Vernon beschreibt den Wechsel von Rev5 zu FedRAMP 20X als fundamentale Änderung des Prüfmodells. Unter Rev5 konnten Unternehmen ihre Kontrollen narrativ darstellen und mit ausgewählten Belegen stützen. Genau darin lag aus ihrer Sicht Spielraum, Umfang und Darstellung eines Audits zu steuern. Aus Sicht eines Pentesters seien solche Lücken besonders interessant, weil dokumentierte Kontrollen nicht zwingend bedeuteten, dass sie Monate nach dem Audit noch wirksam waren.
FedRAMP 20X setzt stattdessen auf Key Security Indicators. Diese ersetzen narrative Kontrollen durch messbare Ergebnisse, die sich mit maschinenlesbaren Daten belegen lassen. Vernon illustriert das mit Mehrfaktor-Authentifizierung: Während Rev5 etwa eine Beschreibung der MFA-Richtlinie verlangte, müsse unter 20X mit maschinenlesbaren Nachweisen belegt werden, dass phishing-resistente MFA heute für alle privilegierten Konten in der Produktionsumgebung erzwungen wird. Der Unterschied sei der zwischen einer Behauptung mit kuratierten Belegen und einer objektiven Tatsache.
Eine zentrale Veränderung ist der Takt der Validierung. Unter Rev5 wurden Belege für eine punktuelle Prüfung gesammelt. Unter 20X werden sie Teil eines laufenden Systems. Maschinenbasierte KSIs werden in kurzen, wiederkehrenden Abständen neu validiert, bei Moderate-Systemen laut Vernon teils alle paar Tage. Prozessbasierte KSIs müssen weiterhin mindestens vierteljährlich bestätigt werden. Damit geht das Framework von der Annahme aus, dass Cloud-Umgebungen, Identitäten und Konfigurationen sich fortlaufend ändern.
Die Phase-2-Vorgaben zur Vollständigkeit formulieren diese Erwartungen ausdrücklich. Nach Vernons Darstellung muss Automatisierung mindestens 70 Prozent der KSIs abdecken, jeder KSI muss adressiert werden, und Nachweise müssen sowohl in maschinenlesbarer als auch in menschenlesbarer Form vorliegen. Wo passend, sollen die Daten an OSCAL ausgerichtet sein. Die menschenlesbaren Zusammenfassungen sollen Kontext, Zeitstempel und genügend Informationen liefern, damit Prüfer die Daten einordnen können.
Für Organisationen, die von Rev5 kommen, liegt die größte Lücke laut Vernon nicht in der Dokumentation, sondern im Systemdesign. Sie empfiehlt zunächst eine KSI-Lückenanalyse, in der jede Anforderung als vollständig abgedeckt, teilweise abgedeckt oder nicht abgedeckt eingestuft wird. Zusätzlich solle für jeden KSI geklärt werden, ob er automatisierbar ist, einen manuellen Prozess erfordert oder beides. Als Priorisierung nennt sie die von FedRAMP empfohlene Reihenfolge: zuerst Authorization by FedRAMP, danach Cloud Native Architecture und Identity and Access Management, anschließend Service Configuration, Monitoring und die übrigen Domänen.
Der Aufbau der Nachweis-Pipeline stützt sich laut Vernon meist auf Daten, die Unternehmen bereits erzeugen, etwa in Cloud-Plattformen, Identitätsanbietern, SIEMs, Schwachstellenscannern und Konfigurationsmanagement-Werkzeugen. Die eigentliche Herausforderung liege darin, diese Daten konsistent zu erfassen, zu normalisieren, KSIs zuzuordnen, strukturierte Nachweise zu erzeugen und das alles im geforderten Rhythmus in großem Maßstab durchzuführen. Besonders aufwendig seien oft nicht technische Telemetriedaten, sondern manuelle Abläufe wie Richtlinienfreigaben, Governance-Workflows und Schulungsnachweise.
Auch die Rolle der Prüfer verändert sich. Statt vor allem Dokumentation und Narrative zu bewerten, validieren 3PAOs unter 20X nach Vernons Darstellung, ob die Nachweis-Pipeline die Realität korrekt abbildet. Audit drehe sich damit weniger um das Lesen von Richtlinien als um das Vertrauen in die Integrität der Systeme, die die Nachweise erzeugen.
Anecdotes führt dabei die eigene Plattform als Beispiel an. Laut Vernon wurde das Unternehmen als erste agentische GRC-Plattform mit der eigenen Plattform nach FedRAMP 20X Moderate, auch als Class C bezeichnet, autorisiert. Beim ersten Assessment sei Anecdotes allerdings nicht direkt auf Moderate gekommen, sondern zunächst auf Low, habe die Ergebnisse zur Verbesserung der Umgebung genutzt, erneut validiert und anschließend Moderate erreicht. Vernon wertet das als Beleg dafür, dass das Framework Organisationen belohnt, die Assessments als Rückkopplungsschleife für kontinuierliche Verbesserung behandeln.