Os programas federais de cibersegurança não podem depender de avaliações anuais e inventários estáticos.
As agências federais e as organizações que operam sistemas ou lidam com informações federais em seu nome precisam de visibilidade contínua sobre dados sensíveis, acesso, exposição, controles de segurança e remediação.
Esse é o desafio prático por trás disso. Conformidade com a FISMA.
O Lei Federal de Modernização da Segurança da Informação de 2014 Exige que as agências federais desenvolvam, documentem e implementem programas de segurança da informação baseados em risco que protejam as informações e os sistemas de informação federais. Os padrões e as diretrizes do NIST fornecem a estrutura operacional que as agências utilizam para implementar esses requisitos.
Para os ambientes federais modernos, isso significa ir além da mera documentação.
As organizações precisam saber:
- Que dados federais existem?
- Onde esses dados estão localizados
- Como os sistemas e as informações devem ser categorizados
- Quem e o quê pode acessar informações confidenciais
- Se os controles de segurança funcionam conforme o esperado.
- Quais vulnerabilidades e exposições representam o maior risco?
- O que mudou desde a última avaliação?
- Que evidências demonstram a conformidade contínua?
A conformidade com a FISMA é, em última análise, um programa de gestão de riscos, e não um exercício de certificação pontual.
Conformidade com a FISMA: Principais conclusões
• A FISMA exige segurança da informação federal baseada em riscos. As agências devem proteger as informações e os sistemas federais de acordo com o impacto potencial do acesso não autorizado, da divulgação, da interrupção, da modificação ou da destruição.
• A Estrutura de Gestão de Riscos do NIST operacionaliza a FISMA. O RMF utiliza sete etapas: Preparar, Categorizar, Selecionar, Implementar, Avaliar, Autorizar e Monitorar.
• A FISMA utiliza categorias de baixo, moderado e alto impacto. A norma FIPS 199 determina o impacto no sistema com base na confidencialidade, integridade e disponibilidade. Não existem níveis oficiais de FISMA de 1 a 5.
• O monitoramento contínuo é mais importante do que as revisões anuais de listas de verificação. As diretrizes federais enfatizam cada vez mais a conscientização contínua sobre riscos, a eficácia dos controles, a remediação, o registro de atividades e os resultados mensuráveis em segurança cibernética.
• A visibilidade dos dados fortalece a preparação para a FISMA. As agências precisam saber onde residem os dados CUI, PII, financeiros, de saúde, contratuais e de missão crítica, quem pode acessá-los e onde existe exposição a eles.
• A BigID conecta os controles FISMA aos dados que eles protegem. A BigID ajuda equipes federais a descobrir e classificar dados sensíveis, controlar o acesso, monitorar a exposição, priorizar riscos, automatizar a remediação e gerar evidências de conformidade.
O que é a conformidade com a FISMA?
A conformidade com a FISMA significa implementar e manter um programa de segurança da informação em toda a agência que proteja as informações e os sistemas de informação federais de acordo com o risco.
A lei exige que as agências federais forneçam proteções proporcionais ao dano potencial causado pelo acesso, uso, divulgação, interrupção, modificação ou destruição não autorizados de informações e sistemas federais.
O NIST fornece os padrões, controles, procedimentos de avaliação e estrutura de gerenciamento de riscos que as agências utilizam para transformar esse requisito em segurança operacional.
Os programas FISMA normalmente abordam:
- Inventários de sistemas e informações
- Categorização de risco
- Controles de segurança e privacidade
- Planejamento de segurança de sistemas
- Implementação de controle
- Avaliações de segurança
- Autorização
- Monitoramento contínuo
- Resposta a incidentes
- Remediação
- Relatórios anuais da agência e do Inspetor Geral
FISMA é um programa de gerenciamento de riscos, não uma lista de verificação.
Um dos maiores equívocos sobre a FISMA é que as organizações podem preencher uma lista de verificação universal e obter a “certificação FISMA”.”
O NIST afirma explicitamente que seus padrões e orientações não constituem uma lista de verificação única para conformidade com a FISMA.
Em vez disso, o Estrutura de Gestão de Riscos do NIST Fornece um processo repetível e baseado em riscos para gerenciar a segurança e a privacidade ao longo de todo o ciclo de vida do sistema.
Essa distinção é importante.
As organizações não devem perguntar apenas:
Implementamos os controles necessários?
Eles também precisam perguntar:
Esses controles são adequados ao sistema, operam de forma eficaz, são monitorados continuamente e são respaldados por evidências defensáveis?
