ZoriaNews

Ne oldu?

FedRAMP (Federal Risk and Authorization Management Program), Rev5 standartlarının sona ereceğini ve yerine FedRAMP 20X adı verilen yeni bir dönüşüm sürecinin geleceğini duyurdu. Bu yeni model, geleneksel anlık değerlendirme ve denetim yaklaşımını terk ederek, güvenlik kontrollerinin sürekli olarak çalıştığını gösteren makinece okunabilir kanıtlara dayanıyor. Yani, bir sistemin güvenliği yalnızca belirli bir zamanda yapılan testlerle değil, sürekli izlenen ve otomatik olarak üretilen verilerle kanıtlanacak.

Neden önemli?

Bu değişiklik, bulut hizmet sağlayıcıları ve federal kurumlar için güvenlik doğrulama süreçlerini kökten değiştiriyor. Anlık değerlendirmelerin yerini alan sürekli kanıt yaklaşımı, güvenlik açıklarının daha hızlı tespit edilmesini ve düzeltilmesini sağlayabilir. Ayrıca, makinece okunabilir format sayesinde otomasyon ve sürekli uyumluluk izleme mümkün hale geliyor. Bu, hem maliyetleri düşürebilir hem de güvenlik duruşunu güçlendirebilir. Ancak bu geçiş, mevcut süreçlere alışmış kuruluşlar için önemli bir uyum zorluğu da getiriyor.

Kim veya ne etkileniyor?

Öncelikle FedRAMP yetkilendirmesi almak isteyen veya mevcut yetkilendirmesini sürdürmek isteyen tüm bulut hizmet sağlayıcıları etkileniyor. Ayrıca, federal kurumlar ve bu hizmetleri kullanan devlet kuruluşları da yeni gereksinimlere uyum sağlamak zorunda. Güvenlik değerlendiricileri, denetçiler ve uyumluluk danışmanları da bu dönüşümden doğrudan etkilenenler arasında. Özellikle, sürekli izleme altyapısına yatırım yapmamış olan küçük ve orta ölçekli sağlayıcılar için bu geçiş daha zorlu olabilir.

Ne yapılmalı?

Kuruluşlar, FedRAMP 20X'e hazırlanmak için güvenlik kontrollerini sürekli izleyen ve makinece okunabilir raporlar üreten altyapılar kurmalıdır. Bu, otomatik güvenlik taramaları, log toplama ve analiz araçları ile SIEM (Security Information and Event Management) sistemlerini içerir. Ayrıca, mevcut güvenlik süreçlerini gözden geçirip, kanıta dayalı doğrulama için gerekli veri formatlarını (örneğin OSCAL) destekleyecek şekilde güncellemek önemlidir. Kuruluşların, geçiş takvimini yakından takip etmesi ve pilot projelerle bu yeni yaklaşımı test etmesi önerilir. Emin olunmayan konularda resmi FedRAMP rehberlerine başvurulmalıdır.

Kaynaklar

- BleepingComputer - FedRAMP Rev5 Ending
- FedRAMP Resmi Sitesi
- FedRAMP 20X Hakkında Bilgi