Implementação do FedRAMP

O Federal Risk and Authorization Management Program (FedRAMP) é uma iniciativa do governo dos EUA que fornece um processo padronizado para avaliar, autorizar e monitorar continuamente a segurança de produtos e serviços em nuvem utilizados por agências federais. Seu objetivo é garantir que as soluções em nuvem utilizadas pelas agências federais dos EUA atendam a padrões de segurança consistentes e rigorosos, ajudando a proteger os dados sensíveis do governo armazenados na nuvem.

Desafios na implementação dos requisitos do FedRAMP SSP, POA&M e OSCAL

Os provedores de serviços em nuvem (CSPs) que desejam atender às agências federais dos EUA por meio da autorização FedRAMP enfrentam vários obstáculos significativos. Esses desafios surgem devido aos rigorosos padrões de segurança do programa, ao processo complexo de autorização e à exigência de conformidade contínua.

• Elevada carga de documentação

  • Os relatórios de System Security Plan (SSP) e Plan of Action and Milestones (POA&M) são extensos e detalhados, exigindo centenas de pontos de dados distribuídos em várias seções e controles.

  • Atualizações manuais desses documentos são demoradas e sujeitas a erros, especialmente durante atualizações mensais (POA&M) ou ao longo dos ciclos de autorização (SSP).

• Fragmentação de dados entre ferramentas e equipes

  • Os dados de vulnerabilidade são provenientes de verificações de segurança, relatórios de avaliação de segurança (RAs), resultados manuais e questionários.

  • Cada fonte usa diferentes formatos, terminologia e estrutura, tornando difícil consolidar e normalizar dados para relatórios.

• Falta de padronização nas verificações de segurança

  • O CSPS deve executar pelo menos três tipos de verificações de segurança, muitas vezes com ferramentas de diferentes fornecedores, como Tenable, Rapid7 e Qualys.

  • Estas digitalizações geram arquivos CSV com nomes de colunas e estruturas inconsistentes, exigindo mapeamento personalizado para cada fornecedor.

• Introdução manual de dados e riscos de duplicação

  Sem automação, as equipes copiam e colam dados manualmente nos modelos do FedRAMP, aumentando o risco de erros humanos, vulnerabilidades duplicadas e registros incompletos.

• Acompanhamento complexo da implementação de controle

  • Cada controle do FedRAMP requer provas de implementação detalhadas, instruções e metadados.

  • Rastrear centenas de controles e garantir sua completude representa um desafio operacional significativo.

• Conformidade contínua e relatórios mensais

  • O relatório POAM deve ser enviado mensalmente, exigindo um rastreamento preciso das vulnerabilidades e do status de remediação.

  • Os CSPs devem manter um inventário atualizado de vulnerabilidades e garantir que as atualizações e exportações sejam feitas de forma pontual.

• Requisitos de formato OSCAL

  • O FedRAMP exige cada vez mais formatos legíveis por máquina, como o Open Security Controls Assessment Language (OSCAL), aumentando a complexidade do processo de exportação.

  • Os CSPs devem manter um inventário atualizado de vulnerabilidades e garantir que as atualizações e exportações sejam feitas de forma pontual.

• Coordenação entre equipes de segurança e conformidade

  • A conclusão da documentação do FedRAMP requer a participação de múltiplas partes interessadas: equipes de segurança para dados de varredura, equipes de conformidade para planos de remediação e proprietários de projetos para revisões dos controles.

  • Garantir a colaboração e a responsabilidade entre as equipes é essencial, mas desafiador.

Pessoas envolvidas na implementação do FedRAMP

As pessoas envolvidas na implementação do FedRAMP incluem:

• CSP e empresa de consultoria FedRAMP

• Organização de avaliação de terceiros (3PAO)

• Profissionais de segurança e conformidade

• Agências federais e patrocinadoras

• Conselho Conjunto de Autorizações (JAB)

• Organizações de avaliação de terceiros (3PAO)

Guias de solução FedRAMP