الخلاصة

  • يقترح جدول FedRAMP إخطار المزوّدين المؤهلين الذين يشغّلون بنية ذاتية أو هجينة في 12 أكتوبر، وتلقي ردودهم بحلول 16 أكتوبر.
  • ستبحث المجموعة في إمكان الاستفادة من الشهادات التجارية ضمن قواعد FedRAMP 20x المقبلة؛ فالمشاركة أو امتلاك شهادة تجارية لا يضمن اعتماداً جديداً من FedRAMP أو موافقة جهة استخدام بعينها.

التحليل

أدرج برنامج إدارة المخاطر والتفويض الفيدرالي الأمريكي (FedRAMP) مهلة قريبة في مقترحه للمرحلة الرابعة من FedRAMP 20x. ويعتزم تحديد مزوّدي الخدمات السحابية المؤهلين من بيانات موجودة في Marketplace، ثم إرسال تعليمات إليهم عبر FedRAMP Security Inbox في 12 أكتوبر وطلب الرد قبل يوم 16. يصف المستند هذه التواريخ بأنها مستهدفة، ويفترض عدم وقوع تأخيرات غير متوقعة. ولا يسمّي الجهات المدعوة أو يقول إن الإشعارات أُرسلت بالفعل.

الشروط محددة: أن يحمل المزوّد اعتماداً سارياً من FedRAMP Rev5 Class C أو Class D، وأن يكون لديه ما لا يقل عن 15 استخداماً مسجلاً لدى جهات حكومية، وأن يعتمد أساساً على بنية ذاتية أو هجينة. ويُحتسب المزوّد مرة واحدة حتى لو كانت لديه خدمات مؤهلة متعددة. وتشمل البنية الذاتية ما يشغّله المزوّد مباشرة، وكذلك المرافق التي يتولى مسؤوليتها بموجب اتفاق مع طرف ثالث. هذه الشروط للدخول في مسار تواصل مباشر، لا لتقديم طلب اعتماد عام.

يرتبط المسار بفجوة تصميمية يقرّ بها المقترح: ركزت المراحل الثلاث الأولى من FedRAMP 20x على خدمات تعمل فوق بنية أو منصات حاصلة مسبقاً على اعتماد FedRAMP Rev5. أما المزوّد الذي يتحمل مسؤولية بنيته المادية فيطرح مسألة تصميم مختلفة. وتقترح الوثيقة مراجعة الشهادات القطاعية التي يستخدمها هؤلاء المزوّدون، ومقارنتها بمتطلبات Rev5 ذات الصلة، ثم إعادة استخدام الأدلة المتاحة في اعتماد 20x مستقبلي حيثما أمكن.

تتضمن المرحلة الرابعة أيضاً تجربة Class D للخدمات المستضافة سحابياً ومساراً مستقلاً لمشاركة جهات التقييم. لكل مسار معاييره ومواعيده. أما بالنسبة إلى مزوّدي البنية الذاتية، فموعد 16 أكتوبر المقترح يخص الرد على المشاركة في النقاشات الأولية؛ وليس موعداً عاماً لكل المزوّدين أو قراراً بمنح اعتماد FedRAMP.

لم تُحسم بعد قواعد 20x النهائية للخدمات ذات البنية الذاتية أو الهجينة. ويعتزم FedRAMP إدراج القواعد الناتجة ضمن النسخة الموحدة لعام 2027، مع استهداف 4 نوفمبر لطلب تعليقات عامة بشأن نموذج الاستضافة هذا. ويتضمن الجدول اجتماعات لاحقة وطلباً إضافياً للتعليق على القواعد في فبراير. هذه مواعيد مخططة وليست مراحل مكتملة.

المصادر