Autorización provisional del Departamento de Defensa de EE. UU.

La DISA es la agencia responsable de desarrollar y mantener la guía de requisitos de seguridad (SRG) para proveedores de servicios en la nube (CSPs) del Departamento de Defensa de EE. UU.. La SRG define los requisitos de seguridad de referencia empleados por el Departamento de Defensa de EE. UU. para evaluar la posición de seguridad de una solución en la nube, lo que respalda la decisión de conceder una autorización provisional del Departamento de Defensa de EE. UU. que permita a un proveedor de servicios en la nube alojar las misiones del Departamento de Defensa de EE. UU. Se corresponde con el marco de gestión de riesgos (RMF) del Departamento de Defensa de EE. UU. e incorpora, sustituye y rescinde el modelo de seguridad en la nube (CSM) del Departamento de Defensa de EE. UU. publicado anteriormente.

Los niveles de impacto 2, 4, 5 y 6 del Departamento de Defensa de EE. UU. admiten varias categorizaciones de datos basadas en la instrucción 1253 del CNSSI "Security Categorization and Control Selection for National Security Systems" (Categorización de seguridad y selección de controles para sistemas de seguridad nacional). La CNSSI 1253 define explícitamente la asociación de tres posibles niveles de impacto (bajo, moderado o alto) con tres objetivos de seguridad (confidencialidad, integridad y disponibilidad). A continuación, la CNSSI 1253 proporciona las bases de seguridad adecuadas para cada una de las posibles categorizaciones de sistemas utilizando los controles de la NIST SP 800-53. El propietario de la misión del Departamento de Defensa de EE. UU. debe abordar la disponibilidad en el contrato.

En el 2022, Google Cloud recibió una autorización provisional de IL5 del Departamento de Defensa de EE. UU., lo que lo convirtió en el primer servicio a hiperescala en recibir una autorización provisional de IL5 del Departamento de Defensa de EE. UU. para utilizar una nube comunitaria definida mediante software. El enfoque de aislamiento definido mediante software ofrece más flexibilidad a los clientes que las arquitecturas de nube tradicionales con separación física (a las que se suele hacer referencia como nubes gubernamentales) en cuanto al despliegue regional, la disponibilidad de los servicios, la escalabilidad y los costes.

Solicitudes de paquetes de ILx del Departamento de Defensa de EE. UU.: los paquetes de autorización de ILx del Departamento de Defensa de EE. UU. se basan en paquetes de FedRAMP de nivel alto con controles adicionales específicos del Departamento de Defensa de EE. UU. Google no tiene autorización para compartir paquetes de ILx del Departamento de Defensa de EE. UU., de modo que DISA debe encargarse de proporcionarlos directamente a terceros. Si eres una entidad pública y quieres obtener más información sobre el paquete de la autorización provisional del Departamento de Defensa de EE. UU. que la que se incluye en el paquete de la autorización provisional de operación (P-ATO) de FedRAMP, puedes ponerte en contacto con la división de evaluación de la nube de la DISA.

Para acceder al paquete de IL de los servicios de Google, envía una solicitud a través del repositorio de información de autorización y ciberseguridad del servicio de asistencia para la garantía de la misión empresarial (eMASS) del Departamento de Defensa de EE. UU.

Los datos de IL2 del Departamento de Defensa de EE. UU. incluyen todos los datos aprobados para su divulgación pública y otra información sin clasificar de baja confidencialidad que no se designa como información sin clasificar controlada (CUI). Este nivel de impacto abarca la categorización que no sea CUI basada en la instrucción 1253 del CNSSI hasta un nivel bajo de confidencialidad, moderado de integridad y disponibilidad definida por el cliente (L-M-x).

En el caso de IL2, el Departamento de Defensa de EE. UU. permite la reciprocidad completa con la P-ATO de nivel moderado o alto de FedRAMP. Para obtener más información sobre el cumplimiento del programa de FedRAMP por parte de Google Cloud, consulta nuestra página de FedRAMP.

Según la DISA, los datos categorizados en IL2 solo se permiten en centros de datos de EE. UU. autorizados para la solución en la nube. Las ubicaciones fuera de EE. UU. de las regiones autorizadas por FedRAMP de Google Cloud no están incluidas en la reciprocidad y deben ser autorizadas explícitamente por el funcionario de autorización de la DISA. Las cargas de trabajo de IL2 del Departamento de Defensa de EE. UU. deben desplegarse en Google Cloud usando Data Boundary mediante Assured Workloads.