Os sete passos da estrutura de gestão de riscos do NIST
NIST SP 800-37 A revisão 2 define sete etapas do RMF.
1. Preparar
Estabelecer o contexto organizacional e sistêmico necessário para gerenciar os riscos de segurança e privacidade.
Isso inclui compreender:
- Missão e funções comerciais
- Sistemas e ativos
- Tipos de informação
- tolerância ao risco
- Funções e responsabilidades
- Controles comuns
- Considerações sobre a cadeia de suprimentos
2. Categorizar
Classifique o sistema e as informações de acordo com o impacto potencial da perda de:
- Confidencialidade
- Integridade
- Disponibilidade
FIPS 199 fornece a base para essa categorização.
3. Selecione
Selecione e adapte os controles de segurança e privacidade adequados com base na categorização do sistema, no risco e nos requisitos organizacionais.
NIST SP 800-53 A revisão 5 fornece o catálogo de controle primário.
4. Implement
Implementar os controles selecionados e documentar seu funcionamento.
As provas são importantes neste caso.
As organizações precisam de mais do que declarações de políticas. Elas precisam de registros que demonstrem que os controles funcionam de acordo com os sistemas e dados que se propõem a proteger.
5. Avaliar
Determinar se os controles:
- Foram implementados corretamente
- Funcionar conforme o esperado
- Produzir os resultados desejados em termos de segurança e privacidade.
NIST SP 800-53A Fornece procedimentos de avaliação alinhados com a SP 800-53.
6. Autorizar
Um funcionário responsável toma uma decisão baseada na avaliação de riscos sobre se o sistema deve ou não operar.
Esta é a versão moderna que substitui a antiga linguagem de “Certificação e Acreditação”.
7. Monitor
Monitorar continuamente:
- Controles de segurança
- Alterações no sistema
- Ameaças
- Vulnerabilidades
- Risco
- Atividades de remediação
O RMF do NIST promove explicitamente a gestão de riscos em tempo quase real e a autorização contínua por meio de monitoramento constante.
Reforçar a segurança dos dados federais
See how BigID helps federal teams discover sensitive data, understand access and exposure, and support continuous monitoring across complex environments.
Quais são os níveis de impacto da FISMA?
De acordo com a norma FIPS 199, as informações e os sistemas federais são classificados como:
Baixo impacto
A perda de confidencialidade, integridade ou disponibilidade pode ter um efeito adverso limitado nas operações, ativos ou indivíduos da organização.
Impacto moderado
A perda pode ter um efeito adverso grave.
Sistemas que contêm informações federais sensíveis, incluindo muitos sistemas que processam informações pessoais identificáveis (PII) ou informações controladas não classificadas (CUI), podem se enquadrar nessa categoria, dependendo da análise de impacto.
Alto impacto
A perda poderia ter um efeito adverso grave ou catastrófico nas operações, nos ativos, nos indivíduos, em outras organizações ou na nação.
A categorização determina quais decisões de controle básico e de adaptação do NIST devem orientar o programa de segurança do sistema.
Requisitos Essenciais da FISMA
Os programas FISMA precisam de mais do que ferramentas de cibersegurança. Requerem governança, evidências, monitoramento e responsabilização replicáveis.
Manter inventários precisos de sistemas e dados.
As agências precisam de visibilidade sobre os sistemas, ativos e informações que gerenciam.
Os inventários modernos também devem responder a:
- O que dados federais sensíveis reside em cada ambiente?
- Onde o CUI é armazenado?
- Quais sistemas contêm informações pessoais identificáveis (PII), informações de saúde protegidas (PHI), dados financeiros, contratuais ou de missão crítica?
- Quais repositórios (em nuvem, SaaS, locais e híbridos) processam informações federais?
Classificar informações e sistemas
Utilize a norma FIPS 199 para determinar o impacto baixo, moderado ou alto com base na confidencialidade, integridade e disponibilidade.
Implementar os controles NIST SP 800-53
A publicação NIST SP 800-53 Rev. 5 inclui 20 famílias de controles de segurança e privacidade, abrangendo áreas como: controle de acesso, Auditoria e responsabilização, gestão de configuração, resposta a incidentes, avaliação de riscos, integridade do sistema, privacidade e gestão de riscos da cadeia de suprimentos.
Manter planos de segurança e privacidade
A documentação de segurança do sistema precisa refletir a implementação real dos controles e o contexto do sistema.
O NIST finalizou a publicação SP 800-18 Rev. 2 em junho de 2026, atualizando as diretrizes para o desenvolvimento de planos de gerenciamento de riscos de segurança, privacidade e cibersegurança na cadeia de suprimentos.
