Lo que FedRAMP espera.
Lo que aporta un AI Actor.
Las agencias civiles federales que adoptan IA en decisiones consecuentes necesitan servicios cloud que cumplan la línea base del Federal Risk and Authorization Management Program. El registro que un agente produce sobre sí mismo es estructuralmente insuficiente bajo los controles de auditoría y rendición de cuentas que FedRAMP espera. Ese hueco es lo que un AI Actor existe para cerrar, también del lado federal.
Un encuadre breve
FedRAMP, en breve.
El Federal Risk and Authorization Management Program es el enfoque estandarizado del gobierno federal para evaluar servicios cloud. Establecido por el memorando OMB M-11-29 en 2011 y codificado por la FedRAMP Authorization Act en 2022, aporta una única línea base coherente de controles de seguridad que implementan los cloud service providers (CSP) y una única ruta de autorización que las agencias reutilizan en lugar de cada una hacer su propia evaluación.
FedRAMP tiene tres líneas base de nivel de impacto alineadas con FIPS 199: Low, Moderate y High. Las líneas base se definen como perfiles de controles NIST SP 800-53, siendo Moderate el nivel de autorización más común para sistemas SaaS civiles federales que tratan Controlled Unclassified Information (CUI).
Un CSP puede seguir dos rutas de autorización. Un Provisional ATO (P-ATO) del FedRAMP Joint Authorization Board (JAB, compuesto por CIOs de DoD, DHS y GSA) autoriza el servicio para uso en todo el gobierno. Un Agency ATO lo concede una agencia patrocinadora para uso dentro de esa agencia, y otras agencias pueden reutilizarlo a través del marketplace de FedRAMP. Ambas rutas exigen trabajar con una Third-Party Assessment Organisation (3PAO) para producir un Security Assessment Report.
Los servicios de IA usados en decisiones federales están dentro del mismo marco. El memorando OMB M-24-10 dirige a las agencias federales a inventariar sus casos de uso de IA y aplicar salvaguardas reforzadas para IA que afecte derechos o seguridad — incluyendo, de forma explícita, obligaciones de rastro de auditoría y explicabilidad. Los logs propios del agente no satisfacen esas obligaciones.
Familias de control relevantes
AU y AC, de primera clase.
Las familias de auditoría y rendición de cuentas y de control de acceso de FedRAMP son las que el Actor se diseñó para servir.
AU — Audit and Accountability
NIST SP 800-53 AU-2 (registro de eventos), AU-3 (contenido de registros de auditoría), AU-6 (revisión, análisis e informes de auditoría), AU-9 (protección de la información de auditoría), AU-10 (no repudiación) y AU-12 (generación de registros de auditoría) describen en conjunto la superficie para la que se construyeron los registros de Witness, Historian y Custodian. Los registros encadenados por hash y append-only satisfacen de forma directa las expectativas de integridad y no repudiación.
AC — Access Control
AC-2 (gestión de cuentas), AC-3 (aplicación del acceso), AC-5 (separación de funciones) y AC-6 (mínimo privilegio) se mapean al modelo de permisos del workspace y al rol de auditor de solo lectura ofrecido en los niveles Team y Scale. Custodian registra cada acceso a los propios registros, satisfaciendo las acciones de auditoría automatizadas AC-2(4) y los eventos de auditoría AU-2 ligados al acceso.
SI — System and Information Integrity
SI-4 (monitorización del sistema) y SI-7 (integridad de software, firmware e información) se alinean con el formato de registro encadenado por hash y el ledger paralelo Tops que vigila las operaciones de infraestructura propias de Trustvice en cada workspace.
Postura de hoja de ruta
Lo que el workspace alineado con FedRAMP ofrecerá.
La lista de abajo describe la forma eventual del despliegue Trustvice alineado con FedRAMP. Ninguno de estos puntos está disponible de forma general hoy. La página no afirma un plazo; afirma un destino.
FedRAMP Moderate como línea base objetivo.
El nivel de impacto Moderate es el suelo de compra más común para SaaS civil federal que trata CUI. La hoja de ruta de Trustvice apunta a Moderate como primera autorización. High no está ahora en la hoja de ruta; Low está por debajo del suelo práctico para la mayoría de casos de uso de agencias.
Ruta de autorización: Agency ATO primero.
Un Agency ATO con una agencia civil patrocinadora se alcanza más rápido que un P-ATO del JAB y es reutilizable en el marketplace federal. La hoja de ruta de Trustvice persigue una ruta Agency ATO como primera autorización, con P-ATO del JAB como opción cuando el volumen de clientes federales lo justifique.
Estado actual — versión honesta
Trustvice no está actualmente autorizado FedRAMP en ningún nivel de impacto. El workspace comercial estándar corre sobre la huella pública de Cloudflare y Amazon Web Services RDS y no es apropiado para el tratamiento de CUI federal. Las agencias que evalúan Trustvice para casos de uso de IA federales hoy deben planear alrededor de una futura ruta de despliegue Agency-ATO, no la ruta comercial actual. La página de arriba describe el destino, no el presente.
Mantente al tanto
Entérate el primero cuando abra.
Deja tu correo y te escribiremos cuando el nivel de workspace alineado con FedRAMP esté disponible de forma general. Doble opt-in: recibirás un correo de confirmación antes de añadirte a la lista de notificación, y no se enviará otro marketing a esta dirección.
Esta página es informativa y no representa una autorización FedRAMP actual. Describe la postura de hoja de ruta de Trustvice y cómo la arquitectura del Actor se mapea a las familias de control de FedRAMP. Las agencias deben consultar a su propio authorising official y al marketplace de FedRAMP antes de tomar decisiones de compra. Legal.
Trustvice 360Declara las reglas. Que cada ejecución se compruebe.
Agentes, evidencias, gobernanza, comercio y divulgación están en Trustvice 360. Regístrate gratis y abre todas las suites desde un solo panel.