O FedRAMP passa a ser legível por máquina

O fim do pacote em Word

Durante anos, um pacote de autorização FedRAMP foi, acima de tudo, uma coisa: muitos documentos. Planos de segurança do sistema com centenas de páginas, descrições de controlos em modelos Word, inventários e resultados de testes em Excel. Ainda em 2025, as autorizações Rev5 assentavam quase inteiramente nestes modelos, embora o OSCAL existisse há muito como alternativa legível por máquina.

Em janeiro de 2026, o FedRAMP iniciou a mudança de rumo com o RFC-0024: os dados de autorização passam a ser submetidos como dados estruturados e legíveis por máquina, em vez de pilhas de documentos. Para as agências, isto significa revisões mais rápidas e pacotes comparáveis. Para os prestadores de serviços de computação em nuvem, significa uma transição que é muito melhor planear cedo do que tarde.

• Os modelos Word e Excel estão a ser abandonados como formatos de submissão
• Os dados estruturados tornam os pacotes verificáveis, comparáveis e reutilizáveis
• A transição aplica-se a todos os prestadores, e não apenas à via de modernização 20x

Do RFC-0024 às Consolidated Rules 2026

O caminho até à regra final é, em si mesmo, uma lição de normalização pública. A proposta original fixava cortes rígidos logo a 30 de setembro de 2026. Durante o período de comentários, que terminou a 11 de março de 2026, os prestadores pediram de forma quase unânime mais tempo de preparação.

O FedRAMP respondeu: o resultado intercalar publicado em março de 2026 adiou os prazos. Tudo foi depois consolidado nas Consolidated Rules for 2026 (CR26) finais, publicadas no final de junho de 2026, que organizam os requisitos em classes de certificação de A a D. A mensagem mantém-se: a legibilidade por máquina vai chegar; apenas o calendário se tornou mais realista.

Os prazos em resumo

O que conta é o calendário final das CR26; os rascunhos intercalares anteriores, com cortes de formato por classe, foram substituídos.

• Desde 4 de julho de 2026: adoção antecipada opcional do novo conjunto de regras, com a abertura dos processos por classe a partir de agosto de 2026
• A partir de 1 de janeiro de 2027: as Consolidated Rules aplicam-se obrigatoriamente; as novas certificações na classe mais elevada, D, exigem dados de autorização legíveis por máquina em JSON, validados face aos esquemas FedRAMP publicados
• Certificações existentes: transição, o mais tardar, na primeira avaliação independente que comece após 1 de janeiro de 2027
• 11 de junho de 2027: fim das novas certificações Rev5; a partir dessa data, os novos pedidos seguem inteiramente o novo conjunto de regras

Importante para o planeamento: quem pretenda uma nova autorização em 2027 está, na prática, a trabalhar com os novos formatos em 2026, porque a preparação do pacote, as análises de lacunas e os testes começam bem antes da data de corte.

O papel do OSCAL

As regras finais ancoram a legibilidade por máquina em documentos JSON validados face aos esquemas FedRAMP publicados; o FedRAMP não prescreve uma ferramenta de criação específica. Na prática, o caminho passa pelo OSCAL: a norma do NIST é o modelo de dados aberto estabelecido precisamente para este conteúdo, o FedRAMP trabalha com a comunidade OSCAL em modelos e recursos, e é aí que o ecossistema de ferramentas cresce mais depressa. O nosso artigo sobre o panorama das ferramentas OSCAL apresenta uma visão geral.

A forma como os modelos de documentos se encaixam, do catálogo ao perfil, ao SSP e à avaliação, é explicada na nossa introdução O que é o OSCAL?

O que os prestadores de serviços de computação em nuvem devem fazer agora

Com base no nosso trabalho com dados de conformidade estruturados, uma sequência simples tem dado provas. Funciona independentemente de o destino ser o FedRAMP ou outro programa com requisitos de legibilidade por máquina.

• Inventário: que partes do pacote atual estão onde, e com que qualidade?
• Piloto: converter uma parte do SSP para OSCAL e verificá-la face aos esquemas, por exemplo com o nosso OSCAL Validator gratuito
• Modelo de trabalho: definir responsáveis, revisões e tratamento de evidências para que os dados estruturados sejam a regra, e não uma exportação no fim

É exatamente para isto que estamos a construir o Secani: uma plataforma em que os dados de autorização são estruturados desde o início, com fontes, aprovações e histórico. Se está a planear a transição, fale connosco.