 2025. aastal tugines Rev5 volitamine peaaegu täielikult nendele mallidele – kuigi OSCAL oli masinloetava alternatiivina juba ammu olemas.

2026. aasta jaanuaris algatas FedRAMP RFC-0024-ga kursimuutuse: volitusandmed tuleb esitada dokumendivirnade asemel struktureeritud, masinloetavate andmetena. Asutuste jaoks tähendab see kiiremaid ülevaatusi ja võrreldavaid pakette. Pilveteenuse osutajate jaoks tähendab see üleminekut, mida on palju parem kavandada varakult kui hilja.

• Wordi ja Exceli mallidest kui esitamisvormingutest loobutakse
• Struktureeritud andmed muudavad paketid kontrollitavaks, võrreldavaks ja korduvkasutatavaks
• Üleminek puudutab kõiki teenuseosutajaid, mitte ainult 20x moderniseerimissuunda

RFC-0024-st Consolidated Rules 2026-ni

Tee lõpliku reeglini on iseenesest õppetund avalikust standardimisest. Algne ettepanek seadis jäigad tähtajad juba 30. septembriks 2026. Kommenteerimisperioodi ajal, mis lõppes 11. märtsil 2026, palusid teenuseosutajad peaaegu ühel häälel rohkem ettevalmistusaega.

FedRAMP reageeris: 2026. aasta märtsis avaldatud vahetulemus lükkas tähtajad edasi. Seejärel koondati kõik 2026. aasta juuni lõpus avaldatud lõplikesse Consolidated Rules for 2026 (CR26) reeglitesse, mis jaotavad nõuded sertifitseerimisklassidesse A kuni D. Sõnum on muutumatu: masinloetavus on tulekul – ainult ajakava muutus realistlikumaks.

Tähtajad ülevaatlikult

Arvesse läheb CR26 lõplik ajakava; varasemad vahemustandid klassipõhiste vormingutähtaegadega on asendatud.

• Alates 4. juulist 2026: uue reeglistiku vabatahtlik varajane kasutuselevõtt, klasside menetlusvood avanevad alates 2026. aasta augustist
• Alates 1. jaanuarist 2027: Consolidated Rules kehtivad kohustuslikult; uued sertifitseerimised kõrgeimas klassis D nõuavad masinloetavaid volitusandmeid JSON-vormingus, mis valideeruvad avaldatud FedRAMP-i skeemide alusel
• Olemasolevad sertifikaadid: üleminek hiljemalt esimese sõltumatu hindamise ajal, mis algab pärast 1. jaanuari 2027
• 11. juuni 2027: uute Rev5 sertifitseerimiste lõpp – sellest alates toimuvad uued taotlused täielikult uue reeglistiku alusel

Planeerimiseks oluline: igaüks, kes sihib uut volitust 2027. aastal, töötab tegelikult uute vormingutega juba 2026. aastal – paketi ettevalmistus, puudujääkide analüüsid ja testimine algavad tükk aega enne tähtaega.

Milline roll on OSCAL-il

Lõplikud reeglid kinnistavad masinloetavuse JSON-dokumentidesse, mis valideeruvad avaldatud FedRAMP-i skeemide alusel – FedRAMP ei näe ette konkreetset koostamistööriista. Praktikas viib tee läbi OSCAL-i: NIST-i standard on just selle sisu jaoks väljakujunenud avatud andmemudel, FedRAMP teeb mallide ja ressursside osas koostööd OSCAL-i kogukonnaga ning tööriistade ökosüsteem kasvab seal kõige kiiremini – meie postitus OSCAL-i tööriistade maastikust annab ülevaate.

Kuidas dokumendimudelid omavahel sobituvad – kataloogist profiilini, SSP-st hindamiseni –, käsitleb meie sissejuhatus Mis on OSCAL?

Mida pilveteenuse osutajad peaksid praegu tegema

Meie töö põhjal struktureeritud vastavusandmetega on end tõestanud lihtne järjestus. See toimib olenemata sellest, kas sihiks on FedRAMP või mõni muu masinloetavate nõuetega programm.

• Inventuur: millised tänase paketi osad asuvad kus – ja millises kvaliteedis?
• Pilootprojekt: teisendage osa SSP-st OSCAL-i ja kontrollige seda skeemide alusel, näiteks meie tasuta OSCAL-i valideerijaga
• Töömudel: seadke paika omanikud, ülevaatused ja tõendite käitlemine nii, et struktureeritud andmed oleksid vaikimisi norm, mitte eksport lõpus

Just selle jaoks me Secanit ehitamegi: platvorm, kus volitusandmed on algusest peale struktureeritud – koos allikate, heakskiitude ja ajalooga. Kui kavandate üleminekut, võtke meiega ühendust.