Pontos principais
- O alcance do FedRAMP pode chegar a MSPs que atendem clientes que lidam com dados federais de forma indireta, como escritórios de advocacia, prestadores de saúde, prefeituras e instituições de ensino que recebem verba federal.
- A NIST SP 800-60 classifica litígios, atividades judiciais e registros de saúde militar como possíveis dados federais, o que expõe MSPs desses setores a obrigações de conformidade.
- Plataformas de RMM, backup em nuvem, gerenciamento de patches, acesso remoto e ferramentas de compartilhamento de tela podem entrar no escopo se instalam agentes, acessam ambientes internos ou armazenam dados do cliente.
- Ferramentas fora de conformidade colocam em risco contratos de clientes, geram multas e podem responsabilizar o MSP em investigações ou processos judiciais.
- Audite sua carteira de clientes em busca de exposição a dados federais, compare suas ferramentas com o FedRAMP Marketplace e priorize a migração dos clientes de maior risco para ferramentas autorizadas.
No direito existe um ditado antigo: desconhecer a lei não é defesa.
Por muito tempo, o FedRAMP (Federal Risk and Authorization Management Program) foi tratado como um problema do governo federal, algo para agências, contratantes e equipes de conformidade em Washington resolverem. Mas, se você gerencia a TI de clientes que lidam com dados federais, mesmo que indiretamente, essa suposição já pode estar saindo caro.
O que é o FedRAMP?
O FedRAMP foi criado em dezembro de 2011, por um memorando do Office of Management and Budget (OMB), para acelerar com segurança a adoção de produtos e serviços de computação em nuvem pelas agências federais e evitar esforços duplicados, oferecendo um processo de autorização consistente e reutilizável.
Hoje o FedRAMP é regido pelo Memorando M-24-15 do OMB (julho de 2024), e seu escopo abrange produtos e serviços de computação em nuvem, incluindo IaaS, PaaS e SaaS, que criam, coletam, processam, armazenam ou mantêm informações federais em nome de uma agência federal.
É nessa última parte, “em nome de uma agência federal”, que a coisa fica interessante para os MSPs.
Por que o FedRAMP é assunto de MSP
O escopo do FedRAMP vai muito além de fornecedores com contratos federais diretos. Qualquer provedor que toque em dados federais, seja a relação direta ou indireta, pode acabar dentro desse alcance. E dados federais são bem mais comuns do que a maioria das pessoas imagina.
Escritórios de advocacia mostram bem por que isso afeta os MSPs
A Federal Information Security Management Act (FISMA) define os padrões legais que obrigam agências federais e seus contratantes a proteger dados federais e determina que o National Institute of Standards and Technology (NIST) desenvolva os padrões de segurança que descrevem como essa proteção acontece. Um desses padrões, a NIST Special Publication 800-60, relaciona tipos de informação a categorias de segurança para garantir proteção adequada de confidencialidade, integridade e disponibilidade.
A NIST SP 800-60 traz uma seção inteira sobre “Litigation and Judicial Activities”, que cobre audiências judiciais federais, defesa jurídica, investigação jurídica, acusação e litígio, além de facilitação de acordos. Pelas definições do NIST, tudo isso pode ser considerado dado federal.
Na prática, se um escritório de advocacia tem uma agência federal como parte em algum de seus casos, as informações trocadas nesse processo são potencialmente dados federais. Ou seja, um escritório que atua em casos de direitos civis, trabalha com contratos federais ou recebe documentos do governo durante a fase de produção de provas pode já estar lidando com dados federais. E o MSP que gerencia esse ambiente também.
Dados FedRAMP e riscos de CUI: o cenário mais amplo do setor
A mesma lógica vale para a saúde. O NARA CUI Registry, fonte oficial sobre o que se qualifica como informação não classificada controlada (CUI), inclui tanto a categoria Military Personnel Records, que abrange qualquer militar ou ex-militar das forças armadas, quanto a categoria Health Information, que abrange registros criados ou recebidos por um prestador de saúde relacionados à saúde física ou mental de uma pessoa.
Um prestador de saúde que atende pacientes da Guarda Nacional, lida com prontuários militares ou administra programas financiados pelo governo federal, como Medicare ou Medicaid, pode estar guardando CUI segundo essas definições. Para o MSP que gerencia o ambiente de TI desse prestador, a exposição é a mesma.
Outros setores que merecem atenção: prefeituras e governos locais, escolas e instituições de ensino superior que recebem verba federal ou administram programas estudantis federais, além de contratantes de defesa e seus subcontratados.
