Résumé

  • Le calendrier proposé par FedRAMP prévoit des avis le 12 octobre aux fournisseurs admissibles d’infrastructures auto-hébergées ou hybrides, puis une réponse au plus tard le 16.
  • Le groupe ciblé étudiera la place des certifications commerciales dans les futures règles FedRAMP 20x ; participer ou détenir une certification commerciale ne garantit ni certification FedRAMP ni autorisation propre à une agence.

Analyse

Le programme fédéral américain de gestion des risques et des autorisations (FedRAMP) a introduit une échéance rapprochée dans sa proposition de phase 4 de FedRAMP 20x. Il compte repérer les fournisseurs admissibles à partir des données déjà présentes dans le Marketplace, leur envoyer des instructions dans leur boîte FedRAMP Security Inbox le 12 octobre, puis leur demander de répondre avant le 16. Le document présente ces dates comme des objectifs, sous réserve d’imprévus. Il ne publie ni liste d’invités ni preuve de l’envoi des avis.

Les critères sont précis. Le fournisseur doit détenir une certification FedRAMP Rev5 Class C ou Class D en cours, avoir au moins 15 utilisations par des agences inscrites au dossier, et exploiter principalement une infrastructure auto-hébergée ou hybride. Une entreprise ayant plusieurs offres admissibles ne compte qu’une fois. L’auto-hébergement couvre les infrastructures exploitées par le fournisseur lui-même ou dont il assume la responsabilité dans un accord avec un tiers. Il s’agit d’intégrer un groupe de travail direct, pas de déposer une demande publique de certification.

Cette séparation répond à une lacune de conception identifiée par FedRAMP : les trois premières phases de 20x visaient les services reposant sur des infrastructures ou des plateformes déjà certifiées Rev5. Les fournisseurs responsables de leur propre infrastructure physique posent une question distincte. Le programme propose d’examiner les certifications sectorielles qu’ils utilisent, de les comparer aux exigences Rev5 pertinentes et, si possible, de rendre leurs éléments de preuve réutilisables dans une future certification 20x.

La phase 4 comprend aussi un pilote Class D pour les services hébergés dans le cloud et un volet destiné aux services d’évaluation indépendants. Chacun a ses propres critères et son calendrier. Pour les fournisseurs, la date du 16 octobre concerne le choix des participants aux premières discussions ; ce n’est ni une échéance générale pour le secteur ni une attribution de statut FedRAMP.

Les règles définitives de 20x pour les services auto-hébergés ou hybrides ne sont pas encore établies. FedRAMP prévoit de les intégrer à l’édition 2027 de ses règles consolidées et cible le 4 novembre pour une demande de commentaires publics sur ce modèle d’hébergement. Le calendrier prévoit d’autres échanges et une nouvelle consultation sur les règles en février. Ce sont des jalons annoncés, pas des étapes déjà achevées.

Sources