Fedramp

O artigo de Maril Vernon discute a transição do FedRAMP Rev5 para o FedRAMP 20X, destacando a mudança de um modelo de avaliação pontual para um sistema de validação contínua de segurança. Enquanto o Rev5 focava em descrever controles de segurança e apresentar evidências documentais, o 20X exige que as organizações provem continuamente a eficácia de suas medidas de segurança através de Indicadores de Segurança Chave (KSIs), que são resultados mensuráveis suportados por evidências legíveis por máquinas. Essa mudança é crucial, pois ambientes em nuvem são dinâmicos e as ameaças são constantes. O novo modelo requer que as evidências sejam coletadas de forma contínua, com um mínimo de 70% dos KSIs automatizados, permitindo uma validação mais precisa e confiável. A implementação dessa nova abordagem não é apenas uma atualização de documentação, mas sim uma reengenharia dos sistemas de segurança das organizações, exigindo um esforço significativo em automação e design de sistemas para garantir a sustentabilidade da conformidade.

Um ex-gerente de produtos da Accenture, identificado como Hilmer, foi acusado pelo Departamento de Justiça dos EUA (DoJ) de fraudes relacionadas à segurança em produtos de nuvem. Ele é acusado de ter enganado clientes do governo sobre as medidas de segurança da plataforma de nuvem da Accenture, que não atendia aos requisitos do programa FedRAMP, utilizado por agências federais para garantir a segurança de produtos e serviços em nuvem. Hilmer teria feito representações falsas para induzir o Exército dos EUA a patrocinar a plataforma para uma autorização provisória do Departamento de Defesa. As acusações incluem duas contagens de fraude eletrônica, uma de fraude governamental e duas de obstrução de auditoria federal. Se condenado, ele pode enfrentar até 20 anos de prisão por fraude eletrônica. A Accenture declarou que trouxe a questão à atenção do governo após uma revisão interna e está cooperando com a investigação. Este caso levanta preocupações sobre a conformidade de segurança em serviços de nuvem, especialmente em contratos governamentais, onde a integridade e a segurança dos dados são cruciais.