摘要

  • FedRAMP拟于10月12日通知符合条件的自营或混合托管服务商，并以10月16日作为回复参加直接交流的目标日期。
  • 这项工作将研究现有商业认证能否为未来FedRAMP 20x规则提供依据；参加讨论或持有商业证书均不保证获得FedRAMP认证，也不取代具体机构的使用决定。

分析

美国联邦风险与授权管理计划（FedRAMP）在FedRAMP 20x第四阶段方案中列出了一项近期参与安排。该计划拟根据Marketplace已有信息识别符合条件的云服务商，计划于10月12日通过FedRAMP Security Inbox发送参与说明，并要求服务商在16日前回复。文件把这两天列为目标日期，同时说明日程以没有意外延误为前提；它没有公布邀请名单，也没有称通知已经发出。

服务商需同时满足几项条件：持有当前有效的FedRAMP Rev5 Class C或Class D认证；记录中至少有15项政府机构使用；主要采用自营或混合托管基础设施。即使同一服务商有多项符合条件的产品，也只按一家服务商计数。这里的自营托管包括服务商直接运行的基础设施，也包括通过第三方安排但由服务商承担责任的设施。这是定向直接交流的参与门槛，不是公开认证申请。

这项单独安排针对FedRAMP自身指出的设计缺口：20x前三个阶段主要面向运行在已有Rev5认证基础设施或平台上的云服务。由服务商承担实体基础设施责任的模式需要另行设计。方案希望梳理这些服务商已有的行业认证，与相关Rev5要求逐项比较，并在可行时将现有证据复用于今后的20x认证。

第四阶段还并行设置了面向云托管服务的Class D试点，以及面向独立评估服务的交流安排。各自有独立条件和时间表。对自营基础设施服务商而言，10月16日是回应是否参加早期交流的拟议期限；它不是所有云服务商的统一截止日，也不是FedRAMP认证或授权决定。

自营和混合托管服务的最终20x规则尚未确定。FedRAMP计划将第四阶段形成的规则纳入2027年整合规则，并将11月4日列为针对这类托管模式征求公众意见的目标日期。此后还安排了其他交流，计划于次年2月再次公开征求规则意见。这些日期都是计划节点，不能当作已经完成的成果。

来源