FedRAMP pāriet uz mašīnlasāmiem datiem

Word paketes beigas

Gadiem ilgi FedRAMP autorizācijas pakete galvenokārt bija viens: liels dokumentu apjoms. Sistēmu drošības plāni simtiem lappušu garumā, kontroļu apraksti Word veidnēs, uzskaites un testu rezultāti Excel failos. Vēl 2025. gadā Rev5 autorizācijas gandrīz pilnībā balstījās uz šīm veidnēm, lai gan OSCAL jau sen pastāvēja kā mašīnlasāma alternatīva.

FedRAMP 2026. gada janvārī ar RFC-0024 uzsāka kursa maiņu: autorizācijas dati jāiesniedz kā strukturēti, mašīnlasāmi dati, nevis kā dokumentu kaudzes. Iestādēm tas nozīmē ātrāku pārskatīšanu un salīdzināmas paketes. Mākoņpakalpojumu sniedzējiem tas nozīmē pāreju, ko daudz labāk plānot laikus nekā novēloti.

• Word un Excel veidnes vairs netiks izmantotas kā iesniegšanas formāti
• Strukturēti dati padara paketes pārbaudāmas, salīdzināmas un atkārtoti izmantojamas
• Pāreja attiecas uz visiem pakalpojumu sniedzējiem, ne tikai uz 20x modernizācijas virzienu

No RFC-0024 līdz Consolidated Rules 2026

Ceļš līdz galīgajam noteikumam pats par sevi ir mācība publiskajā standartizācijā. Sākotnējais priekšlikums noteica stingrus termiņus jau 2026. gada 30. septembrī. Komentāru periodā, kas noslēdzās 2026. gada 11. martā, pakalpojumu sniedzēji gandrīz vienbalsīgi lūdza vairāk laika sagatavošanai.

FedRAMP reaģēja: 2026. gada martā publicētais starprezultāts pārcēla termiņus uz vēlāku laiku. Pēc tam viss tika apvienots galīgajos Consolidated Rules for 2026 (CR26), kas publicēti 2026. gada jūnija beigās un sakārto prasības sertifikācijas klasēs no A līdz D. Vēstījums nav mainījies: mašīnlasāmība nāk, tikai grafiks kļuva reālistiskāks.

Termiņi īsumā

Noteicošais ir galīgais CR26 grafiks; agrākie starpposma projekti ar katrai klasei noteiktiem formātu termiņiem ir aizstāti.

• Kopš 2026. gada 4. jūlija: jauno noteikumu kopuma brīvprātīga agrīna piemērošana, klašu plūsmām atveroties no 2026. gada augusta
• No 2027. gada 1. janvāra: Consolidated Rules ir obligāti piemērojami; jaunām sertifikācijām augstākajā D klasē nepieciešami mašīnlasāmi autorizācijas dati JSON formātā, kas validējas pret publicētajām FedRAMP shēmām
• Esošās sertifikācijas: pāreja ne vēlāk kā pirmajā neatkarīgajā novērtējumā, kas sākas pēc 2027. gada 1. janvāra
• 2027. gada 11. jūnijs: jaunu Rev5 sertifikāciju beigas – no tā brīža jauni pieteikumi pilnībā tiek izskatīti saskaņā ar jauno noteikumu kopumu

Svarīgi plānošanai: ikviens, kas tiecas pēc jaunas autorizācijas 2027. gadā, faktiski strādā ar jaunajiem formātiem jau 2026. gadā – paketes sagatavošana, nepilnību analīze un testēšana sākas krietni pirms termiņa.

Kāda loma ir OSCAL

Galīgie noteikumi nostiprina mašīnlasāmību JSON dokumentos, kas validējas pret publicētajām FedRAMP shēmām; FedRAMP nenosaka konkrētu satura veidošanas rīku. Praksē ceļš ved caur OSCAL: šis NIST standarts ir iedibināts atvērts datu modelis tieši šādam saturam, FedRAMP sadarbojas ar OSCAL kopienu veidņu un resursu jomā, un rīku ekosistēma tieši tur aug visstraujāk – mūsu raksts par OSCAL rīku ainavu sniedz pārskatu.

Kā dokumentu modeļi savstarpēji sader – no kataloga līdz profilam, SSP un novērtējumam –, aplūkots mūsu ievadā Kas ir OSCAL?

Kas mākoņpakalpojumu sniedzējiem jādara tagad

Mūsu darbā ar strukturētiem atbilstības datiem ir sevi pierādījusi vienkārša secība. Tā darbojas neatkarīgi no tā, vai mērķis ir FedRAMP vai cita programma ar mašīnlasāmības prasībām.

• Uzskaite: kuras šodienas paketes daļas kur atrodas un kādā kvalitātē?
• Izmēģinājums: pārveidojiet daļu SSP uz OSCAL un pārbaudiet to pret shēmām, piemēram, ar mūsu bezmaksas OSCAL Validator
• Darba modelis: ieviesiet īpašniekus, pārskatīšanu un pierādījumu apstrādi tā, lai strukturēti dati būtu noklusējums, nevis eksports beigās

Tieši šim nolūkam mēs veidojam Secani: platformu, kurā autorizācijas dati ir strukturēti jau no paša sākuma – ar avotiem, apstiprinājumiem un vēsturi. Ja plānojat pāreju, sazinieties ar mums.