FedRAMP

El Gobierno federal de EE. UU. introdujo el programa federal de gestión de autorizaciones y riesgo de ese país (FedRAMP) para proporcionar un método estandarizado con el que evaluar la seguridad, la autorización y la monitorización de productos y servicios en la nube de forma constante. En el 2022, el Congreso estadounidense definió FedRAMP como "un programa gubernamental que ofrece un enfoque estandarizado y reutilizable para evaluar la seguridad y autorizar productos y servicios de cloud computing que tratan información no clasificada usada por los organismos".

Exceptuando determinadas nubes privadas on‑premise, todos los despliegues y modelos de servicio de nube que proporcionan las agencias federales deben cumplir los requisitos establecidos por el programa FedRAMP en función del nivel de impacto de riesgo correspondiente (Low, Moderate o High).

Los clientes que quieran usar servicios de Google Cloud de acuerdo con el alojamiento de nivel Moderate o High del programa FedRAMP deben usar Assured Workloads y Asistencia de Assured (solo alta).

Cumplimiento del programa FedRAMP de Google Cloud

La junta de FedRAMP (antes conocida como "Junta de Autorización Conjunta") es el principal órgano de gobierno de este programa e incluye el Departamento de Defensa, el Departamento de Seguridad Nacional y la Administración de Servicios Generales de EE. UU., así como otros organismos según determinen la Administración y la dirección de FedRAMP.

La junta de FedRAMP ha emitido una autorización para operar de FedRAMP Moderate y FedRAMP High en la infraestructura de Google Cloud y en productos concretos de este servicio. Google Cloud envía periódicamente a la junta servicios adicionales para que reciban la aprobación de FedRAMP Moderate y High.

Google Cloud puede proporcionar a los clientes la siguiente documentación adicional de cumplimiento de FedRAMP en virtud del acuerdo de confidencialidad:

Matriz de responsabilidades de clientes de FedRAMP
Plan de seguridad del sistema de Google Cloud
Informes de pruebas de penetración y otros documentos

Nuestro equipo de Ventas o tu representante de Google Cloud pueden ayudarte a acceder a esta documentación. Los clientes del ámbito gubernamental también pueden solicitar el paquete de FedRAMP de Google a través de la oficina de administración del programa FedRAMP usando el formulario de solicitud correspondiente.

En el caso de los clientes que compran a través de un partner de Google, nuestros partners establecen los términos y condiciones de compra.

Cumplimiento del programa FedRAMP de Google Workspace

Los clientes pueden usar Google Workspace conforme a diversos estándares mundiales y del Gobierno federal de EE. UU. relativos a la seguridad y la privacidad en la nube. Además de mantener la autorización de FedRAMP High, Google Workspace también cuenta con la certificación ISO 27017, 27018, 27001. Además, se somete a una auditoría según los estándares del Control de Empresas de Servicios (SOC) del Instituto Estadounidense de Contables Públicos Certificados (AICPA).

Preparación de alta disponibilidad de VMware Engine de Google Cloud (GCVE) para FedRAMP

A finales del 2023, la Program Management Office de FedRAMP completó la revisión del informe de evaluación de alta preparación (RAR) de VMware Engine de Google Cloud (GCVE), proporcionado por una empresa de evaluación de terceros (3PAO). Ante los resultados positivos de la revisión, donde no se detectaron puntos débiles significativos con respecto a la capacidad, GCVE se aceptó como un producto de nivel FedRAMP High Ready (ID de paquete de FedRAMP: FR2405153785).

Haber alcanzado el nivel FedRAMP High Ready indica al Gobierno federal de EE. UU. que es muy probable que GCVE consiga una autorización de FedRAMP. GCVE también cuenta con las certificaciones ISO 27017, 27018, 27001 y PCI-DSS, y se somete a una auditoría según los estándares de Control de Organizaciones de Servicios (SOC) del Instituto Estadounidense de Contables Públicos Certificados (AICPA).

Alojar cargas de trabajo de FedRAMP Moderate y High en Google Cloud

La inversión de Google Cloud en la seguridad de nuestra infraestructura asegura que los controles de seguridad estén integrados y preconfigurados para que los clientes puedan ceñirse a distintos niveles de cumplimiento sin tener que contar con una arquitectura de nube gubernamental aislada tradicional.

Los clientes que quieran desplegar sus soluciones mediante Google Cloud en sus entornos de FedRAMP Moderate y High deben usar Assured Workloads. Con Assured Workloads, los clientes pueden proteger y configurar cargas de trabajo sensibles con total confianza para satisfacer los requisitos de cumplimiento y de seguridad mediante los servicios de Google Cloud. Assured Workloads no depende de una infraestructura física distinta de la de sus centros de datos en la nube pública. En lugar de eso, proporciona una nube comunitaria definida mediante software que ofrece ventajas relativas a los costes, la velocidad y la innovación.

Los servicios con autorización de FedRAMP disponibles a través de Assured Workloads implementan controles de seguridad de FedRAMP y permiten a los clientes usar las funciones de Google Cloud para satisfacer las necesidades de su empresa. Assured Workloads también ofrece visibilidad sobre el estado de cumplimiento de las cargas de trabajo de FedRAMP a través de Assured Workloads Monitoring. Esta herramienta puede ayudarte a detectar y solucionar las infracciones de cumplimiento, y a proporcionar atestaciones de control a los auditores del estado de cumplimiento.

