FedRAMP pereina prie mašininio skaitymo

Word paketo pabaiga

Daugelį metų FedRAMP autorizacijos paketas pirmiausia buvo vienas dalykas: daugybė dokumentų. Šimtų puslapių sistemų saugumo planai, kontrolės priemonių aprašymai Word šablonuose, inventoriai ir bandymų rezultatai Excel failuose. Dar 2025 m. Rev5 autorizacijos beveik visiškai rėmėsi šiais šablonais, nors OSCAL jau seniai egzistavo kaip mašinomis skaitoma alternatyva.

2026 m. sausį FedRAMP su RFC-0024 pradėjo krypties pokytį: autorizacijos duomenys turi būti teikiami kaip struktūrizuoti, mašinomis skaitomi duomenys, o ne kaip dokumentų krūvos. Agentūroms tai reiškia greitesnes peržiūras ir palyginamus paketus. Debesijos paslaugų teikėjams tai reiškia perėjimą, kurį kur kas geriau suplanuoti anksti nei vėlai.

• Word ir Excel šablonų, kaip pateikimo formatų, atsisakoma
• Struktūrizuoti duomenys leidžia paketus tikrinti, lyginti ir pakartotinai naudoti
• Perėjimas taikomas visiems paslaugų teikėjams, ne tik 20x modernizavimo krypčiai

Nuo RFC-0024 iki 2026 m. Konsoliduotųjų taisyklių

Kelias iki galutinės taisyklės pats savaime yra viešosios standartizacijos pamoka. Pradiniame pasiūlyme griežti terminai buvo nustatyti jau 2026 m. rugsėjo 30 d. Komentarų laikotarpiu, pasibaigusiu 2026 m. kovo 11 d., paslaugų teikėjai beveik vieningai prašė daugiau laiko pasirengti.

FedRAMP sureagavo: 2026 m. kovą paskelbtas tarpinis rezultatas terminus atidėjo. Tada viskas buvo sujungta į galutines 2026 m. Konsoliduotąsias taisykles (CR26), paskelbtas 2026 m. birželio pabaigoje, kurios reikalavimus suskirsto į sertifikavimo klases nuo A iki D. Žinia nepasikeitė: mašininis skaitomumas ateina – tik tvarkaraštis tapo realistiškesnis.

Terminai trumpai

Svarbus galutinis CR26 tvarkaraštis; ankstesni tarpiniai projektai su kiekvienai klasei nustatytais formato terminais nebegalioja.

• Nuo 2026 m. liepos 4 d.: neprivalomas ankstyvas naujojo taisyklių rinkinio taikymas, o klasių eilės atidaromos nuo 2026 m. rugpjūčio
• Nuo 2027 m. sausio 1 d.: Konsoliduotosios taisyklės taikomos privalomai; naujiems aukščiausios D klasės sertifikavimams reikia mašinomis skaitomų autorizacijos duomenų JSON formatu, atitinkančių paskelbtas FedRAMP schemas
• Esami sertifikavimai: perėjimas ne vėliau kaip per pirmąjį nepriklausomą vertinimą, prasidedantį po 2027 m. sausio 1 d.
• 2027 m. birželio 11 d.: naujų Rev5 sertifikavimų pabaiga – nuo tada nauji prašymai visiškai teikiami pagal naująjį taisyklių rinkinį

Planavimui svarbu: kiekvienas, siekiantis naujos autorizacijos 2027 m., iš esmės dirba su naujais formatais jau 2026 m. – paketo rengimas, spragų analizė ir bandymai prasideda gerokai prieš terminą.

Kokį vaidmenį atlieka OSCAL

Galutinės taisyklės mašininį skaitomumą įtvirtina JSON dokumentuose, atitinkančiuose paskelbtas FedRAMP schemas – FedRAMP nenurodo konkretaus rengimo įrankio. Praktikoje kelias veda per OSCAL: šis NIST standartas yra nusistovėjęs atvirasis duomenų modelis būtent tokiam turiniui, FedRAMP bendradarbiauja su OSCAL bendruomene rengdama šablonus ir išteklius, o įrankių ekosistema sparčiausiai auga būtent ten – apžvalgą pateikiame savo įraše apie OSCAL įrankių kraštovaizdį.

Kaip dera dokumentų modeliai – nuo katalogo iki profilio, SSP ir vertinimo – aptariama mūsų įvade Kas yra OSCAL?

Ką debesijos paslaugų teikėjai turėtų daryti dabar

Mūsų darbo su struktūrizuotais atitikties duomenimis patirtis rodo, kad pasiteisina paprasta seka. Ji veikia nepriklausomai nuo to, ar tikslas yra FedRAMP, ar kita programa su mašininio skaitomumo reikalavimais.

• Inventorizacija: kur šiandien yra kiekviena paketo dalis ir kokia jos kokybė?
• Bandomasis projektas: konvertuokite dalį SSP į OSCAL ir patikrinkite ją pagal schemas, pavyzdžiui, mūsų nemokamu OSCAL Validator
• Darbo modelis: nustatykite atsakingus asmenis, peržiūras ir įrodymų tvarkymą taip, kad struktūrizuoti duomenys būtų numatytasis variantas, o ne eksportas pabaigoje

Būtent tam kuriame Secani: platformą, kurioje autorizacijos duomenys nuo pat pradžių yra struktūrizuoti – su šaltiniais, patvirtinimais ir istorija. Jei planuojate perėjimą, susisiekite su mumis.