Ако притежавате сертификат FedRAMP, най-близкият краен срок във вашия календар е 7 декември 2026 г. Известието на FedRAMP в отговор на BOD 26-04 на CISA го казва ясно: „Правилата за откриване на уязвимости и реагиране (VDR) ще бъдат задължителни за всички предложения за облачни услуги, получаващи или поддържащи сертификация FedRAMP, считано от 7 декември 2026 г.“, с гратисен период до 7 март 2027 г. за предложения, работещи по план за коригиращи действия.

Това е и крайният срок, чийто пълен обхват повечето програми все още не са оценели. Проблемът не е в датата. Проблемът е, че VDR и VER изглеждат като изискване за сканиране, но функционират като нещо съвсем различно.

Какво всъщност променят двата набора от правила

Започнете с това какво отпада: плоският модел с месечни сканирания и POA&M. Честотата на откриване вече се определя от класа на сертификация — съгласно правило VDR-TFR-PSD, машинно базираните ресурси се сканират поне на всеки 14 дни при Клас A, на всеки 7 при Клас B, на всеки 3 при Клас C и поне веднъж на ден при Клас D.

Машинната верификация и валидация се извършват поне веднъж месечно за притежателите на Rev5 и до веднъж на всеки три дни при по-високите класове 20x.

Следват трите разпоредби, които преформатират инженерната работа:

Сроковете за отстраняване на уязвимости са степенувани и строги. Съгласно VDR-TFR-PVR крайните срокове за коригиране се определят от рейтинга PAIN на дадена уязвимост и нейната възможност за експлоатация, варирайки от 192 дни при най-ниското ниво до 12 часа при екстремни случаи — предложение от Клас D с уязвимост PAIN-5, която е едновременно вероятно експлоатирана и незабавно дистанционно експлоатируема.

12-часов срок не е просто SLA за заявка в системата за тикети. Това е въпрос на пейджинг, дежурство и отговорност, който трябва да се спазва дори по време на празничен уикенд.

Тежестта на доказване е обърната. VER-EVA-AIA — „Приемете, че е автоматизируемо“ — изисква от доставчиците, по думите на FedRAMP, „да приемат по подразбиране, че експлойтите са автоматизируеми, освен ако нямат доказателства за обратното“. Всяко отлагане вече се нуждае от защитим артефакт зад себе си, произведен в големи количества и в същите срокове, както всичко останало.

Процесните грешки се зачитат като уязвимости. Правило VDR-CSO-FAV гласи, че доставчиците „[ТРЯБВА] да третират проблеми или неизправности в техните процеси за откриване на уязвимости и реагиране като уязвимости“. Ако вашият пайплайн за откриване тихо спре да работи, това не е просто оперативен проблем, който коригирате тихо, преди някой да забележи. System, която произвежда вашите доказателства, сама по себе си попада в обхвата.

Заедно взети, тези промени променят крайния резултат. От вас не се иска просто да сканирате по-често. Иска се да управлявате система, която произвежда защитими, актуални и машинно четими отговори за вашата собствена изложеност на рискове — и да носите отговорност, когато тя спре да работи.

FedRAMP VDR & VER: Технически преглед на решението

Какво изискват на практика правилата от 7 декември — ежедневно откриване, месечна машинна валидация, степенувани срокове за отстраняване на уязвимости и процесни грешки като констатации — плюс как непрекъснатата валидация на покритието се изчислява от данни за активи в реално време, а не просто се декларира.

7 декември е първата вноска, а не еднократно събитие

Консолидираните правила за 2026 г. реорганизираха FedRAMP в набори от правила и стартираха часовника за много по-голяма промяна.

Rev5 не се поддържа съвместно с 20x: FedRAMP го описва като „остарял процес за сертификация по FedRAMP, който се заменя изцяло от FedRAMP 20x“, и заявява, че от доставчиците „се очаква да следват новите правила и да внедрят новите практики на FedRAMP от FedRAMP 20x в своите облачни услуги със сертификация FedRAMP Rev5“.

Правилата стават задължителни за всички заинтересовани страни на 1 януари 2027 г., а FedRAMP спира да приема нови заявления за Rev5 на 11 юни 2027 г.

Така че VDR и VER не са страничен път, по който поемате преди истинския преход. Те са самите преходи, пристигащи на части — и това преосмисляне е най-полезното нещо за една програма в момента, защото променя последователността на действията.

Работата, планирана като „да избутаме до декември“, ще трябва да се преработва през 2027 г. Работата, планирана като първата част от непрекъсната валидация, се пренася директно.

