Conformidade FedRAMP

Implemente os requisitos do FedRAMP (Federal Risk and Authorization Management Program) para provedores de serviços em nuvem que atendem a agências federais dos EUA.

Quando Usar

• Buscando autorização FedRAMP para uma oferta de serviço em nuvem
• Implementando controles de segurança NIST 800-53 para cargas de trabalho federais
• Estabelecendo processos de monitoramento contínuo (ConMon)
• Gerenciando o rastreamento do Plano de Ação e Marcos (POA&M)
• Preparando-se para uma auditoria de Organização de Avaliação de Terceiros (3PAO)
• Operando um sistema autorizado pelo FedRAMP e mantendo a autorização

Níveis de Impacto

impact_levels:
  low:
    control_count: ~125
    use_case: "Publicly available federal information"
    examples:
      - Public-facing websites with no sensitive data
      - Open data portals
      - Marketing and informational systems
    data_types: "No PII, no CUI, publicly releasable only"
    authorization_path: "FedRAMP Tailored (Li-SaaS) or standard Low"

  moderate:
    control_count: ~325
    use_case: "Most federal systems, including CUI"
    examples:
      - Email and collaboration platforms
      - Case management systems
      - Financial management systems
      - HR and personnel systems
    data_types: "CUI, PII, law enforcement sensitive (LES)"
    authorization_path: "Agency or JAB P-ATO"
    note: "~80% of FedRAMP authorizations are at Moderate"

  high:
    control_count: ~425
    use_case: "High-impact federal systems"
    examples:
      - Law enforcement and criminal justice systems
      - Emergency services and public safety
      - Financial systems with significant impact
      - Healthcare systems with PHI
    data_types: "Classified-adjacent, life-safety, critical infrastructure"
    authorization_path: "JAB P-ATO required"

Famílias de Controles NIST 800-53

control_families:
  AC:
    name: "Controle de Acesso"
    key_controls:
      AC-2: "Gerenciamento de Contas - gerenciar o ciclo de vida das contas do sistema"
      AC-3: "Aplicação de Acesso - impor autorizações aprovadas"
      AC-6: "Privilégio Mínimo - empregar o princípio de privilégio mínimo"
      AC-17: "Acesso Remoto - estabelecer restrições de uso para acesso remoto"
    implementation_notes: "Mapear para políticas de IAM, RBAC, imposição de MFA"

  AU:
    name: "Auditoria e Responsabilização"
    key_controls:
      AU-2: "Eventos de Auditoria - definir eventos auditáveis"
      AU-3: "Conteúdo dos Registros de Auditoria - garantir que os registros contenham as informações necessárias"
      AU-6: "Revisão, Análise e Relatório de Auditoria"
      AU-12: "Geração de Auditoria - gerar registros de auditoria"
    implementation_notes: "Mapear para CloudTrail, CloudWatch Logs, SIEM"

  AT:
    name: "Conscientização e Treinamento"
    key_controls:
      AT-2: "Treinamento de Conscientização de Segurança - fornecer treinamento aos usuários"
      AT-3: "Treinamento de Segurança Baseado em Função - para pessoal com funções de segurança"
    implementation_notes: "Treinamento anual de segurança, treinamento específico para a função"

  CM:
    name: "Gerenciamento de Configuração"
    key_controls:
      CM-2: "Configuração de Linha de Base - desenvolver e manter a linha de base"
      CM-6: "Configurações de Configuração - estabelecer configurações obrigatórias"
      CM-7: "Funcionalidade Mínima - restringir a capacidades essenciais"
      CM-8: "Inventário de Componentes do Sistema de Informação"
    implementation_notes: "Mapear para AWS Config, SSM, AMIs endurecidas"

  CP:
    name: "Planejamento de Contingência"
    key_controls:
      CP-2: "Plano de Contingência - desenvolver e manter o plano"
      CP-4: "Teste do Plano de Contingência - testar o plano anualmente"
      CP-9: "Backup do Sistema de Informação"
      CP-10: "Recuperação e Reconstituição do Sistema de Informação"
    implementation_notes: "Mapear para plano de DR, estratégia de backup, teste de failover"

  IA:
    name: "Identificação e Autenticação"
    key_controls:
      IA-2: "Identificação e Autenticação (Usuários da Organização)"
      IA-5: "Gerenciamento de Autenticadores"
      IA-8: "Identificação e Autenticação (Usuários Não-Organização)"
    implementation_notes: "Mapear para SSO, MFA, autenticação baseada em certificado, PIV/CAC"

  IR:
    name: "Resposta a Incidentes"
    key_controls:
      IR-2: "Treinamento de Resposta a Incidentes"
      IR-4: "Tratamento de Incidentes - implementar capacidade de tratamento de incidentes"
      IR-6: "Relatório de Incidentes - relatar incidentes ao US-CERT"
      IR-8: "Plano de Resposta a Incidentes"
    implementation_notes: "Relatório ao US-CERT em até 1 hora para incidentes federais"

  MA:
    name: "Manutenção"
    key_controls:
      MA-2: "Manutenção Controlada"
      MA-4: "Manutenção Não Local - autorizar manutenção não local"

…