Executando o RMF da NIST para uma Autorização para Operar (ATO)

Quando Usar

• Quando um sistema federal ou alinhado a federais (ou um serviço em nuvem FedRAMP) precisa de uma Autorização para Operar, uma reautorização, ou perdeu a autorização.
• Quando você precisa produzir ou revisar os artefatos centrais de autorização: Plano de Segurança do Sistema (SSP), Relatório de Avaliação de Segurança (SAR) e Plano de Ação e Marcos (POA&M).
• Ao categorizar o nível de impacto de um sistema (Baixo / Moderado / Alto) sob o FIPS 199.
• Ao selecionar, adaptar ou implementar uma linha de base de controle do NIST SP 800-53 Rev 5.
• Ao configurar o monitoramento contínuo (ConMon) ou buscar a autorização contínua / cATO após uma ATO inicial.

Pré-requisitos

• Um sistema e limite de autorização definidos (o que está incluído, o que é herdado, o que é um serviço alavancado).
• Um Oficial de Autorização (AO), Proprietário do Sistema e ISSO identificados.
• Os tipos de informação que o sistema manipula (use o SP 800-60 para mapeá-los para níveis de impacto).
• Para nuvem: a Matriz de Responsabilidade do Cliente (CRM) do provedor e qualquer ATO herdada/alavancada.
• Acesso às fontes de evidências de avaliação (configuração, varreduras, políticas) para a etapa de Avaliação.

Fluxo de Trabalho

O NIST SP 800-37 Rev 2 define sete etapas. Preparar é a base; o restante é executado em ordem e depois entra em loop através de Monitorar.

0/1. Preparar (nível de organização e sistema)

Estabeleça o contexto: funções (AO, SO, ISSO, avaliador), estratégia e tolerância de gerenciamento de risco (ligações com o SP 800-39), uma estratégia de linha de base de controle, controles comuns disponíveis para herança e o contexto de missão/negócios do sistema. Defina precisamente o limite de autorização — o escopo aqui infla todo o pacote.

2. Categorizar (FIPS 199 + SP 800-60)

Determine o nível de impacto para confidencialidade, integridade e disponibilidade para cada tipo de informação, e então pegue o maior valor entre os três para definir a categorização geral do sistema: Baixo, Moderado ou Alto. Documente no SSP. Esta única decisão impulsiona toda a linha de base de controle.

3. Selecionar (FIPS 200 + SP 800-53 Rev 5 + SP 800-53B)

Comece a partir da linha de base do SP 800-53B que corresponde à categorização (Baixo/Moderado/Alto). Em seguida, adapte: aplique orientação de escopo, selecione controles compensatórios onde necessário e atribua valores a parâmetros definidos pela organização. Adicione sobreposições (por exemplo, privacidade, FedRAMP). Registre o conjunto adaptado e a justificativa no SSP. Identifique quais controles são comuns (herdado), específicos do sistema ou híbridos.

4. Implementar

Implante os controles selecionados e documente como cada um é implementado no SSP — a declaração de implementação, não apenas "sim". Este é o artefato que os avaliadores leem primeiro; declarações vagas geram descobertas.

5. Avaliar (SP 800-53A Rev 5)

Um avaliador independente avalia os controles usando os métodos de examinar / entrevistar / testar contra os objetivos de avaliação. Descobertas de "outras que não satisfeitas" se tornam fraquezas. A saída é o Relatório de Avaliação de Segurança (SAR). Remedeie o que puder antes da autorização; o restante flui para o POA&M.

6. Autorizar

Monte o pacote de autorização: SSP + SAR + POA&M (mais artefatos de suporte). O AO revisa o risco residual e toma uma decisão:

• ATO — autorizado, geralmente com um prazo definido e uma expectativa de ConMon.
• Condicional / cATO — autorizado sujeito a condições ou operando sob um modelo de autorização contínua aprovado.
• Negação / DATO — risco muito alto; o sistema não pode operar.

A decisão e sua justificativa são capturadas no documento de decisão de autorização.

7. Monitorar (monitoramento contínuo)

A autorização não é um portão único. Mantenha uma postura contínua: rastreie a eficácia dos controles, ingira varreduras/desvios de configuração, atualize o SSP em caso de mudança, trabalhe o POA&M até o fechamento, relate conforme o plano de ConMon e alimente mudanças significativas de volta para reavaliação. Programas maduros passam de re-ATO periódica para autorização contínua.

Conceitos Chave

…