Ce que FedRAMP attend.
Ce qu'apporte un AI Actor.
Les agences civiles fédérales qui adoptent l'IA dans des décisions conséquentes ont besoin de services cloud qui respectent la ligne de base du Federal Risk and Authorization Management Program. L'enregistrement qu'un agent produit sur lui-même est structurellement insuffisant sous les contrôles d'audit et de responsabilité que FedRAMP attend. Ce trou est ce qu'un AI Actor existe pour fermer, aussi côté fédéral.
Un cadrage court
FedRAMP, en bref.
Le Federal Risk and Authorization Management Program est l'approche standardisée du gouvernement fédéral pour évaluer les services cloud. Établi par le mémorandum OMB M-11-29 en 2011 et codifié par la FedRAMP Authorization Act en 2022, il fournit une seule ligne de base cohérente de contrôles de sécurité que les cloud service providers (CSP) mettent en œuvre et un seul chemin d'autorisation que les agences réutilisent plutôt que chacune de mener sa propre évaluation.
FedRAMP a trois lignes de base de niveau d'impact alignées sur FIPS 199 : Low, Moderate et High. Les lignes de base sont définies comme des profils de contrôles NIST SP 800-53, Moderate étant le niveau d'autorisation le plus courant pour les systèmes SaaS civils fédéraux traitant de Controlled Unclassified Information (CUI).
Un CSP peut suivre deux chemins d'autorisation. Un Provisional ATO (P-ATO) du FedRAMP Joint Authorization Board (JAB, composé des DSI de DoD, DHS et GSA) autorise le service pour un usage gouvernemental. Un Agency ATO est accordé par une agence sponsor pour usage au sein de cette agence, et peut être réutilisé par d'autres agences via le marketplace FedRAMP. Les deux chemins exigent de travailler avec une Third-Party Assessment Organisation (3PAO) pour produire un Security Assessment Report.
Les services IA utilisés dans des décisions fédérales siègent dans le même cadre. Le mémorandum OMB M-24-10 demande aux agences fédérales d'inventorier leurs cas d'usage IA et d'appliquer des sauvegardes renforcées pour l'IA qui affecte des droits ou la sécurité — y compris, explicitement, des obligations de piste d'audit et d'explicabilité. Les journaux propres de l'agent ne satisfont pas ces obligations.
Familles de contrôles pertinentes
AU et AC, de première classe.
Les familles audit-et-responsabilité et contrôle d'accès de FedRAMP sont celles que l'Actor a été conçu pour servir.
AU — Audit and Accountability
NIST SP 800-53 AU-2 (journalisation d'événements), AU-3 (contenu des enregistrements d'audit), AU-6 (revue, analyse et reporting d'audit), AU-9 (protection de l'information d'audit), AU-10 (non-répudiation) et AU-12 (génération d'enregistrements d'audit) décrivent collectivement la surface pour laquelle les enregistrements Witness, Historian et Custodian ont été construits. Les enregistrements chaînés par hash, append-only, satisfont directement les attentes d'intégrité et de non-répudiation.
AC — Access Control
AC-2 (gestion des comptes), AC-3 (application de l'accès), AC-5 (séparation des tâches) et AC-6 (moindre privilège) se mappent au modèle de permissions du workspace et au rôle auditeur en lecture seule offert aux paliers Team et Scale. Custodian enregistre chaque accès aux enregistrements eux-mêmes, satisfaisant les actions d'audit automatisées AC-2(4) et les événements d'audit AU-2 liés à l'accès.
SI — System and Information Integrity
SI-4 (surveillance système) et SI-7 (intégrité du logiciel, firmware et de l'information) s'alignent avec le format d'enregistrement chaîné par hash et le ledger parallèle Tops qui surveille les opérations d'infrastructure propres de Trustvice sur chaque workspace.
Posture de feuille de route
Ce que le workspace aligné FedRAMP offrira.
