Resumen

  • El calendario de FedRAMP propone avisar el 12 de octubre a proveedores admisibles con infraestructura propia o híbrida y recibir sus respuestas antes del día 16.
  • El grupo analizará cómo podrían servir las certificaciones comerciales en futuras reglas de FedRAMP 20x; participar o tener un certificado comercial no garantiza certificación FedRAMP ni autorización de una agencia concreta.

Análisis

El programa federal estadounidense de gestión de riesgos y autorizaciones (FedRAMP) ha fijado un plazo cercano en su propuesta para la fase 4 de FedRAMP 20x. Prevé identificar a los proveedores admisibles con datos ya publicados en el Marketplace, enviar instrucciones a sus bandejas FedRAMP Security Inbox el 12 de octubre y pedirles una respuesta antes del 16. El documento presenta esas fechas como objetivos sujetos a posibles imprevistos. No identifica a los invitados ni afirma que los avisos ya se hayan enviado.

Los criterios son concretos. El proveedor debe contar con una certificación FedRAMP Rev5 Class C o Class D vigente, registrar al menos 15 usos por parte de agencias y operar principalmente con infraestructura propia o híbrida. Si ofrece varios servicios que cumplen los requisitos, cuenta una sola vez como proveedor. La definición de infraestructura propia incluye la que opera directamente el proveedor o aquella cuya responsabilidad asume mediante un acuerdo con un tercero. La invitación da acceso a conversaciones directas, no a una solicitud pública de certificación.

La separación responde a una brecha de diseño de FedRAMP 20x: sus tres primeras fases se centraron en servicios alojados sobre infraestructura o plataformas que ya tenían certificación Rev5. Los proveedores responsables de sus propias instalaciones físicas plantean un problema distinto. FedRAMP quiere estudiar qué certificaciones sectoriales usan, compararlas con los requisitos Rev5 pertinentes y, cuando sea posible, reutilizar sus pruebas en una certificación 20x futura.

La fase 4 también contempla un piloto Class D para servicios alojados en la nube y una vía de participación para servicios de evaluación independientes. Cada vía tiene requisitos y fechas propios. Para los proveedores de infraestructura propia, el 16 de octubre es el plazo propuesto para decidir quién participa en las primeras conversaciones; no es una fecha límite general del programa ni una concesión de estatus FedRAMP.

Las reglas finales de 20x para servicios autoalojados o híbridos todavía no están definidas. FedRAMP prevé incorporarlas a las reglas consolidadas de 2027 y señala el 4 de noviembre como fecha objetivo para una solicitud pública de comentarios sobre este modelo de alojamiento. El calendario propone más reuniones y otro proceso público de reglas en febrero. Son hitos previstos, no resultados ya obtenidos.

Fuentes