Това, което беше премахнато, показва накъде отиват нещата

Вижте структурните промени, а не само таблицата с крайни срокове. Планът за сигурност на системата (SSP) и неговите приложения отстъпват място на Общ преглед на сертификационния пакет и Запис за решения за сигурност. Плановете за действия и етапи (POA&M), пише FedRAMP, „са премахнати изцяло и са заменени със списък с приети слабости“.

Непрекъснатият мониторинг става Текуща сертификация — преименуван, както обяснява FedRAMP, защото „непрекъснатият мониторинг“ е станал „синоним на „сканиране за уязвимости““, а новите изисквания са „значително по-широки от преди“.

Всяко от тези неща беше място, където артефактът заместваше реалността. FedRAMP беше необичайно директен в затварянето им, казвайки на доставчиците, че ще трябва да изградят или купят модерни GRC възможности и „да ги попълват чрез автоматизация, базирана на данни от реалния свят, където е възможно, вместо да поддържат ръчно изработени документи“.

Ето какво пропуска обхващането на крайните срокове: почти нищо от това не е искане за нова сигурност. Контролът на достъпа, идентификацията, криптирането, логването, процедурите при инциденти, обучителните програми — до голяма степен остават непроменени и повторно използваеми.

Това, което се промени, е че простото им описание вече не се зачита за доказателство за тяхното съществуване.

Три преценки, които разделят успешните програми от останалите

Работата все още е съответствие; крайният резултат обаче вече е инженерна разработка. Това, което предавате, е набор от работещи валидации, които извличат данни от системите, съдържащи истината — облачна конфигурация, доставчик на идентичност, SIEM, CI/CD, система за тикети — и генерират машинно четими резултати по график.

Доставчиците трябва постоянно да валидират своите ключови показатели за сигурност (KSI), от които CR26 в момента изброява 49 в десет категории. Това е входно изискване, което прави всеки план за преход план за инженерна автоматизация, независимо какво пише на корицата му.

Някой трябва да притежава процеса по „непрекъснатост“. Месечният мониторинг имаше краен срок, отговорник и естествен ритъм за наваксване. Каденцията на валидация няма нито едно от тези неща. Тя работи или тихо спира, а разликата е невидима, докато одитор или клиент не я открие.

Преди да изграждате пайплайни, отговорете на оперативните въпроси: кой се уведомява при грешка във валидацията, какво е времето за реакция, кой забелязва, когато даден източник на доказателства тихо промени своя API.

Проектирайте за каденцията, а не за самия момент на предаване. FedRAMP дефинира „постоянно“ като „случващо се по твърд, стабилен начин, който се повтаря за дълъг период от време въпреки препятствия или трудности“ — описание на оперативно състояние, а не на конкретна дата.

Екипите, които изграждат системи за определен момент на предаване, създават система, настроена за един единствен момент, и след това я преработват наново.

Частта, която надживява FedRAMP

След като доказателствата са структурирани данни, а не текст, те спират да принадлежат на една конкретна рамка. Доказателството за идентичност, удовлетворяващо индикатор на FedRAMP, е същото доказателство, което одитор по SOC 2 изисква, и същото, което екипът за надзор на голям клиент иска.

Съответствието престава да бъде паралелни проекти, всеки от които изгражда една и съща картина с различен речник, и се превръща в единен слой, от който четат множество потребители.

Икономиката се обръща заедно с това. Разходите за съответствие в определен момент от време нарастват с всяка добавена рамка и регион, защото всяко допълнение изисква повече описание за създаване и поддръжка. Разходите за непрекъсната валидация са значително по-високи при първоначална настройка, но едва се увеличават при поддръжка.

7 декември е твърда дата и заслужава вниманието, което получава. Но надзорните органи във финансовия сектор, режимите за устойчивост и сигурност на продуктите в ЕС и корпоративните екипи за покупки се обединяват около същото изискване от различни посоки: покажете ми текущото състояние, а не миналогодишното описание.

FedRAMP пристигна пръв, защото имаше най-ясния мандат и най-малко търпение. Екип, който изгради това веднъж, не е решил само федерален проблем — той е изградил възможността, която всяко едно от тези изисквания ще продължи да търси.

anecdotes притежава сертификат FedRAMP 20x Class C, получен като участник в пилотния проект Phase Two, използвайки платформата anecdotes за неговото управление. Същата платформа управлява търговското съответствие за повече от 140 корпоративни клиенти.

Стандартна база: FedRAMP Consolidated Rules for 2026 и FedRAMP Notice NTC-0014. Правилата и ключовите показатели за сигурност се променят чрез обществения процес за правила на FedRAMP; потвърдете актуалния стандарт на fedramp.gov, преди да финализирате плана си.

Научете как Anecdotes ви помага да внедрите VDR & VER на практика и изтеглете техническия преглед на решението тук.

Спонсорирано и написано от Anecdotes.