FedRAMP prechádza na strojovo čitateľné údaje

Koniec balíka vo Worde

Autorizačný balík FedRAMP bol roky predovšetkým jedným: množstvom dokumentov. Bezpečnostné plány systémov (SSP) so stovkami strán, opisy opatrení vo wordových šablónach, inventáre a výsledky testov v Exceli. Ešte v roku 2025 prebiehali autorizácie Rev5 takmer výlučne na týchto šablónach – hoci OSCAL ako strojovo čitateľná alternatíva existoval už dlho.

V januári 2026 FedRAMP prostredníctvom RFC-0024 zmenil kurz: autorizačné údaje sa majú predkladať ako štruktúrované, strojovo čitateľné údaje namiesto kôp dokumentov. Pre úrady to znamená rýchlejšie preskúmania a porovnateľné balíky. Pre poskytovateľov cloudových služieb to znamená prechod, ktorý je oveľa lepšie naplánovať skôr než neskôr.

• Šablóny vo Worde a Exceli sa ako formáty na predkladanie vyraďujú
• Štruktúrované údaje robia balíky overiteľnými, porovnateľnými a opakovane použiteľnými
• Prechod sa týka všetkých poskytovateľov, nielen modernizačnej cesty 20x

Od RFC-0024 ku Consolidated Rules 2026

Cesta ku konečnému pravidlu je sama osebe lekciou verejnej štandardizácie. Pôvodný návrh stanovoval pevné termíny už na 30. septembra 2026. Počas pripomienkového obdobia, ktoré sa skončilo 11. marca 2026, poskytovatelia takmer jednomyseľne žiadali viac času na prípravu.

FedRAMP reagoval: priebežný výsledok zverejnený v marci 2026 posunul termíny. Všetko sa potom zjednotilo do konečných Consolidated Rules for 2026 (CR26), zverejnených na konci júna 2026, ktoré usporadúvajú požiadavky do certifikačných tried A až D. Posolstvo sa nezmenilo: strojová čitateľnosť prichádza – len harmonogram sa stal realistickejším.

Termíny v skratke

Rozhodujúci je konečný harmonogram CR26; skoršie priebežné návrhy s termínmi formátov pre jednotlivé triedy sú prekonané.

• Od 4. júla 2026: voliteľné skoršie prijatie nového súboru pravidiel, pričom procesy pre jednotlivé triedy sa otvárajú od augusta 2026
• Od 1. januára 2027: Consolidated Rules platia povinne; nové certifikácie v najvyššej triede D vyžadujú strojovo čitateľné autorizačné údaje vo formáte JSON, ktoré sa validujú podľa zverejnených schém FedRAMP
• Existujúce certifikácie: prechod najneskôr pri prvom nezávislom posúdení, ktoré sa začne po 1. januári 2027
• 11. júna 2027: koniec nových certifikácií Rev5 – odvtedy prebiehajú nové žiadosti výlučne podľa nového súboru pravidiel

Dôležité pre plánovanie: kto sa zameriava na novú autorizáciu v roku 2027, pracuje s novými formátmi fakticky už v roku 2026 – príprava balíka, analýzy medzier a testovanie sa začínajú dávno pred termínom.

Akú úlohu zohráva OSCAL

Konečné pravidlá ukotvujú strojovú čitateľnosť v dokumentoch JSON, ktoré sa validujú podľa zverejnených schém FedRAMP – FedRAMP nepredpisuje konkrétny nástroj na tvorbu. V praxi vedie cesta cez OSCAL: tento štandard NIST je zavedeným otvoreným dátovým modelom práve pre takýto obsah, FedRAMP spolupracuje s komunitou OSCAL na šablónach a zdrojoch a ekosystém nástrojov rastie najrýchlejšie práve tam – prehľad prináša náš článok o prostredí nástrojov OSCAL.

Ako do seba zapadajú dokumentové modely – od katalógu cez profil až po SSP a posúdenie – vysvetľuje náš úvod Čo je OSCAL?

Čo by mali poskytovatelia cloudových služieb urobiť teraz

Z našej práce so štruktúrovanými údajmi o compliance sa osvedčil jednoduchý postup. Funguje bez ohľadu na to, či je cieľom FedRAMP, alebo iný program so strojovo čitateľnými požiadavkami.

• Inventarizácia: ktoré časti dnešného balíka sa nachádzajú kde – a v akej kvalite?
• Pilot: preveďte časť SSP do OSCAL a overte ju podľa schém, napríklad pomocou nášho bezplatného OSCAL Validatora
• Pracovný model: nastavte vlastníkov, preskúmania a zaobchádzanie s dôkazmi tak, aby boli štruktúrované údaje štandardom, nie exportom na konci

Presne na to budujeme Secani: platformu, v ktorej sú autorizačné údaje štruktúrované od začiatku – so zdrojmi, schváleniami a históriou. Ak plánujete prechod, porozprávajte sa s nami.