Cloudleveranciers die aan de Amerikaanse overheid leveren moeten hun kwetsbaarhedenbeheer straks continu inrichten. FedRAMP, het Amerikaanse certificeringsprogramma voor clouddiensten, vervangt het maandelijkse scanmodel door de regelsets VDR (Vulnerability Detection and Response) en VER. Ze worden op 7 december 2026 verplicht voor alle FedRAMP-gecertificeerde diensten. Voor corrigerende actieplannen geldt een overgangsperiode tot 7 maart 2027.
Het stuk is een bijdrage van Anecdotes, een aanbieder van compliance-automatisering, en is dus ook een productverhaal.
De scanfrequentie hangt af van de klasse van de dienst, van elke 14 dagen bij klasse A tot dagelijks bij klasse D. Herstel moet binnen termijnen van 192 dagen tot 12 uur gebeuren, afhankelijk van ernst en uitbuitbaarheid. Aanbieders moeten een kwetsbaarheid bovendien als automatiseerbaar behandelen, tenzij ze met deugdelijk bewijs het tegendeel aantonen. Ook falende processen tellen als kwetsbaarheid, en bewijs moet machineleesbaar, actueel en verdedigbaar zijn. Daarnaast eist FedRAMP 49 Key Security Indicators in tien categorieën.
Volgens Anecdotes is de deadline van 7 december slechts het begin van een verschuiving naar continue, geautomatiseerde validatie van compliance.
Voor Nederlandse cloudleveranciers met Amerikaanse overheidsklanten, of met een plek in zo’n leveranciersketen, is dat relevant. Toets nu of scans, patchtermijnen en bewijsvoering automatisch en aantoonbaar draaien, want handmatige rapportages halen deze frequentie en termijnen niet.
Bron: BleepingComputer
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.