FedRAMP prelazi na strojno čitljive podatke

Kraj paketa u Wordu

Godinama je autorizacijski paket za FedRAMP prije svega bio jedno: mnogo dokumenata. Planovi sigurnosti sustava od nekoliko stotina stranica, opisi kontrola u predlošcima za Word, popisi imovine i rezultati testova u Excelu. Još su se 2025. autorizacije prema Rev5 gotovo u potpunosti oslanjale na te predloške – iako je OSCAL odavno postojao kao strojno čitljiva alternativa.

U siječnju 2026. FedRAMP je dokumentom RFC-0024 pokrenuo promjenu smjera: autorizacijski podaci trebaju se dostavljati kao strukturirani, strojno čitljivi podaci umjesto hrpa dokumenata. Za agencije to znači brže preglede i usporedive pakete. Za pružatelje usluga u oblaku to znači prijelaz koji je mnogo bolje planirati rano nego kasno.

• Predlošci za Word i Excel ukidaju se kao formati za dostavu
• Strukturirani podaci čine pakete provjerljivima, usporedivima i višekratno upotrebljivima
• Prijelaz se odnosi na sve pružatelje, a ne samo na modernizacijski put 20x

Od RFC-0024 do Consolidated Rules 2026

Put do konačnog pravila sam je po sebi lekcija o javnoj standardizaciji. Izvorni prijedlog postavljao je stroge rokove već za 30. rujna 2026. Tijekom razdoblja za komentare, koje je završilo 11. ožujka 2026., pružatelji su gotovo jednoglasno tražili više vremena za pripremu.

FedRAMP je odgovorio: privremeni ishod objavljen u ožujku 2026. pomaknuo je rokove. Sve je zatim objedinjeno u konačnim pravilima Consolidated Rules for 2026 (CR26), objavljenima krajem lipnja 2026., koja zahtjeve organiziraju u certifikacijske razrede od A do D. Poruka je nepromijenjena: strojna čitljivost dolazi – samo je raspored postao realniji.

Rokovi ukratko

Mjerodavan je konačni raspored iz CR26; raniji privremeni nacrti s rokovima za formate po razredima zamijenjeni su.

• Od 4. srpnja 2026.: dobrovoljno rano usvajanje novog skupa pravila, uz otvaranje postupaka za pojedine razrede od kolovoza 2026.
• Od 1. siječnja 2027.: Consolidated Rules primjenjuju se obvezno; nove certifikacije u najvišem razredu D zahtijevaju strojno čitljive autorizacijske podatke u formatu JSON koji se validiraju prema objavljenim shemama FedRAMP-a
• Postojeće certifikacije: prijelaz najkasnije do prve neovisne procjene koja započne nakon 1. siječnja 2027.
• 11. lipnja 2027.: kraj novih certifikacija prema Rev5 – od tada se novi zahtjevi u potpunosti provode prema novom skupu pravila

Važno za planiranje: tko cilja na novu autorizaciju 2027., zapravo već 2026. radi s novim formatima – priprema paketa, analize nedostataka i testiranje počinju znatno prije roka.

Kakvu ulogu ima OSCAL

Konačna pravila temelje strojnu čitljivost na JSON dokumentima koji se validiraju prema objavljenim shemama FedRAMP-a – FedRAMP ne propisuje određeni alat za izradu. U praksi put vodi kroz OSCAL: NIST-ova norma etablirani je otvoreni podatkovni model upravo za takav sadržaj, FedRAMP surađuje sa zajednicom OSCAL-a na predlošcima i resursima, a ekosustav alata ondje raste najbrže – naš članak o krajoliku alata za OSCAL daje pregled.

Kako se modeli dokumenata uklapaju – od kataloga preko profila do SSP-a i procjene – objašnjava naš uvodni članak Što je OSCAL?

Što bi pružatelji usluga u oblaku trebali učiniti sada

Iz našeg rada sa strukturiranim podacima o usklađenosti pokazao se jednostavan slijed. Funkcionira neovisno o tome je li cilj FedRAMP ili neki drugi program sa zahtjevima strojne čitljivosti.

• Popis: koji se dijelovi današnjeg paketa nalaze gdje – i u kakvoj kvaliteti?
• Pilot: pretvorite dio SSP-a u OSCAL i provjerite ga prema shemama, primjerice našim besplatnim OSCAL validatorom
• Radni model: uspostavite odgovorne osobe, preglede i postupanje s dokazima tako da strukturirani podaci budu zadana postavka, a ne izvoz na kraju

Upravo za to razvijamo Secani: platformu na kojoj su autorizacijski podaci strukturirani od samog početka – s izvorima, odobrenjima i poviješću. Ako planirate prijelaz, razgovarajte s nama.