Isso torna a atualização dos planos do sistema especialmente importante para organizações que estão renovando seus programas FISMA.
Avaliar a eficácia do controle
Utilize avaliações baseadas em risco para validar se os controles funcionam conforme o planejado.
As evidências da avaliação devem refletir a implementação real, e não apenas as políticas documentadas.
Autorizar sistemas com base no risco
A autoridade competente avalia o risco residual e determina se o funcionamento do sistema permanece aceitável.
Monitorar continuamente
O monitoramento contínuo deve fornecer visibilidade atualizada sobre:
- Alterações no sistema
- Alterações de configuração
- Acesso
- Vulnerabilidades
- Eventos de segurança
- Eficácia do controle
- Risco
- Estado de remediação
Gerenciar Planos de Ação e Memorandos
Os Planos de Ação e Marcos devem documentar as fragilidades conhecidas, as ações corretivas, os responsáveis, os marcos e o progresso.
Orientações do IG para o ano fiscal de 2025 Enfatizou-se explicitamente a importância de manter os planos de remediação atualizados e de fazer recomendações suficientemente específicas para garantir um progresso mensurável.
O que mudou recentemente nos programas da FISMA?
A FISMA em si não se tornou repentinamente um regime de conformidade diferente, mas os padrões e o ecossistema de relatórios em torno dela continuam a evoluir.
As métricas recentes do OMB e do CISA reforçam a tendência de abandono das avaliações anuais em favor da avaliação e do monitoramento contínuos.
A publicação NIST SP 800-53 continua a evoluir.
O NIST publicou a versão 5.2.0 do SP 800-53 em agosto de 2025 com novos controles, melhorias nos controles e revisões.
As organizações devem verificar se os mapeamentos internos e o conteúdo das avaliações refletem o catálogo de controles atual, em vez de presumir que a Revisão 5 permaneceu estática desde 2020.
Diretrizes de planejamento do sistema alteradas em 2026
A publicação NIST SP 800-18 Rev. 2 foi finalizada em junho de 2026 e moderniza as diretrizes para planos de gerenciamento de riscos de segurança, privacidade e cibersegurança na cadeia de suprimentos.
A proteção CUI continua a amadurecer.
O NIST finalizou a publicação SP 800-172 Rev. 3 em maio de 2026 para aprimorar a proteção de Informações Controladas Não Classificadas (CUI) em sistemas não federais associados a programas críticos ou ativos de alto valor. Sua aplicabilidade depende dos contratos e requisitos de cada agência, portanto, as organizações não devem presumir que ela se aplica universalmente.
Lista de verificação de conformidade com a FISMA
Utilize este documento como um guia de prontidão, e não como um substituto para o RMF (Royal Military Fitness).
Verificação de prontidão da FISMA
Sua organização consegue comprovar a eficácia desses controles hoje?
✓ Manter um inventário preciso de sistemas, dados e proprietários.
✓ Classificar sistemas usando FIPS 199
✓ Selecione e adapte os controles aplicáveis da NIST SP 800-53
✓ Implementação do controle de documentos nos planos de segurança e privacidade atuais
✓ Avalie se os controles funcionam de forma eficaz.
✓ Manter evidências de autorização e decisões de risco
✓ Monitorar continuamente o acesso, as vulnerabilidades, a atividade e a eficácia dos controles.
✓ Acompanhe os Planos de Ação e Memorandos (POA&Ms) durante o processo de remediação.
✓ Identificar CUI, PII e outras informações federais sensíveis
✓ Impor privilégio mínimo em torno de dados sensíveis
✓ Produza evidências prontas para auditoria sem precisar recriá-las manualmente a cada ano.
Move From FISMA Readiness to Continuous Evidence
Connect sensitive data, access, activity, exposure, remediation, and audit evidence so teams can support FISMA and NIST-aligned programs with current risk context.
Quem deve cumprir a FISMA?
A FISMA aplica-se diretamente às agências federais.
Abrange também os sistemas de informação utilizados ou operados por:
- Outra agência federal
- Empreiteiros
- Outras organizações que atuam em nome de uma agência federal, quando esses sistemas processam ou protegem informações federais sujeitas aos requisitos da agência.
Para os contratados, as obrigações específicas normalmente decorrem de contratos, requisitos da agência, limites de autorização e normas federais de segurança aplicáveis.
Essa distinção é importante.
Uma empresa privada não se torna universalmente "compatível com a FISMA" simplesmente por vender para o governo federal.
