Кратко

  • В предлагаемом графике FedRAMP уведомления для подходящих поставщиков с собственной или гибридной инфраструктурой запланированы на 12 октября, а ответ — до 16 октября.
  • Рабочая группа изучит, как коммерческие сертификаты могут войти в будущие правила FedRAMP 20x; участие и коммерческий сертификат сами по себе не дают новой сертификации FedRAMP или одобрения конкретного ведомства.

Анализ

Федеральная программа управления рисками и авторизацией (FedRAMP) включила близкие даты участия в предложение по четвертому этапу FedRAMP 20x. Она намерена определить подходящих поставщиков облачных услуг по сведениям, уже размещенным в Marketplace, направить им инструкции через FedRAMP Security Inbox 12 октября и запросить ответ до 16 октября. В документе даты названы целевыми и оговорено, что график предполагает отсутствие непредвиденных задержек. Список приглашенных не опубликован, а факт отправки уведомлений не заявлен.

Критерии ограничены: действующий сертификат FedRAMP Rev5 Class C или Class D, не менее 15 зафиксированных случаев использования ведомствами и преимущественно собственная или гибридная инфраструктура. Несколько подходящих предложений одного поставщика учитываются как один участник. К собственной инфраструктуре относится как площадка под его прямым управлением, так и объект, за который он отвечает по соглашению с третьей стороной. Это условие для прямых рабочих обсуждений, а не заявка на публичную сертификацию.

Отдельная линия нужна из-за пробела, описанного в предложении: первые три этапа FedRAMP 20x были сосредоточены на облачных услугах, работающих на инфраструктуре или платформах с действующей сертификацией Rev5. Поставщики, отвечающие за собственные физические мощности, требуют отдельного подхода. FedRAMP намерен изучить используемые ими отраслевые сертификаты, сопоставить их с относящимися к делу требованиями Rev5 и, где возможно, повторно использовать существующие доказательства в будущей сертификации 20x.

В четвертый этап также входят пилот Class D для облачно размещенных сервисов и отдельный трек для независимых оценщиков. У каждого направления свои критерии и график. Для поставщиков собственной инфраструктуры предполагаемая дата 16 октября относится к ответу об участии в первых обсуждениях. Это не общая дата для всех поставщиков и не решение о статусе FedRAMP.

Окончательные правила 20x для услуг на собственной или гибридной инфраструктуре еще не готовы. FedRAMP планирует включить их в свод правил 2027 года и называет 4 ноября целевой датой публичного запроса комментариев по такой модели размещения. Затем планируются встречи и еще один публичный запрос по правилам в феврале. Это плановые этапы, а не уже достигнутые результаты.

Источники