FedRAMP jest odczytywalny maszynowo

Koniec pakietu Word

Przez lata pakiet autoryzacyjny FedRAMP to przede wszystkim jedno: dużo dokumentów. Plany bezpieczeństwa systemu obejmujące setki stron, opisy kontroli w szablonach Word, inwentarze i wyniki testów w Excelu. Jeszcze w 2025 r. autoryzacje w wersji 5 opierały się prawie wyłącznie na tych szablonach – mimo że OSCAL od dawna istniał jako alternatywa do odczytu maszynowego.

W styczniu 2026 r. FedRAMP zapoczątkował zmianę kursu w dokumencie RFC-0024: dane autoryzacyjne należy przesyłać w postaci ustrukturyzowanych danych do odczytu maszynowego, a nie w postaci stosów dokumentów. Dla agencji oznacza to szybsze recenzje i porównywalne pakiety. Dla dostawców usług w chmurze oznacza to przejście, które lepiej zaplanować wcześniej niż później.

• Szablony programów Word i Excel są wycofywane jako formaty przesyłania
• Uporządkowane dane sprawiają, że pakiety są sprawdzalne, porównywalne i nadają się do ponownego wykorzystania
• Przejście dotyczy wszystkich dostawców, a nie tylko ścieżki modernizacji 20x

Od RFC-0024 do Skonsolidowanych zasad 2026

Droga do ostatecznej zasady sama w sobie jest lekcją standaryzacji publicznej. W pierwotnej propozycji ustalono twarde granice już 30 września 2026 r. W okresie zgłaszania uwag, który zakończył się 11 marca 2026 r., dostawcy niemal zawsze prosili o dłuższy czas na przygotowanie.

FedRAMP odpowiedział: tymczasowy wynik opublikowany w marcu 2026 r. przesunął terminy. Następnie wszystko przełożyło się na finał Skonsolidowane zasady na rok 2026 (CR26), opublikowany pod koniec czerwca 2026 r., który porządkuje wymagania w klasy certyfikacji od A do D. Przesłanie pozostaje niezmienione: nadchodzi czytelność maszynowa – tylko harmonogram stał się bardziej realistyczny.

Terminy w skrócie

Liczy się ostateczny harmonogram CR26; wcześniejsze wersje robocze tymczasowe z ograniczeniami formatu dla poszczególnych klas zostają zastąpione.

• Od 4 lipca 2026 r.: opcjonalne wcześniejsze przyjęcie nowego zestawu reguł, a potoki klas zostaną otwarte od sierpnia 2026 r.
• Od 1 stycznia 2027 r.: Obowiązkowo stosuje się Jednolity Regulamin; nowe certyfikaty w najwyższej klasie D wymagają czytelnych maszynowo danych autoryzacyjnych w formacie JSON sprawdzających poprawność względem opublikowanych schematów FedRAMP
• Istniejące certyfikaty: przejście nie później niż pierwsza niezależna ocena, która rozpoczyna się po 1 stycznia 2027 r
• 11 czerwca 2027 r.: koniec nowych certyfikatów Rev5 – od tego momentu nowe aplikacje działają wyłącznie w oparciu o nowy zestaw reguł

Ważne dla planowania: każda osoba, która planuje uzyskać nowe zezwolenie w 2027 r., skutecznie pracuje z nowymi formatami w 2026 r. – przygotowanie pakietu, analiza luk i testowanie rozpoczynają się na długo przed datą końcową.

Rola, jaką odgrywa OSCAL

Ostateczne zasady zapewniają czytelność maszynową w dokumentach JSON, które sprawdzają poprawność opublikowanych schematów FedRAMP – FedRAMP nie zaleca konkretnego narzędzia do tworzenia. W praktyce droga prowadzi przez OSCAL: standard NIST to ustalony model otwartych danych dla dokładnie tej treści, FedRAMP współpracuje ze społecznością OSCAL nad szablonami i zasobami, a ekosystem narzędzi rozwija się tam najszybciej – nasz post na Krajobraz narzędzi OSCAL daje przegląd.

To, jak modele dokumentów do siebie pasują – od katalogu, przez profil, po SSP i ocenę – omówiliśmy we wstępie Co to jest OSCAL?

Co powinni teraz zrobić dostawcy usług w chmurze

W naszej pracy z ustrukturyzowanymi danymi dotyczącymi zgodności sprawdziła się prosta sekwencja. Działa niezależnie od tego, czy celem jest FedRAMP, czy inny program z wymaganiami do odczytu maszynowego.

• Zapasy: które części dzisiejszego pakietu znajdują się gdzie i w jakiej jakości?
• Pilot: zamień wycinek SSP na OSCAL i sprawdź go ze schematami, na przykład za pomocą naszego bezpłatnego Walidator OSCAL
• Model roboczy: skonfiguruj właścicieli, recenzje i obsługę dowodów tak, aby dane strukturalne były domyślne, a nie eksportowane na końcu

Właśnie po to budujemy Secani: platformę, na której dane autoryzacyjne są uporządkowane od samego początku – ze źródłami, zatwierdzeniami i historią. Jeśli planujesz przejście, porozmawiaj z nami.