O escopo depende dos sistemas, dados, serviços e obrigações contratuais envolvidos.
FISMA vs. FedRAMP
FISMA e FedRAMP São relacionados, mas não intercambiáveis.
FISMA
Estabelece os requisitos federais de segurança da informação e as responsabilidades da agência.
FedRAMP
Fornece uma abordagem padronizada para avaliação de segurança, autorização e monitoramento contínuo de serviços em nuvem usados por agências federais.
Um serviço em nuvem pode dar suporte ao programa FISMA de uma agência por meio da autorização FedRAMP, mas o FedRAMP não substitui as responsabilidades mais amplas da agência em relação ao FISMA.
FISMA vs. NIST
Outro equívoco comum é que FISMA e NIST são estruturas concorrentes.
Não são.
A FISMA estabelece requisitos legais federais de segurança da informação.
O NIST desenvolve os padrões técnicos e as diretrizes que as agências utilizam para implementar programas de segurança baseados em risco.
O NIST RMF, SP 800-53, SP 800-53A, FIPS 199 e publicações relacionadas constituem grande parte da base operacional para a implementação do FISMA.
O que acontece quando os programas da FISMA não atingem seus objetivos?
Evite enquadrar a FISMA como uma regulamentação com uma tabela de multas simples.
As consequências mais comuns de deficiências significativas incluem:
- Constatações do Inspetor Geral
- Requisitos do POA&M
- Maior supervisão
- Decisões de autorização falhas ou atrasadas
- Ações corretivas necessárias
- Reportando-se à liderança da agência, ao OMB ou ao Congresso.
- Consequências contratuais para prestadores de serviços ou contratados
- Elegibilidade reduzida para trabalho federal onde se aplicam requisitos de segurança.
- Maior operacional e exposição à cibersegurança
As agências federais que possuem Inspetores Gerais passam por avaliações independentes anuais de seus programas de segurança da informação.
Por que a visibilidade dos dados é importante para a FISMA
Os controles da FISMA protegem, em última instância, as informações.
Isso torna a inteligência de dados precisa essencial.
Uma organização pode documentar os controles de acesso e ainda assim não responder:
- Onde reside, de fato, a CUI?
- Quais repositórios contêm informações pessoais identificáveis?
- Quem pode acessar os dados regulamentados?
- Quais permissões são excessivas?
- Onde os dados sensíveis estão superexpostos?
- Quais controles protegem as informações de maior risco?
- O que mudou desde a última avaliação?
Essa é a lacuna entre a documentação de controle e a evidência de controle.
Como a BigID ajuda a dar suporte à conformidade com a FISMA
A BigID ajuda agências federais e contratados a conectar os programas de controle FISMA, RMF e NIST aos dados que esses controles visam proteger.
Com o BigID, as organizações podem:
Descubra dados federais em todos os lugares.
Descubra e faça um inventário. Dados sensíveis, regulamentados e de missão crítica em ambientes de nuvem, SaaS, híbridos, locais, estruturados e não estruturados.
O BigID pode ajudar a identificar:
- CUI
- Informações de identificação pessoal
- PHI
- Informações financeiras
- Dados do contrato
- Propriedade intelectual
- Informações essenciais para a missão
Classificar dados com base no contexto.
Classifique automaticamente os dados por sensibilidade, política, tipo, identidade, localização, propriedade e contexto comercial.
Isso ajuda as equipes a entender quais informações precisam de controles mais rigorosos.
Controlar o acesso a dados sensíveis
Mapear usuários, grupos, contratados, contas de serviço, aplicativos e outras identidades para dados federais confidenciais.
A BigID ajuda as equipes a identificar:
- Permissões excessivas
- Acesso obsoleto
- Repositórios abertos
- Compartilhamento arriscado
- Combinações de acesso tóxico
- Violações do princípio do menor privilégio
Suporte ao monitoramento contínuo
Interligar a descoberta, classificação, acesso, atividade, exposição e remediação de dados para manter o conhecimento atualizado sobre os riscos dos dados federais.
Isso ajuda a levar os programas FISMA de exercícios periódicos de inventário para evidências contínuas.
Priorizar o risco
Conecte dados sensíveis a informações de acesso, propriedade, atividade, exposição, sistemas e impacto nos negócios para que as equipes possam concentrar a remediação nos riscos que são mais importantes.
Automatizar a remediação
Fluxos de trabalho de suporte para:
- Revogar acesso desnecessário
- Atribuir remediação
- Aplicar as políticas
- Reduzir os dados expostos
- Acompanhe as ações corretivas.
