Resumo

  • O cronograma proposto pelo FedRAMP prevê avisar provedores elegíveis de infraestrutura própria ou híbrida em 12 de outubro e receber respostas até o dia 16.
  • O grupo estudará como certificações comerciais podem servir às futuras regras do FedRAMP 20x; participar ou possuir um certificado comercial não garante certificação FedRAMP nem decisão de uso por uma agência.

Análise

O programa federal de gestão de riscos e autorizações (FedRAMP) colocou uma janela de participação próxima em sua proposta para a fase 4 do FedRAMP 20x. A intenção é identificar provedores de serviços em nuvem a partir de informações já disponíveis no Marketplace, enviar instruções pelo FedRAMP Security Inbox em 12 de outubro e pedir resposta até o dia 16. O documento apresenta essas datas como metas sujeitas a imprevistos. Não divulga os convidados nem afirma que os avisos já foram enviados.

Os critérios são específicos: ter uma certificação FedRAMP Rev5 Class C ou Class D vigente, registrar pelo menos 15 usos por agências e operar principalmente com infraestrutura própria ou híbrida. Um provedor com várias ofertas elegíveis conta uma só vez. A definição de infraestrutura própria abrange instalações operadas pelo próprio provedor e aquelas pelas quais ele assume responsabilidade em um acordo com terceiros. A adesão permite participar de conversas diretas; não é um pedido público de certificação.

A separação responde a uma lacuna de desenho apontada pelo programa. As três primeiras fases do FedRAMP 20x se concentraram em serviços executados sobre infraestrutura ou plataformas que já tinham certificação Rev5. Provedores responsáveis pela infraestrutura física enfrentam uma questão diferente. A proposta é examinar as certificações setoriais que já utilizam, compará-las aos requisitos Rev5 pertinentes e, quando possível, aproveitar evidências existentes em uma futura certificação 20x.

A fase 4 também prevê um piloto Class D para serviços hospedados na nuvem e uma frente de diálogo com serviços independentes de avaliação. Cada trilha tem critérios e calendário próprios. Para os provedores com infraestrutura própria, 16 de outubro é o prazo proposto para responder se participarão das primeiras conversas; não é um limite geral do programa nem uma decisão de status FedRAMP.

As regras finais do 20x para serviços próprios ou híbridos ainda não estão definidas. O FedRAMP pretende incorporá-las às regras consolidadas de 2027 e aponta 4 de novembro como data-alvo para uma consulta pública sobre esses modelos de hospedagem. O cronograma prevê outras reuniões e uma nova consulta sobre regras em fevereiro. São marcos planejados, não etapas concluídas.

Fontes