Was FedRAMP erwartet.
Was ein AI Actor mitbringt.
Föderale zivile Behörden, die KI in konsequenten Entscheidungen einsetzen, brauchen Cloud-Dienste, die die Baseline des Federal Risk and Authorization Management Program erfüllen. Der Record, den ein Agent über sich selbst erzeugt, ist unter den Audit- und Accountability-Controls, die FedRAMP erwartet, strukturell unzureichend. Diese Lücke soll ein AI Actor schließen, auch auf der föderalen Seite.
Ein kurzer Rahmen
FedRAMP, kurz.
Das Federal Risk and Authorization Management Program ist der standardisierte Ansatz der US-Bundesregierung zur Bewertung von Cloud-Diensten. Eingerichtet durch OMB Memorandum M-11-29 im Jahr 2011 und durch den FedRAMP Authorization Act 2022 kodifiziert, liefert es eine einzige, konsistente Baseline von Sicherheitscontrols, die Cloud Service Provider (CSPs) umsetzen, und einen einzigen Autorisierungspfad, den Behörden wiederverwenden, statt jede ihre eigene Bewertung zu fahren.
FedRAMP hat drei Impact-Level-Baselines, ausgerichtet an FIPS 199: Low, Moderate und High. Die Baselines sind als Profile von NIST-SP-800-53-Controls definiert, wobei Moderate das häufigste Autorisierungsniveau für föderal-zivile SaaS-Systeme ist, die Controlled Unclassified Information (CUI) verarbeiten.
Ein CSP kann zwei Autorisierungspfade verfolgen. Ein Provisional ATO (P-ATO) des FedRAMP Joint Authorization Board (JAB, bestehend aus CIOs von DoD, DHS und GSA) autorisiert den Dienst für den behördenweiten Einsatz. Ein Agency ATO wird von einer sponsoring Behörde für den Einsatz in dieser Behörde erteilt und kann von anderen Behörden über den FedRAMP-Marketplace wiederverwendet werden. Beide Pfade erfordern die Arbeit mit einer Third-Party Assessment Organisation (3PAO), um einen Security Assessment Report zu erstellen.
KI-Dienste, die in föderalen Entscheidungen genutzt werden, sitzen im selben Framework. OMB Memorandum M-24-10 weist föderale Behörden an, ihre KI-Use-Cases zu inventarisieren und verstärkte Safeguards für KI anzuwenden, die Rechte oder Sicherheit betrifft — einschließlich, ausdrücklich, Audit-Trail- und Erklärbarkeitspflichten. Die eigenen Logs des Agenten erfüllen diese Pflichten nicht.
Relevante Control-Familien
AU und AC, first-class.
FedRAMPs Audit-and-Accountability- und Access-Control-Familien sind die, für die der Actor gebaut wurde.
AU — Audit and Accountability
NIST SP 800-53 AU-2 (Event-Logging), AU-3 (Inhalt von Audit-Records), AU-6 (Audit-Review, Analyse und Reporting), AU-9 (Schutz von Audit-Informationen), AU-10 (Non-Repudiation) und AU-12 (Erzeugung von Audit-Records) beschreiben gemeinsam die Surface, für die Witness-, Historian- und Custodian-Records gebaut wurden. Hash-verkettete, append-only Records erfüllen die Integritäts- und Non-Repudiation-Erwartungen direkt.
AC — Access Control
AC-2 (Account-Management), AC-3 (Access Enforcement), AC-5 (Separation of Duties) und AC-6 (Least Privilege) mappen auf das Workspace-Berechtigungsmodell und die Auditor-Read-only-Rolle, die auf Team- und Scale-Stufen angeboten wird. Custodian zeichnet jeden Zugriff auf die Records selbst auf und erfüllt AC-2(4) automatisierte Audit-Aktionen und AU-2-Audit-Events, die an Zugriff gebunden sind.
SI — System and Information Integrity
SI-4 (System Monitoring) und SI-7 (Software-, Firmware- und Informationsintegrität) richten sich am Hash-Chain-Record-Format und am parallelen Tops-Ledger aus, der Trustvices eigene Infrastruktur-Operationen auf jedem Workspace beobachtet.
Roadmap-Haltung
Was der FedRAMP-ausgerichtete Workspace bieten wird.