- Conservar evidências
Reforçar a preparação para auditorias
Gere provas defensáveis que demonstrem:
- Que dados sensíveis existem?
- Onde ele reside
- Quem pode acessar?
- Que exposição existe?
- Que medidas de remediação foram tomadas?
- Como o risco mudou ao longo do tempo
Essas evidências ajudam a dar suporte à implementação dos controles do NIST, às atividades do RMF, aos relatórios do FISMA e à autorização contínua.
A oferta federal atual da BigID oferece suporte a NIST SP 800-53, FISMA, Proteção CUI, Confiança Zero, monitoramento contínuo e evidências de conformidade automatizadas. A BigID também oferece uma implementação federal autorizada pelo FedRAMP por meio de sua parceria com a Knox Systems.
BigID em ambientes federais
A abordagem federal da BigID vai além da elaboração de relatórios de conformidade.
A BigID ajuda as agências a se conectarem:
Dados → Acesso → Atividade → Exposição → Risco → Remediação
Isso é importante porque a FISMA não existe para produzir documentação.
Sua função é reduzir os riscos à segurança da informação.
A experiência da BigID com clientes federais também inclui o Exército dos EUA, onde a empresa relata ter ajudado equipes a descobrir e classificar dados estruturados e não estruturados, identificar combinações tóxicas, dar suporte ao acesso a dados com Zero Trust e obter visibilidade de informações pessoais identificáveis (PII), informações de saúde protegidas (PHI) e informações não classificadas controladas (CUI).
See How BigID Supports FISMA Readiness
See how BigID helps federal teams discover sensitive data, reduce excessive access, prioritize exposure, support continuous monitoring, and produce defensible compliance evidence.
Perguntas frequentes sobre conformidade com a FISMA
O que é a conformidade com a FISMA?
A conformidade com a FISMA significa implementar e manter um programa de segurança da informação baseado em riscos que proteja as informações e os sistemas federais por meio de controles, avaliações, autorizações, monitoramento contínuo, remediação e relatórios apropriados.
Existe alguma certificação FISMA?
A FISMA não é uma certificação universal que as organizações obtêm uma única vez. As agências utilizam a Estrutura de Gestão de Riscos do NIST para avaliar controles, autorizar sistemas com base no risco, monitorar continuamente e relatar a eficácia do programa.
Quais são os níveis de impacto da FISMA?
A norma FIPS 199 classifica as informações e os sistemas federais como de baixo, moderado ou alto impacto, com base no dano potencial causado pela perda de confidencialidade, integridade ou disponibilidade.
Quais normas do NIST dão suporte ao FISMA?
As principais normas e orientações incluem o NIST SP 800-37 para a Estrutura de Gerenciamento de Riscos, o SP 800-53 para controles de segurança e privacidade, o SP 800-53A para avaliações de controle, o FIPS 199 para categorização de segurança e publicações adicionais que regem o planejamento, o monitoramento, as Informações Não Classificadas Controladas (CUI) e outros requisitos.
Qual a diferença entre FISMA e FedRAMP?
A FISMA estabelece amplos requisitos federais de segurança da informação. O FedRAMP fornece um programa padronizado de autorização e monitoramento contínuo para serviços em nuvem utilizados por agências federais.
Os contratados federais precisam cumprir a FISMA?
Os contratados podem precisar atender aos requisitos de segurança relacionados à FISMA quando operam sistemas, processam informações ou prestam serviços em nome de uma agência federal. Os requisitos exatos dependem do contrato, da agência, das informações e do escopo do sistema.
A FISMA exige monitoramento contínuo?
Sim. O monitoramento contínuo é um componente essencial da Estrutura de Gerenciamento de Riscos do NIST e da implementação moderna do FISMA. As agências precisam de visibilidade atualizada sobre controles, alterações de sistemas, vulnerabilidades, riscos e medidas corretivas.
Como a BigID oferece suporte à conformidade com a FISMA?
A BigID ajuda agências e contratados federais a descobrir e classificar dados federais sensíveis, compreender o acesso e a exposição a eles, priorizar riscos, apoiar o monitoramento contínuo, automatizar a remediação e gerar evidências para programas alinhados com FISMA, RMF e NIST.
Fortaleça a conformidade com a FISMA por meio da inteligência de dados.
Conecte os controles FISMA e NIST aos dados federais sensíveis que eles protegem. Descubra CUI e PII, reduza o acesso excessivo, monitore continuamente a exposição, priorize a remediação e mantenha evidências prontas para auditoria em ambientes federais.
Autor
