先に結論から。
米国のFedRAMPは、6月25日に告知した20x統合ルールに基づき、8月3日にClass Aの認証申請パイプラインを開きました。Class BとClass Cの受付は8月31日に始まる予定です。
一番大事なのは、「審査が簡単になって誰でもすぐ通る」という話ではないことです。既存の外部監査を前提に、直近まで検証した証拠を、コンピューターでも読める形で提出する新しい経路です。
紙の健康診断書を一度提出する仕組みから、日々の測定結果を更新できる健康管理表へ近づく、と考えると分かりやすいです。確認を速くする代わりに、証拠を常に整えておく責任が事業者側へ移ります。
01 / QUICK GUIDE
30秒でつかむと
- 01
FedRAMPは、米国政府がクラウドサービスの安全性を確認するための制度です。政府向けにサービスを提供したい事業者に関係します。
- 02
新しいFedRAMP 20xのClass A申請受付が8月3日に始まりました。既存の外部監査を土台にし、JSON形式の機械可読パッケージを提出します。
- 03
これは審査をなくす制度でも、自動的に合格できる近道でもありません。安全性の証拠を新しい状態に保ち、継続して確かめやすくする変更です。
02 / KEY WORDS
専門用語を、やさしく。
ここだけ押さえれば、残りの本文はスムーズに読めます。
- FedRAMP
- 米国政府がクラウドサービスを利用するときに、安全性を評価・管理するための制度です。政府向けクラウドの入口となる共通ルールと考えると分かりやすいです。
- Class A
- FedRAMP 20xで用意された申請区分の1つです。今回8月3日に受付が始まり、利用には既存の監査などの前提条件があります。
- 機械可読
- 人が文章を読むだけでなく、コンピューターが項目を読み取り、確認や比較に使える形式です。今回の提出ではJSONというデータ形式が使われます。
- 継続検証
- 申請時に一度だけ安全性を見るのではなく、運用中も証拠を更新し、現在の状態を確かめ続ける考え方です。
03 / THE FACTS
何が起きたのか
まず日付を整理します。ルールの告知は6月25日で、Class Aの申請受付が実際に始まったのが8月3日です。発表日と制度が動き始めた日を分けて見る必要があります。
Class Aへ申請するには、FedRAMP Marketplaceへの掲載が必要です。それに加えて、直近12カ月以内に指定された外部監査や認証を受けていることが前提になります。
つまり、何の監査実績もない事業者がJSONを1つ提出すれば認証される制度ではありません。すでに一定の確認を受けていることが、入口の条件として残っています。
提出物にはJSON形式の機械可読パッケージが含まれます。さらに事業者は、提出前7日以内に内容を検証し、妥当性を確認した新しい状態にしておく必要があります。
Class BとClass Cの受付は8月31日に続く予定です。また、統合されたルールは2027年1月1日に全面的に必須化される予定とされています。
04 / THE CONTEXT
なぜ、今これが重要なのか
生成AIやAIエージェントを含むクラウドサービスは更新が速く、利用する機能や構成も変わります。長い文書を人が順番に読む方法だけでは、現在の状態を追い続けることが難しくなります。
そこでFedRAMP 20xは、証拠をデータとして扱い、確認を自動化しやすい形へ寄せています。審査の速度を上げるだけでなく、古い資料のまま止まらないようにする狙いが読み取れます。
ただし速度と安全性は、どちらか一方を選ぶ話ではありません。提出を機械化するほど、元になる証拠が正しいか、いつ検証したか、誰が更新するかが重要になります。
05 / WHAT IT MEANS FOR YOU
私たちには、何が変わる？
政府案件を目指すクラウド事業者は、製品が完成してから認証担当者が資料を集めるやり方を見直す必要があります。普段の開発・運用で生まれる記録を、そのまま安全性の証拠へつなげる設計が求められます。
身近なたとえでは、試験前日にノートをまとめるのではなく、毎日の学習記録がそのまま成績確認に使われる状態です。直前だけ整えるより、誰がいつ更新するかを日常業務に組み込むことが大切になります。
政府案件に直接関係しない人にも学びがあります。AI導入はモデルの性能だけでは決まらず、安全性をどう証明し、更新後も同じ基準を守れているかまで含めて判断されます。
一方で、機械可読になったから内容まで自動的に正しくなるわけではありません。Class Aを「簡易承認」と誤解せず、前提監査、Marketplace掲載、7日以内の検証という条件を分けて確認する必要があります。
07 / NEXT ACTION
今日から、どう動くか
- 01
まず公式発表を見ながら、「申請の前提」「提出するもの」「期限」の3列でメモを作る。Class Aを自動承認と誤解していないか、自分の言葉で説明できる状態にします。
- 02
米政府向けクラウド事業者は、利用できる既存監査、その実施日、12カ月要件、FedRAMP Marketplaceの掲載状況を1枚の表で確認する。不足条件を担当者と期限に結び付けます。
- 03
管理策を1つ選び、証拠をJSONで再生成し、7日以内に検証済みと確認できる流れを試す。Class B・Cの8月31日と、全面必須化予定の2027年1月1日から逆算します。