Especialistas em cibersegurança federais chamaram a nuvem da Microsoft de 'pilha de lixo', mas a aprovaram assim mesmo

O FedRAMP autorizou o GCC High da Microsoft em 26 de dezembro de 2024, mesmo após avaliadores terceirizados, Coalfire e Kratos, relatarem, em conversas privadas com o programa, que era 'difícil a impossível' obter documentação essencial: diagramas de fluxo de dados, registros de varredura de vulnerabilidades no Exchange Online e Teams, e evidências concretas de criptografia em repouso e em trânsito. Especialistas federais chegaram a classificar internamente a postura de segurança do ambiente como uma 'pilha de lixo', sem confiança na avaliação geral do sistema. A aprovação não foi técnica, mas política: o DOJ e o DOE já operavam nele há anos, e empreiteiros como a Boeing usavam o GCC High em sistemas de armas antes mesmo da autorização final, tornando a rejeição inviável.

A situação se agravou com o corte orçamentário do DOGE: US$ 10 milhões anuais, o menor em dez anos, e uma equipe de cerca de 24 pessoas. Isso transformou o FedRAMP num mecanismo de validação acelerada, não de avaliação crítica. Enquanto isso, agências são pressionadas a adotar ferramentas de IA baseadas em nuvem, como versões limitadas do Copilot no GCC High, que processam dados sensíveis sem revisão independente robusta, pois os novos modelos não passam por autorização separada sob o regime atual.

Essa autorização com defeitos estruturais não é um caso isolado: ela expõe uma falha sistêmica na governança de segurança em nuvem do governo norte-americano. Quando o principal programa federal de avaliação de nuvem prioriza a continuidade operacional sobre a integridade técnica, e reduz sua capacidade de fiscalização para menos de um quarto do que tinha em 2020 , , qualquer nova camada tecnológica (como IA generativa) entra em produção sem barreiras reais. O risco não está só no GCC High, mas na normalização de 'conformidade por dependência': aprovar porque já está em uso, não porque é seguro. E isso afeta diretamente a proteção de infraestruturas críticas, desde redes elétricas até sistemas de defesa.