O Escritório de Gestão e Orçamento da Casa Branca (OMB) emitiu recentemente uma importante diretriz às lideranças federais dos EUA, estabelecendo o Login.gov como a principal opção de autenticação em todos os sites federais voltados ao público.
A diretriz estabelece prazos rigorosos de conformidade, determinando que as agências façam um inventário dos portais autenticados em até 60 dias, realizem avaliações abrangentes dos riscos de identidade digital em até 240 dias e concluam a implementação operacional em até dois anos.
A diretriz do OMB transforma a consolidação da identidade digital, antes uma aspiração distante das agências, em uma exigência concreta de conformidade, obrigando os líderes a modernizar arquiteturas legadas e, ao mesmo tempo, proteger os serviços públicos expostos à internet.
Desafios operacionais
A determinação exige que as agências promovam o Login.gov como o provedor de identidade (IdP) padrão para a autenticação de cidadãos, mantendo o suporte a Provedores de Serviços de Credenciais (CSPs) comerciais aprovados para atender a requisitos específicos de missão.
Para CIOs, CISOs e arquitetos corporativos de órgãos públicos, isso representa um desafio duplo: cumprir prazos rigorosos e, ao mesmo tempo, integrar um provedor de identidade moderno, compatível com OpenID Connect (OIDC) e SAML, a uma infraestrutura complexa.
“A F5 simplifica a conformidade ao fornecer uma arquitetura de intermediação de identidade e segurança de borda integrada diretamente à F5 Application Delivery and Security Platform (ADSP).”
A maior parte da infraestrutura digital federal não foi projetada para integração direta com OIDC. Milhares de aplicações essenciais dependem de mecanismos de autenticação legados (como Kerberos, injeção de cabeçalhos HTTP e tokens de sessão proprietários) que não conseguem interpretar nativamente as asserções de IdPs modernos sem uma ampla refatoração do código.
Ao mesmo tempo, centralizar o tráfego dos cidadãos em fluxos públicos de autenticação cria alvos de alto valor para ataques automatizados e orientados por IA, como preenchimento de credenciais, tomada de contas e fraude de identidade sintética, que visam os endpoints de cadastro das agências antes mesmo que ocorra o handshake de autenticação.
O roteiro de conformidade
A diretriz do OMB estabelece quatro marcos críticos de implementação ao longo de um período de dois anos:
- Em até 60 dias (identificação de sites e APIs): As agências devem fornecer ao OMB um inventário validado de todos os sites públicos, aplicativos web e APIs que exigem autenticação do usuário.
- Em até 240 dias (avaliação de riscos de identidade digital): As agências devem avaliar a resiliência da autenticação, os fluxos de verificação de identidade e as vulnerabilidades a fraudes em todos os pontos de acesso públicos.
- Dentro de um ano (coexistência de vários provedores): As agências devem adotar as práticas recomendadas do Login.gov da Administração de Serviços Gerais, definir o Login.gov como a opção padrão e manter a coexistência com CSPs comerciais aprovados (como ID.me ou CLEAR) para grupos de usuários especializados.
- Em até dois anos (implementação operacional completa): As agências devem garantir a implementação completa do Login.gov em todos os sistemas federais voltados ao público que estejam dentro do escopo.
Navegando por essas transições com a F5
A F5 simplifica a conformidade ao fornecer uma arquitetura de intermediação de identidade e segurança de borda integrada diretamente à F5 Application Delivery and Security Platform (ADSP). Em vez de exigir que os órgãos públicos refaçam manualmente a arquitetura das aplicações, a F5 atua como um ponto centralizado de aplicação de políticas e uma ponte de protocolos diretamente no caminho dos dados para ajudar esses órgãos a alcançar:
- Descoberta automatizada e mapeamento da superfície (marco de 60 dias): F5 API security e F5 Distributed Cloud Web App Scanning podem descobrir e catalogar automaticamente aplicações web voltadas ao público, endpoints e APIs ocultas em ambientes híbridos e multinuvem. Em conjunto com a telemetria do F5 Insight for ADSP, as agências podem gerar inventários abrangentes e auditados de superfícies autenticadas sem modificar o código subjacente.
