米政府向けクラウド認証FedRAMPは、従来の「FedRAMP Ready」を7月28日付でレガシー扱いにし、新規申請を終了しました。8月3日から自動化を重視したFedRAMP 20x Class Aの申請経路を開きます。政府案件を狙うSaaSやクラウド事業者は、認証書類を一度作る運用から、機械判定できる証拠を継続提出する運用へ切り替える必要があります。
7月28日でReadyの新規申請を終了
FedRAMPは、既存のReady事業者には当面レガシー表示を残し、条件を満たせばClass Aへ移行できると案内しました。Class Aは既存の政府機関による利用実績がない事業者にも入口を設け、標準化した自動評価と継続監視を使って認証までの待ち時間を減らす構想です。
8月から20xの三つの経路を順次開始
実装計画では8月3日にClass A、8月31日にClass B・Cの申請経路を開始し、2027年1月1日から新方式を全面運用する予定です。ただしFedRAMP認証を得ても、各政府機関がサービス利用を認めるATOが自動で付与されるわけではありません。
認証と政府機関の利用許可は別
対象事業者は、認証経路の選択、既存証拠の変換、セキュリティテストの自動化、監視結果の継続提出を早めに確認すべきです。Ready取得済みでも移行計画が必要です。 Class区分や必要証拠はサービスのリスクと利用形態で変わります。移行可否を推測せず、FedRAMPの正式な経路案内と認証機関の判断を確認してください。