H.R. 10915 traz IA e prazos à segurança cloud

Atualização 31 de outubro de 2026: a cobertura mais recente acrescenta que o H.R. 10915 mira infraestrutura crítica e incorpora inteligência artificial para detectar atividade anômala. Também foi divulgado um cronograma legislativo resumido pela Quiver Quantitative, junto com prazos para o programa voluntário de certificação e para a atualização do FedRAMP.

Richard McCormick apresentou na Câmara dos Representantes o projeto H.R. 10915, conhecido como Common-Sense Cloud Security Act. A iniciativa determina que o NIST atualize os padrões de segurança em cloud, inclui inteligência artificial para detectar atividade anômala e prevê um esquema voluntário de certificação para fornecedores. Segundo as informações disponíveis no momento da publicação consultada, o texto não tinha copatrocinadores. A proposta ainda está em fase inicial, e as fontes consultadas não confirmam prazos de implementação nem sanções.

¿Qué contempla el proyecto?

A proposta inclui uma metodologia para medir o alcance, ou blast radius, de uma intrusão em redes interconectadas. Também prevê relatórios ao Congresso sobre a adoção privada dos padrões e sobre as barreiras que podem dificultar sua implementação. O Politico observou que esse componente busca dar uma referência mais concreta sobre o impacto de um incidente em ambientes conectados.

¿Cómo sería la certificación?

A Security Today informou que o programa seria escalonado e voluntário, com avaliações feitas por laboratórios independentes credenciados. Esse desenho busca permitir que fornecedores passem por revisões externas sem que a certificação funcione como obrigação imediata. A mesma fonte acrescentou que o projeto também trata do monitoramento de integrações de software de terceiros conectadas a plataformas centrais de cloud.

¿Qué agregó la cobertura más reciente?

A Nextgov descreveu o H.R. 10915 como uma iniciativa federal voltada a modernizar os padrões de segurança em cloud para infraestrutura crítica. Essa cobertura acrescentou que o texto inclui o uso de inteligência artificial para detectar atividade anômala e controles sobre integrações de software de terceiros.

A Quiver Quantitative acrescentou um cronograma legislativo resumido que, segundo sua análise, dependeria de o projeto virar lei. Esse esquema prevê uma consulta pública inicial em até 180 dias após a sanção, um rascunho de padrões 50 dias depois e uma versão final 135 dias mais tarde.

A mesma fonte indicou que NIST e CISA criariam o programa voluntário de certificação dentro de um ano da publicação dos padrões finais, enquanto a OMB atualizaria o FedRAMP no mesmo prazo. A Quiver Quantitative também situou o recebimento do projeto em 26 de outubro de 2026 e informou que, naquele momento, ele não tinha copatrocinadores.

¿Cómo reaccionó la industria?

A Aviatrix reagiu de forma favorável ao projeto e afirmou que os padrões deveriam evoluir junto com as arquiteturas cloud modernas e com as ameaças cibernéticas impulsionadas por inteligência artificial. A empresa enquadrou seu apoio na necessidade de que as regras acompanhem as mudanças técnicas do ambiente de cloud. Essa resposta foi divulgada pela GlobeNewswire.

A Aviatrix também descreveu a proposta como uma iniciativa voltada para infraestrutura crítica e disse que ela contempla recomendações para prevenir, detectar e limitar ataques dentro do ambiente de cloud, inclusive movimentos entre cargas de trabalho. Em sua análise, a empresa afirmou ainda que o texto legislativo define blast radius como o alcance máximo potencial de acesso não autorizado ou comprometimento de sistemas a partir de uma carga de trabalho, ativo de dados ou credencial comprometidos, embora esse ponto deva ser verificado no texto oficial do projeto.