- Gerenciamento de fraudes e bots antes da autenticação (marco de 240 dias): F5 Distributed Cloud Bot Defense aplica telemetria de IA comportamental na borda da aplicação para impedir o preenchimento automatizado de credenciais, ataques de força bruta e tentativas de cadastro falso antes que o tráfego chegue ao Login.gov ou aos servidores das agências. F5 WAAP monitora continuamente o tráfego e inspeciona os fluxos de autenticação de APIs, fornecendo telemetria quantificável para as avaliações de risco das agências.
- Intermediação de identidade e federação de múltiplos IdPs (marco de um ano): F5 BIG-IP Zero Trust Access funciona como um gateway inteligente de federação de identidades. Por padrão, a solução direciona novos usuários ao Login.gov, enquanto encaminha fluxos de trabalho específicos, legados ou de alta garantia, para CSPs comerciais aprovados, aplicando políticas unificadas de autorização entre diferentes provedores upstream.
- Integração de protocolos legados sem reformulação da arquitetura (marco de dois anos): O BIG-IP Zero Trust Access encerra as asserções OIDC e SAML do Login.gov no proxy de entrada e as converte em sessões Kerberos (KCD), cabeçalhos HTTP ou sessões RADIUS exigidas pelos back-ends legados. Para órgãos de alta garantia, defesa e inteligência, F5 VELOS e F5 rSeries oferecem, em seus chassis, desempenho com certificações FIPS 140-2/3 e DoDIN APL para implantações soberanas e isoladas fisicamente.
As ferramentas certas para o cronograma
A determinação do OMB deixa uma coisa clara: a consolidação da identidade digital é uma prioridade operacional imediata. As agências que se prepararem com antecedência, catalogando endpoints de autenticação, automatizando a proteção contra bots na borda e implementando a intermediação de protocolos com reconhecimento de identidade, passarão por essas transições sem dificuldades, muito antes da chegada dos prazos de conformidade.
Descubra como essas e outras soluções da F5 para o setor público ajudam as agências federais a atender às exigências regulatórias em constante evolução e a acelerar seus esforços de modernização da infraestrutura.
Sobre o autor
Publicações relacionadas no blog
IA agêntica em cibersegurança: promessas e riscos
Saiba por que o uso de IA agêntica na cibersegurança é essencial para combater ameaças impulsionadas por IA e por que os agentes também criam novos riscos para as empresas.
Como os clientes da F5 no setor financeiro lidam com a soberania digital sem desacelerar a inovação
Como é a soberania digital na prática? Dois projetos recentes da F5 com clientes mostram como diferentes empresas estão enfrentando esses desafios.
Soberania operacional: construindo resiliência em um mundo imprevisível
Para muitas organizações, a questão já não se resume apenas a controlar os dados. Trata-se de manter a capacidade de operar, adaptar-se e se recuperar à medida que as leis e as condições evoluem.
Segurança de IA com evidências: o que levaremos ao Gartner SRM
Antes de sua sessão no Gartner SRM, o vice-presidente sênior de Marketing de Produtos da F5 explica como a F5 ajuda as organizações a proteger a IA em três etapas práticas.
Gestão de riscos de IA: como as proteções podem ajudar a mitigá-los
O risco da IA é impulsionado por comportamentos probabilísticos e pela explicabilidade limitada, não apenas por falhas de segurança. Uma gestão eficaz exige controle operacional contínuo.
Lei de IA do Colorado (SB 205): o que as empresas precisam saber antes de 2026
A SB 205 do Colorado, a lei pioneira do estado sobre inteligência artificial, foi sancionada pelo governador Jared Polis em 17 de maio de 2024. O projeto de lei estabelece requisitos para que as empresas que utilizam IA implementem controles destinados a proteger os cidadãos do Colorado.