FedRAMP siirtyy koneluettavaan muotoon

Word-paketin loppu

Vuosien ajan FedRAMP-valtuutuspaketti oli ennen kaikkea yhtä asiaa: paljon dokumentaatiota. Satojen sivujen järjestelmän tietoturvasuunnitelmia, hallintakeinojen kuvauksia Word-pohjissa, luetteloita ja testituloksia Excelissä. Vielä vuonna 2025 Rev5-valtuutukset perustuivat lähes kokonaan näihin pohjiin, vaikka OSCAL oli jo pitkään ollut olemassa koneluettavana vaihtoehtona.

Tammikuussa 2026 FedRAMP käynnisti suunnanmuutoksen RFC-0024:llä: valtuutustiedot on määrä toimittaa jäsenneltynä, koneluettavana datana asiakirjapinojen sijaan. Viranomaisille tämä tarkoittaa nopeampia tarkastuksia ja vertailukelpoisia paketteja. Pilvipalvelujen tarjoajille se tarkoittaa siirtymää, joka kannattaa suunnitella mieluummin aikaisin kuin myöhään.

• Word- ja Excel-pohjista luovutaan toimitusmuotoina
• Jäsennelty data tekee paketeista tarkistettavia, vertailukelpoisia ja uudelleenkäytettäviä
• Siirtymä koskee kaikkia palveluntarjoajia, ei pelkästään 20x-modernisointipolkua

RFC-0024:stä Consolidated Rules 2026 -sääntöihin

Tie lopulliseen sääntöön on itsessään oppitunti julkisesta standardoinnista. Alkuperäisessä ehdotuksessa asetettiin tiukat takarajat jo 30. syyskuuta 2026. Kommentointijakson aikana, joka päättyi 11. maaliskuuta 2026, palveluntarjoajat pyysivät lähes yksimielisesti lisää valmistautumisaikaa.

FedRAMP reagoi: maaliskuussa 2026 julkaistu välitulos siirsi määräaikoja myöhemmäksi. Kaikki koottiin sitten lopullisiin Consolidated Rules for 2026 (CR26) -sääntöihin, jotka julkaistiin kesäkuun 2026 lopussa ja jotka jakavat vaatimukset sertifiointiluokkiin A–D. Viesti on ennallaan: koneluettavuus on tulossa – vain aikataulu muuttui realistisemmaksi.

Määräajat yhdellä silmäyksellä

Ratkaiseva on lopullinen CR26-aikataulu; aiemmat väliluonnokset luokkakohtaisine muototakarajoineen on korvattu.

• 4. heinäkuuta 2026 alkaen: uuden sääntökokonaisuuden vapaaehtoinen varhainen käyttöönotto, ja luokkakohtaiset käsittelyputket avautuvat elokuusta 2026 alkaen
• 1. tammikuuta 2027 alkaen: Consolidated Rules -säännöt ovat pakollisia; korkeimman luokan D uudet sertifioinnit edellyttävät koneluettavia valtuutustietoja JSON-muodossa, joka validoituu julkaistuja FedRAMP-skeemoja vasten
• Olemassa olevat sertifioinnit: siirtymä viimeistään ensimmäisessä riippumattomassa arvioinnissa, joka alkaa 1. tammikuuta 2027 jälkeen
• 11. kesäkuuta 2027: uusien Rev5-sertifiointien loppu – siitä lähtien uudet hakemukset käsitellään kokonaan uuden sääntökokonaisuuden mukaisesti

Suunnittelun kannalta tärkeää: jokainen, joka tavoittelee uutta valtuutusta vuonna 2027, työskentelee käytännössä uusien formaattien parissa jo vuonna 2026 – paketin valmistelu, puuteanalyysit ja testaus alkavat hyvissä ajoin ennen takarajaa.

OSCALin rooli

Lopulliset säännöt kiinnittävät koneluettavuuden JSON-dokumentteihin, jotka validoituvat julkaistuja FedRAMP-skeemoja vasten – FedRAMP ei määrää tiettyä laadintatyökalua. Käytännössä tie kulkee OSCALin kautta: NIST-standardi on vakiintunut avoin tietomalli juuri tälle sisällölle, FedRAMP tekee yhteistyötä OSCAL-yhteisön kanssa pohjien ja resurssien osalta, ja työkaluekosysteemi kasvaa siellä nopeimmin – OSCAL-työkalujen kenttää käsittelevä artikkelimme antaa yleiskuvan.

Sitä, miten dokumenttimallit sopivat yhteen – katalogista profiiliin, SSP:hen ja arviointiin – käsitellään johdannossamme Mikä on OSCAL?

Mitä pilvipalvelujen tarjoajien tulisi tehdä nyt

Jäsennellyn vaatimustenmukaisuusdatan parissa tekemämme työn perusteella yksinkertainen järjestys on osoittautunut toimivaksi. Se toimii riippumatta siitä, onko kohteena FedRAMP vai jokin muu ohjelma, jossa on koneluettavuutta koskevia vaatimuksia.

• Inventaario: mitkä nykyisen paketin osat ovat missäkin – ja millä laatutasolla?
• Pilotti: muunna osa SSP:stä OSCAL-muotoon ja tarkista se skeemoja vasten esimerkiksi maksuttomalla OSCAL-validaattorillamme
• Toimintamalli: määritä omistajat, katselmoinnit ja näytön käsittely niin, että jäsennelty data on oletus eikä lopussa tehtävä vienti

Juuri tätä varten rakennamme Secania: alustaa, jossa valtuutustiedot ovat jäsenneltyjä alusta alkaen – lähteineen, hyväksyntöineen ja historioineen. Jos suunnittelet siirtymää, ota meihin yhteyttä.