FedRAMP prehaja na strojno berljive formate

Konec paketa v Wordu

Paket za avtorizacijo FedRAMP je bil dolga leta predvsem eno: veliko dokumentov. Varnostni načrti sistemov (SSP) s stotinami strani, opisi kontrol v predlogah za Word, popisi in rezultati testov v Excelu. Še leta 2025 so avtorizacije Rev5 skoraj v celoti potekale s temi predlogami, čeprav je OSCAL kot strojno berljiva alternativa obstajal že dolgo.

Januarja 2026 je FedRAMP z RFC-0024 začel spremembo smeri: podatki za avtorizacijo naj se namesto kupov dokumentov predložijo kot strukturirani, strojno berljivi podatki. Za agencije to pomeni hitrejše preglede in primerljive pakete. Za ponudnike storitev v oblaku pomeni prehod, ki ga je veliko bolje načrtovati zgodaj kot pozno.

• Predloge za Word in Excel se opuščajo kot formati za predložitev
• Strukturirani podatki naredijo pakete preverljive, primerljive in ponovno uporabljive
• Prehod velja za vse ponudnike, ne le za modernizacijsko pot 20x

Od RFC-0024 do Consolidated Rules 2026

Pot do končnega pravila je že sama po sebi lekcija iz javne standardizacije. Prvotni predlog je določal stroge roke že 30. septembra 2026. Med obdobjem za pripombe, ki se je končalo 11. marca 2026, so ponudniki skoraj enotno zahtevali več časa za pripravo.

FedRAMP se je odzval: vmesni izid, objavljen marca 2026, je roke premaknil. Vse skupaj je bilo nato združeno v končna Consolidated Rules for 2026 (CR26), objavljena konec junija 2026, ki zahteve razvrščajo v certifikacijske razrede od A do D. Sporočilo je nespremenjeno: strojna berljivost prihaja, le časovni načrt je postal bolj realističen.

Roki na prvi pogled

Šteje končni časovni načrt CR26; prejšnji vmesni osnutki z roki za formate po posameznih razredih so preseženi.

• Od 4. julija 2026: neobvezna zgodnja uporaba novega nabora pravil, pri čemer se poti za posamezne razrede odpirajo od avgusta 2026
• Od 1. januarja 2027: Consolidated Rules se uporabljajo obvezno; nove certifikacije v najvišjem razredu D zahtevajo strojno berljive podatke za avtorizacijo v obliki JSON, ki so veljavni glede na objavljene sheme FedRAMP
• Obstoječe certifikacije: prehod najpozneje ob prvem neodvisnem ocenjevanju, ki se začne po 1. januarju 2027
• 11. junij 2027: konec novih certifikacij Rev5 – od takrat nove prijave potekajo v celoti po novem naboru pravil

Pomembno za načrtovanje: kdor cilja na novo avtorizacijo v letu 2027, dejansko že v letu 2026 dela z novimi formati – priprava paketa, analize vrzeli in testiranje se začnejo precej pred rokom.

Kakšno vlogo ima OSCAL

Končna pravila strojno berljivost zasidrajo v dokumentih JSON, ki so veljavni glede na objavljene sheme FedRAMP – FedRAMP ne predpisuje določenega orodja za pripravo. V praksi pa pot vodi prek OSCAL: standard NIST je uveljavljen odprt podatkovni model prav za to vsebino, FedRAMP s skupnostjo OSCAL sodeluje pri predlogah in virih, ekosistem orodij pa tam raste najhitreje – naš prispevek o pokrajini orodij OSCAL daje pregled.

Kako se modeli dokumentov povezujejo – od kataloga do profila do SSP in ocenjevanja – obravnava naš uvod Kaj je OSCAL?

Kaj naj ponudniki storitev v oblaku storijo zdaj

Iz našega dela s strukturiranimi podatki o skladnosti se je obnesel preprost vrstni red. Deluje ne glede na to, ali je cilj FedRAMP ali drug program s strojno berljivimi zahtevami.

• Popis: kateri deli današnjega paketa so kje – in v kakšni kakovosti?
• Pilot: del SSP pretvorite v OSCAL in ga preverite glede na sheme, na primer z našim brezplačnim validatorjem OSCAL
• Delovni model: vzpostavite odgovorne osebe, preglede in ravnanje z dokazili tako, da so strukturirani podatki privzeta oblika, ne izvoz na koncu

Prav za to gradimo Secani: platformo, v kateri so podatki za avtorizacijo strukturirani od začetka – z viri, odobritvami in zgodovino. Če načrtujete prehod, se pogovorite z nami.