La liste ci-dessous décrit la forme éventuelle du déploiement Trustvice aligné FedRAMP. Aucun de ces points n'est généralement disponible aujourd'hui. La page n'affirme pas un délai ; elle affirme une destination.
FedRAMP Moderate comme ligne de base cible.
Le niveau d'impact Moderate est le plancher d'achat le plus courant pour le SaaS civil fédéral traitant de CUI. La feuille de route Trustvice vise Moderate comme première autorisation. High n'est pas actuellement sur la feuille de route ; Low est sous le plancher pratique pour la plupart des cas d'usage d'agences.
Chemin d'autorisation : Agency ATO d'abord.
Un Agency ATO avec une agence civile sponsor est plus rapide à atteindre qu'un P-ATO JAB et est réutilisable sur le marketplace fédéral. La feuille de route Trustvice poursuit un chemin Agency ATO comme première autorisation, avec le P-ATO JAB comme option une fois que le volume de clients fédéraux le justifie.
Cartographie des contrôles NIST SP 800-53.
Un résumé formel d'implémentation des contrôles mappant chaque contrôle AU, AC, SI, IA, CM et SC applicable à l'implémentation technique ou procédurale précise de Trustvice. Le livrable est le System Security Plan (SSP) soumis au 3PAO sponsor.
Cryptographie validée FIPS 140 de bout en bout.
Toute la cryptographie sur le chemin de déploiement aligné FedRAMP utilisera des modules validés FIPS 140-2 ou FIPS 140-3. Le format d'enregistrement chaîné par hash utilise déjà des primitives compatibles avec ce profil ; le chemin de déploiement impose des implémentations validées.
Déploiement dans un cloud autorisé FedRAMP.
Le workspace Trustvice aligné FedRAMP se déploie dans un environnement d'hébergement autorisé FedRAMP plutôt que sur le chemin commercial standard Cloudflare D1 / Amazon Web Services RDS. Liste des sous-traitants, régions et dossiers d'autorisation CSP sont documentés et mis à disposition des relecteurs de l'agence autorisatrice.
Surveillance continue et reporting ConMon.
FedRAMP exige des livrables mensuels de surveillance continue — scans de vulnérabilités, items de plan d'action, artefacts de réponse aux incidents — soumis à l'agence sponsor. Les enregistrements Custodian et Tops réduisent l'effort de production de ces livrables parce que le journal d'activité sous-jacent est la même donnée dont le relecteur d'agence a déjà besoin.
Statut actuel — version honnête
Trustvice n'est actuellement autorisé FedRAMP à aucun niveau d'impact. Le workspace commercial standard tourne sur l'empreinte publique Cloudflare et Amazon Web Services RDS et n'est pas approprié pour le traitement de CUI fédéral. Les agences qui évaluent Trustvice pour des cas d'usage IA fédéraux aujourd'hui doivent planifier autour d'un futur chemin de déploiement Agency-ATO, pas le chemin commercial actuel. La page ci-dessus décrit la destination, pas le présent.
Restez informé
Soyez le premier à savoir quand ça ouvre.
Laissez votre e-mail et nous vous écrirons lorsque le palier de workspace aligné FedRAMP sera généralement disponible. Double opt-in — vous recevrez un e-mail de confirmation avant d'être ajouté à la liste de notification, et aucun autre marketing ne sera envoyé à cette adresse.
Cette page est informative et ne représente pas une autorisation FedRAMP actuelle. Elle décrit la posture de feuille de route de Trustvice et comment l'architecture Actor se mappe aux familles de contrôles FedRAMP. Les agences doivent consulter leur propre authorising official et le marketplace FedRAMP avant de prendre des décisions d'achat. Juridique.
Trustvice 360Déclarez les règles. Faites vérifier chaque exécution.
Agents, preuves, gouvernance, commerce et divulgation sont dans Trustvice 360. Inscrivez-vous gratuitement et ouvrez toutes les suites depuis un seul tableau de bord.