Los niveles IL4 e IL5 admiten categorizaciones de CUI hasta un nivel moderado de confidencialidad, integridad y disponibilidad definida por el cliente (M-M-x), conforme a la CNSSI 1253. Una vez que hayas seleccionado tus servicios autorizados de IL4 o IL5, debes desplegarlos usando el límite de datos a través de Assured Workloads.

Assured Workloads también ofrece visibilidad sobre el estado de cumplimiento de las cargas de trabajo de IL4 y de IL5 del Departamento de Defensa de EE. UU. a través de la monitorización de Assured Workloads. Esta herramienta puede ayudarte a detectar y solucionar infracciones de cumplimiento, y a proporcionar a los auditores atestaciones de tu cumplimiento de los requisitos de seguridad IL4 e IL5.

A través de los límites de datos de Assured Workloads, también se implementan de forma predeterminada los siguientes controles clave de IL4 y de IL5 del Departamento de Defensa de EE. UU. para los clientes que gestionan datos gubernamentales de IL4 o de IL5 del Departamento de Defensa:

1. Se establecen restricciones para limitar la ubicación de tus datos de IL4 e IL5 del Departamento de Defensa de EE. UU. a dicho país.
2. Se restringe el personal de asistencia técnica al personal de IL4 e IL5 del Departamento de Defensa de EE. UU. ubicado en el país.
3. Se exige el uso de un cifrado validado por FIPS 140 tanto en reposo como en tránsito.
4. Se implementan controles de acceso exigidos por los niveles IL4 e IL5 del Departamento de Defensa de EE. UU. para el personal que pueda acceder a datos de clientes.
5. Se permite que los desarrolladores solo utilicen productos y servicios que cumplan los requisitos de los niveles IL4 e IL5 del Departamento de Defensa de EE. UU.
6. Se segmenta de forma lógica el límite de cumplimiento definido dentro del alcance para ajustarse a los requisitos de los niveles IL4 e IL5 del Departamento de Defensa de EE. UU.

El Programa de Propulsión Nuclear Naval de EE. UU., creado en virtud de la orden ejecutiva 12344, es una organización conjunta del Departamento de Energía y del Departamento de la Marina del país dedicada a supervisar todos los aspectos de la propulsión nuclear naval. El programa se compone de personal militar y civil que diseña, construye, opera, mantiene y gestiona los buques de la Marina estadounidense propulsados por energía nuclear y las numerosas instalaciones que dan soporte a esta flota.

El marco de autorización en la nube del programa de Naval Reactors (marco NR), publicado en mayo del 2019, proporciona directrices para las organizaciones que quieran obtener la autorización de sistemas basados en la nube destinados a almacenar o procesar información sobre propulsión nuclear naval. La tabla 7-2 del marco NR incluye 17 controles de seguridad adicionales de información no clasificada sobre propulsión nuclear naval (U-NNPI) que no están contemplados en los controles base del nivel IL5 del Departamento de Defensa de EE. UU. Estos controles deben evaluarse en los sistemas basados en la nube que procesan U-NNPI.

Una organización de evaluación externa (3PAO) acreditada ha examinado las pruebas de control de Google Cloud para los 17 controles de seguridad de U-NNPI y ha verificado mediante una carta de atestación que Google Cloud cumple todos los requisitos de los controles de seguridad de U-NNPI.

Google Cloud puede ayudarte a cumplir los requisitos de cumplimiento de la U-NNPI siempre que se cumplan las siguientes condiciones:

• Debes ponerte en contacto con Naval Reactors (el Programa de Propulsión Nuclear Naval de EE. UU.) para obtener autorización antes de almacenar o procesar U-NNPI en Google Cloud.
• Debes usar el límite de datos de Assured Workloads correspondiente al nivel IL5 del Departamento de Defensa de EE. UU. para restringir el acceso potencial a la U-NNPI en casos de asistencia iniciados por el cliente a personal de Google que resida en EE. UU. y que haya pasado las comprobaciones de antecedentes mejoradas.

La NNPI se designa como información sin clasificar controlada (CUI). Además, la tabla 1 y el anexo 1 de la directiva OPNAVINST N9210.3 Safeguarding of Naval Nuclear Propulsion Information (NNPI) del 7 de junio del 2010 indican los diferentes niveles de clasificación y controles de manipulación de la NNPI, incluidos los requisitos de acceso a la U-NNPI.

La U-NNPI que está marcada y gestionada como "Not Releasable to Foreign Nationals" (NOFORN), tiene las siguientes restricciones de acceso:

• Ciudadanía estadounidense
• En el caso exclusivo de que sea necesario

Es tu responsabilidad asegurarte de que solo los ciudadanos estadounidenses que necesiten conocerla tengan acceso a la U-NNPI almacenada o procesada en tus servicios de Google Cloud. Los empleados de Google no acceden a tus datos de cliente de IL5, y las claves de cifrado están exclusivamente bajo tu control.

