要約

  • FedRAMPの案は、自社基盤型またはハイブリッド型の適格事業者に10月12日ごろ通知し、16日までに参加意思を回答する日程を示す。
  • 対話の目的は、商用認証を将来のFedRAMP 20x規則にどう生かせるか調べることだ。参加や商用認証の保有だけでは、FedRAMP認証も各機関の利用承認も得られない。

分析

米連邦政府のリスク・認証管理プログラム（FedRAMP）は、FedRAMP 20x第4段階案に近い日付の参加手続きを盛り込んだ。Marketplaceにある情報をもとに対象となるクラウド事業者を特定し、10月12日にFedRAMP Security Inboxへ案内を送り、16日までに回答を求める想定だ。文書は、想定外の遅れがない場合の目標日程と明記している。招待先の一覧や通知の送付実績は公表していない。

参加条件は、現在有効なFedRAMP Rev5 Class CまたはClass D認証を持つこと、記録上少なくとも15件の政府機関利用があること、主に自社運用型またはハイブリッド型の基盤を使うことだ。複数の適格サービスを持つ事業者も一社として数える。自社運用型には、事業者自身が運用する設備のほか、第三者との契約下でも事業者が責任を負う設備が含まれる。これは限定的な直接対話への参加条件であり、一般の認証申請ではない。

別立ての経路が必要なのは、FedRAMPによれば、20xの第1〜3段階が主にRev5認証済みの基盤やプラットフォーム上で稼働するクラウドサービスを想定していたためだ。物理基盤に責任を持つ事業者には、別の設計課題がある。案では既存の業界認証を調べ、関係するRev5要件との差を把握し、可能な範囲で既存証拠を将来の20x認証に再利用する。

第4段階では、クラウド上のClass D試行と独立評価サービスとの対話も並行する。それぞれに別の条件と予定日がある。基盤を自社運用する事業者にとって、10月16日は初期対話の参加者を選ぶための回答期限で、全事業者に共通する締切でもFedRAMPの認証付与日でもない。

自社運用型・ハイブリッド型サービスに対する20xの最終規則は未確定だ。FedRAMPは結果を2027年版の統合規則に盛り込み、11月4日にこのホスティング形態に関する公開意見募集を始める目標を示した。その後の会合と翌年2月の追加RFCも予定されている。いずれも計画上の日付であり、完了した手続きではない。

参照資料