Die Liste unten beschreibt die spätere Form des FedRAMP-ausgerichteten Trustvice-Deployments. Keiner dieser Punkte ist heute allgemein verfügbar. Die Seite nennt keinen Zeitrahmen; sie nennt ein Ziel.
FedRAMP Moderate als Ziel-Baseline.
Das Moderate-Impact-Level ist der häufigste Beschaffungsboden für föderal-ziviles SaaS, das CUI verarbeitet. Trustvices Roadmap zielt Moderate als erste Autorisierung. High steht derzeit nicht auf der Roadmap; Low liegt unter dem praktischen Floor für die meisten Behörden-Use-Cases.
Autorisierungspfad: Agency ATO zuerst.
Ein Agency ATO mit einer sponsoring zivilen Behörde ist schneller zu erreichen als ein JAB-P-ATO und über den föderalen Marketplace wiederverwendbar. Die Trustvice-Roadmap verfolgt einen Agency-ATO-Pfad als erste Autorisierung, mit JAB-P-ATO als Option, sobald das föderale Kundenvolumen es rechtfertigt.
NIST-SP-800-53-Control-Mapping.
Eine formale Control-Implementation-Zusammenfassung, die jedes anwendbare AU-, AC-, SI-, IA-, CM- und SC-Control auf die konkrete technische oder prozedurale Implementierung von Trustvice mappt. Das Deliverable ist der System Security Plan (SSP), der dem sponsoring 3PAO vorgelegt wird.
FIPS-140-validierte Kryptografie End-to-End.
Alle Kryptografie im FedRAMP-ausgerichteten Deployment-Pfad wird FIPS-140-2- oder FIPS-140-3-validierte Module nutzen. Das Hash-Chain-Record-Format nutzt bereits Primitive, die mit diesem Profil kompatibel sind; der Deployment-Pfad erzwingt validierte Implementierungen davon.
Deployment in einer FedRAMP-autorisierten Cloud.
Der FedRAMP-ausgerichtete Trustvice-Workspace deployt in einer FedRAMP-autorisierten Hosting-Umgebung statt auf dem Standard-Commercial-Pfad Cloudflare D1 / Amazon Web Services RDS. Subprocessor-Liste, Regionen und CSP-Autorisierungspakete werden dokumentiert und den Reviewern der autorisierenden Behörde bereitgestellt.
Continuous Monitoring und ConMon-Reporting.
FedRAMP verlangt monatliche Continuous-Monitoring-Deliverables — Vulnerability-Scans, Plan-of-Action-Items, Incident-Response-Artefakte — an die sponsoring Behörde. Die Custodian- und Tops-Records senken den Aufwand, diese Deliverables zu erzeugen, weil das zugrundeliegende Aktivitätslog dieselben Daten sind, die die Behördenreviewerin bereits braucht.
Aktueller Status — ehrliche Fassung
Trustvice ist derzeit auf keinem Impact-Level FedRAMP-autorisiert. Der Standard-Commercial-Workspace läuft auf dem öffentlichen Cloudflare- und Amazon-Web-Services-RDS-Footprint und ist für föderales CUI-Handling nicht geeignet. Behörden, die Trustvice heute für föderale KI-Use-Cases evaluieren, sollten um einen künftigen Agency-ATO-Deployment-Pfad planen, nicht um den aktuellen Commercial-Pfad. Die Seite oben beschreibt das Ziel, nicht die Gegenwart.
Dranbleiben
Als Erste wissen wenn es öffnet.
Hinterlassen Sie Ihre E-Mail und wir schreiben Sie, wenn die FedRAMP-ausgerichtete Workspace-Stufe allgemein verfügbar wird. Double Opt-in — Sie erhalten eine Bestätigungs-E-Mail, bevor Sie auf die Benachrichtigungsliste kommen, und es wird kein anderes Marketing an diese Adresse gesendet.
Diese Seite ist informativ und stellt keine aktuelle FedRAMP-Autorisierung dar. Die Seite beschreibt Trustvices Roadmap-Haltung und wie die Actor-Architektur auf FedRAMP-Control-Familien mappt. Behörden sollten ihren eigenen Authorising Official und den FedRAMP-Marketplace konsultieren, bevor sie Beschaffungsentscheidungen treffen. Legal.
Trustvice 360Regeln festlegen. Jeden Lauf prüfen lassen.
Agenten, Nachweise, Governance, Handel und Offenlegung stecken in Trustvice 360. Kostenlos registrieren und alle Suiten in einem Dashboard öffnen.