Que partes do seu conjunto de ferramentas estão expostas?
Se o ambiente do seu cliente precisa atender a exigências de conformidade de nível federal, vale olhar com atenção quais ferramentas do seu conjunto podem cair no escopo do FedRAMP.
O FedRAMP publicou uma orientação oficial sobre escopo para ajudar as agências a determinar se um serviço em nuvem precisa de autorização. A orientação foi escrita para agências federais, mas os exemplos ilustrativos servem de ponto de partida útil para MSPs que queiram fazer a própria análise.
Com base nesses exemplos, veja como algumas ferramentas comuns de MSP poderiam ser avaliadas:
| Ferramenta de MSP | Está no escopo? |
| RMM com agente instalado e recursos de sessão remota | Possivelmente sim |
| Backup em nuvem que armazena dados do cliente | Possivelmente sim |
| Gerenciamento de patches e ferramentas de administração remota | Possivelmente sim |
| Ferramentas de compartilhamento de tela e acesso remoto | Possivelmente sim |
| Monitoramento de disponibilidade ou ping de sites públicos | Provavelmente não |
Essas avaliações são apenas interpretativas. A aplicabilidade do FedRAMP depende de como cada ferramenta é usada em um ambiente específico, e todo MSP deve fazer a própria análise. Ainda assim, qualquer ferramenta que instale agentes nos sistemas do cliente, acesse ambientes internos com privilégios elevados ou armazene dados do cliente merece uma avaliação cuidadosa.
Na nossa visão, a plataforma de RMM merece atenção especial. É a ferramenta que amarra todo o resto e, se ela não tiver autorização FedRAMP, fica difícil sustentar um argumento de conformidade crível para as demais.
Qual é o risco de errar nos requisitos do FedRAMP?
O governo federal costuma definir requisitos de conformidade sem detalhar as penalidades por descumprimento. Essa imprecisão torna o terreno arriscado.
Se o seu cliente é obrigado a usar ferramentas autorizadas pelo FedRAMP e não usa, ele corre o risco de perder contratos e enfrentar multas ou processos judiciais. Na melhor das hipóteses, esse cliente vai culpar você por não ter avisado ou por não ter deixado claro que isso era uma exigência. Na pior, você é arrastado junto para a investigação ou para o processo.
O lado bom: ser o MSP que viu isso chegando
A maioria dos MSPs ainda não está tendo essa conversa com os clientes, e aí mora uma grande oportunidade.
Advogados entendem de responsabilidade civil e negligência grave. Então, quando você chega a um escritório de advocacia e levanta a questão de se as ferramentas de TI deles precisam estar em conformidade com o FedRAMP, as implicações ficam claras rapidamente. Você passa a ser o consultor de confiança que trouxe algo relevante antes de virar problema.
Três passos para sair na frente do FedRAMP
- Audite sua carteira de clientes em busca de exposição a dados federais.
- Aproveite a próxima rodada de reuniões trimestrais de negócios para perguntar diretamente: vocês trabalham com algum dado federal? Com clientes do setor jurídico, seja específico e pergunte se há alguma agência federal como parte em seus casos. Com clientes da saúde, pergunte sobre programas financiados pelo governo federal ou pacientes militares.
- Compare seu conjunto de ferramentas com o FedRAMP Marketplace.
- O FedRAMP Marketplace é uma lista pública e pesquisável de ferramentas em nuvem autorizadas. Comece pelo seu RMM. NinjaOne está nessa lista, ou seja, é uma lacuna do seu conjunto de ferramentas que dá para fechar hoje.
- Comece a migração pelo que mais importa.
- Se há clientes na sua lista que provavelmente lidam com dados federais, comece a movê-los para ferramentas autorizadas pelo FedRAMP.
Próximos passos
Esse cenário vai continuar mudando. A linguagem regulatória já cita especificamente dados jurídicos e judiciais, as definições do NIST são mais amplas do que a maioria imagina e a fiscalização tende a ficar mais específica com o tempo. Vamos continuar atualizando nossa comunidade à medida que o quadro ficar mais claro.
Se quiser ver como o RMM da NinjaOne, autorizado pelo FedRAMP, se encaixa no seu conjunto de ferramentas, acesse a página da NinjaOne no FedRAMP Marketplace.
Observação: a equipe jurídica da NinjaOne revisou este post antes da publicação. Nada aqui constitui uma determinação legal definitiva.