La designación IL6 se aplica al almacenamiento y al tratamiento de información clasificada hasta el nivel "Secreto" del Gobierno de EE. UU.

Para cumplir los requisitos del nivel IL6 del Departamento de Defensa de EE. UU., Google ofrece Google Distributed Cloud air-gapped y Google Distributed Cloud air-gapped appliance, que te permiten alojar, controlar y gestionar infraestructuras y servicios directamente en tus instalaciones. Ninguna de las opciones requiere conectividad con Google Cloud y ambas se implementan de forma segura en tus instalaciones. Google Distributed Cloud air-gapped es una solución basada en racks, mientras que Google Distributed Cloud air-gapped appliance es un dispositivo portátil e independiente.

Tanto Google Distributed Cloud air-gapped como appliance disponen de una autorización provisional IL6 del Departamento de Defensa de EE. UU. con una categorización de información de alta confidencialidad, alta integridad y disponibilidad definida por el cliente (H‑H‑x), conforme a la CNSSI 1253. Ambas opciones permiten la conectividad directa a la red SIPRNet (Secret Internet Protocol Router Network) del Departamento de Defensa de EE. UU. Cualquier conectividad que vaya más allá de las conexiones de SIPRNet debe ser aprobada por el funcionario de autorización de la nube del Departamento de Defensa. Puedes ponerte en contacto con la DISA para obtener más información sobre la autorización provisional IL6 del Departamento de Defensa de EE. UU. para Google Distributed Cloud air-gapped y appliance, incluidos los servicios en la nube que se auditan para obtener la certificación IL6 del Departamento de Defensa.

La edición Google Workspace Enterprise Plus admite cargas de trabajo de nivel IL2 del Departamento de Defensa de EE. UU. y ha obtenido una autorización provisional IL4 de dicho departamento. Debes usar Assured Controls Plus si quieres desplegar Google Workspace como una solución de productividad y colaboración que cumpla los requisitos del IL4 del Departamento de Defensa de EE. UU.

Google Workspace Enterprise Plus con Assured Controls Plus tiene controles de seguridad y funciones integrados que te permiten cumplir con el nivel IL4 del Departamento de Defensa de EE. UU. y obtener tu propia autorización para operar (ATO). Estas son algunas de las funciones clave de Google Workspace que permiten cumplir los requisitos del IL4 del Departamento de Defensa:

• La posibilidad de restringir datos solo a regiones de EE. UU. mediante regiones de datos
• La posibilidad de limitar las acciones de asistencia del personal de Google a las personas estadounidenses que usen Gestión de Accesos de Assured Controls
• El encriptado en reposo y en tránsito de datos avanzado para cubrir las necesidades de encriptado de los datos sensibles. Consulta más información en nuestro informe sobre el cifrado de Google Workspace.
• El Centro de Seguridad de Google Workspace, que proporciona analíticas e información de seguridad avanzadas sobre problemas de seguridad que afectan a tu dominio.

Si eres cliente del Departamento de Defensa de EE. UU., puedes acceder a la documentación sobre el IL4 de Google Workspace a través de eMASS o solicitarla a tu enlace de la DISA. Google no puede proporcionar esta documentación directamente a los clientes.

Los servicios de Google Cloud y Google Workspace correspondientes a los niveles IL4 e IL5 se indican en la página Ámbito de cumplimiento de FedRAMP y del Departamento de Defensa de EE. UU..

• Información general sobre Assured Workloads
• Google Cloud y el framework de ciberseguridad del NIST
• Guía de despliegue de Google Cloud
• Modelo de seguridad de Google Cloud
• Instrucción del DoD 8510.01 Marco de gestión de riesgos del DoD (RMF) para la tecnología de la información (TI)
• Registro de información sin clasificar controlada (CUI) y lista de categorías de CUI
• NIST SP 800-37 Marco de gestión de riesgos para las empresas y los sistemas de información: un enfoque del ciclo de vida de los sistemas para la seguridad y la privacidad
• NIST SP 800-53 Controles de seguridad y privacidad para las empresas y los sistemas de información
• NIST SP 800-59 Directrices para identificar un sistema de información como sistema de seguridad nacional
• NIST SP 800-171 Proteger información sin clasificar controlada en sistemas y empresas no federales
• CNSSI 1253 Categorización y selección de controles de seguridad para sistemas de seguridad nacional