FedRAMP trece la formatul lizibil automat

Sfârșitul pachetului Word

Timp de ani de zile, un pachet de autorizare FedRAMP a fost, înainte de toate, un singur lucru: foarte multă documentație. Planuri de securitate a sistemului de sute de pagini, descrieri ale controalelor în șabloane Word, inventare și rezultate ale testelor în Excel. Chiar și în 2025, autorizările Rev5 se bazau aproape în întregime pe aceste șabloane, deși OSCAL exista de mult timp ca alternativă lizibilă automat.

În ianuarie 2026, FedRAMP a inițiat schimbarea de direcție prin RFC-0024: datele de autorizare urmează să fie transmise ca date structurate, lizibile automat, în locul teancurilor de documente. Pentru agenții, acest lucru înseamnă analize mai rapide și pachete comparabile. Pentru furnizorii de servicii cloud, înseamnă o tranziție care este mult mai bine planificată din timp decât târziu.

• Șabloanele Word și Excel sunt retrase ca formate de transmitere
• Datele structurate fac pachetele verificabile, comparabile și reutilizabile
• Tranziția se aplică tuturor furnizorilor, nu doar traseului de modernizare 20x

De la RFC-0024 la Consolidated Rules 2026

Drumul către regula finală este în sine o lecție de standardizare publică. Propunerea inițială stabilea termene-limită ferme încă de la 30 septembrie 2026. În perioada de consultare publică, încheiată la 11 martie 2026, furnizorii au cerut aproape în unanimitate mai mult timp de pregătire.

FedRAMP a răspuns: rezultatul intermediar publicat în martie 2026 a amânat termenele. Totul a fost apoi consolidat în versiunea finală a Consolidated Rules for 2026 (CR26), publicată la sfârșitul lunii iunie 2026, care organizează cerințele în clasele de certificare de la A la D. Mesajul rămâne neschimbat: lizibilitatea automată vine; doar calendarul a devenit mai realist.

Termenele pe scurt

Contează calendarul final CR26; versiunile intermediare anterioare, cu termene de format pentru fiecare clasă, sunt înlocuite.

• Din 4 iulie 2026: adoptarea timpurie opțională a noului set de reguli, cu deschiderea fluxurilor pe clase din august 2026
• De la 1 ianuarie 2027: Consolidated Rules se aplică obligatoriu; certificările noi din cea mai înaltă clasă, D, necesită date de autorizare lizibile automat în format JSON, validate în raport cu schemele FedRAMP publicate
• Certificările existente: tranziția cel târziu la prima evaluare independentă care începe după 1 ianuarie 2027
• 11 iunie 2027: sfârșitul certificărilor Rev5 noi; de atunci, cererile noi se derulează în întregime pe baza noului set de reguli

Important pentru planificare: oricine urmărește o autorizare nouă în 2027 lucrează, de fapt, cu noile formate încă din 2026, deoarece pregătirea pachetului, analizele decalajelor și testarea încep cu mult înaintea termenului-limită.

Rolul jucat de OSCAL

Regulile finale ancorează lizibilitatea automată în documente JSON care se validează în raport cu schemele FedRAMP publicate; FedRAMP nu prescrie un anumit instrument de redactare. În practică, drumul trece prin OSCAL: standardul NIST este modelul de date deschis consacrat exact pentru acest conținut, FedRAMP colaborează cu comunitatea OSCAL la șabloane și resurse, iar ecosistemul de instrumente crește cel mai rapid acolo. Articolul nostru despre peisajul instrumentelor OSCAL oferă o imagine de ansamblu.

Modul în care se îmbină modelele de documente, de la catalog la profil, la SSP și la evaluare, este prezentat în introducerea noastră Ce este OSCAL?

Ce ar trebui să facă acum furnizorii de cloud

Din experiența noastră cu datele de conformitate structurate, o succesiune simplă și-a dovedit eficiența. Ea funcționează indiferent dacă ținta este FedRAMP sau un alt program cu cerințe de lizibilitate automată.

• Inventar: ce părți ale pachetului actual se află unde și la ce nivel de calitate?
• Proiect pilot: convertiți o secțiune a SSP în OSCAL și verificați-o în raport cu schemele, de exemplu cu OSCAL Validator, instrumentul nostru gratuit
• Model de lucru: stabiliți responsabilii, analizele și gestionarea dovezilor astfel încât datele structurate să fie standardul, nu un export realizat la final

Exact pentru asta construim Secani: o platformă în care datele de autorizare sunt structurate de la început, cu surse, aprobări și istoric. Dacă planificați tranziția, discutați cu noi.