Además de los controles que se aplican con la autorización para operar de FedRAMP High de la infraestructura de Google Cloud, Assured Workloads implementa de forma predeterminada los siguientes controles clave de FedRAMP High para los clientes que gestionan datos gubernamentales de FedRAMP High:

Restricciones para limitar la ubicación de los datos de clientes de FedRAMP High a EE UU.
Personal de asistencia técnica limitado al personal adjudicado por el programa FedRAMP ubicado en EE. UU.
Encriptado conforme a FIPS‐140‐2, tanto en reposo como en tránsito
Controles de acceso del personal para usuarios con acceso rutinario a datos de clientes
Solo se permiten productos y servicios que cumplan los requisitos de FedRAMP
Segmentación lógica del límite de cumplimiento cubierto para cumplir los requisitos de FedRAMP Moderate y High

Alojar datos de FedRAMP Moderate y High en Google Workspace

Google Workspace mantiene una autorización para operar de FedRAMP High, que los clientes pueden aprovechar para alojar datos de FedRAMP Moderate y High. Los clientes que quieran desplegar Google Workspace en sus entornos de FedRAMP Moderate y High deben habilitar los servicios autorizados por FedRAMP que tengan la autorización correspondiente. Información sobre cómo activar o desactivar un servicio en Google Workspace.

Además, las ediciones Business y Enterprise de Google Workspace incluyen controles de seguridad y conjuntos de funciones integrados que permiten a los clientes cumplir los requisitos de FedRAMP High y adaptar su propia autorización para operar. Los usuarios de Google Workspace pueden configurar sus entornos para que cumplan los controles de residencia de datos del programa FedRAMP mediante una política de región de datos.

Proceso para conseguir una autorización para operar de FedRAMP

A los clientes que quieran alojar datos gubernamentales en Google Cloud también les puede interesar recurrir a su propia autorización para operar. Las empresas deben plantearse los siguientes objetivos para lograr una autorización para operar en Google Cloud:

Determinar si los datos cubiertos requieren el uso de FedRAMP Moderate o High
Selecciona Assured Workloads (FedRAMP High está incluido en el nivel gratuito, mientras que FedRAMP High requiere una suscripción premium) para los servicios de Google Cloud cubiertos
Decidir cuáles son tus límites de FedRAMP en Google Cloud
Configurar tus cargas de trabajo de acuerdo con el modelo de responsabilidad compartida, la matriz de responsabilidad de los clientes, los servicios de Google Cloud cubiertos y las directrices de FedRAMP
Someterse a una auditoría con una empresa de evaluación externa
Enviar tu paquete a la junta de FedRAMP o a la agencia federal para que lo revisen y lo autoricen

Para obtener más información sobre el proceso de la autorización para operar, consulta el sitio web de FedRAMP. Si quieres recibir más asistencia relativa a las autorizaciones para operar de FedRAMP de Google Cloud, visita la página de los servicios de consultoría de Google Cloud.

Preguntas frecuentes

¿Qué piensa Google Cloud del borrador de memorándum de FedRAMP de la Oficina de Administración y Presupuesto de Estados Unidos?

El reciente borrador de memorándum de FedRAMP de la Oficina de Gestión y Presupuestos de Estados Unidos, que respalda un enfoque moderno en la nube basado en una separación lógica y en software en lugar de en una separación física, es un paso importante en la dirección correcta. Google Cloud ha sido pionero en este enfoque y cree que permite a los clientes escalar e innovar de forma segura.

Mi solución utiliza Google Cloud. ¿Cómo puede cumplir las especificaciones del programa FedRAMP?

El programa FedRAMP permite varios niveles de herencia para proveedores de servicios en la nube que usen infraestructuras, plataformas y servicios autorizados por el programa. Este análisis inicial basado en la relación entre el control y la herencia es lo que determina, en última instancia, en qué medida recae en los proveedores de servicios en la nube la responsabilidad del cumplimiento.

Por ejemplo, si en tu empresa preferís desarrollar la pila completa de vuestra aplicación, tendréis un mayor grado responsabilidad y obligaciones con respecto a los clientes cuando el organismo oficial correspondiente os evalúe. Por el contrario, es posible que la responsabilidad de cumplir con el FedRAMP sea menor si usas Google Cloud a modo de plataforma como servicio (PaaS) o software como servicio (SaaS).

Una vez que hayas seleccionado los servicios autorizados por el programa FedRAMP, Google puede proporcionarte guías de configuración específicas para cada servicio que te ayuden a configurar tu solución. También puedes ponerte en contacto directamente con el equipo de expertos en el programa FedRAMP de los servicios de consultoría de Google Cloud.

¿Cómo ofrece Google servicios autorizados por el programa FedRAMP si no tiene una oferta de GovCloud?

Google fue uno de los primeros proveedores de nube comercial a hiperescala en conseguir la autorización del programa FedRAMP High en una solución de nube pública comercial, además de ser uno de los mayores proveedores de servicios del FedRAMP del mercado. Antiguamente, los proveedores a hiperescala decidieron eliminar sus GovClouds de sus soluciones de nube comercial para poder cumplir los estándares del programa FedRAMP High. Este enfoque puede facilitar el cumplimiento, pero estos entornos independientes no suelen ofrecer todas las ventajas que la infraestructura en la nube de Google puede proporcionar.

La autorización FedRAMP High de Google Cloud permite a los organismos públicos procesar cargas de trabajo de gran impacto para adoptar la tecnología a una velocidad mucho mayor y al mismo nivel que los clientes comerciales. Además, aprovecha tanto las posibilidades como la capacidad que ofrece la infraestructura en la nube pública única de Google. Con Assured Workloads o Assured Controls, los clientes pueden proteger y configurar cargas de trabajo sensibles con total confianza para satisfacer los requisitos de cumplimiento y de seguridad en la nube. Elige la configuración de seguridad que quieras para que Google implemente los controles en la nube necesarios.

¿Cómo configuro Google Workspace para que cumpla los requisitos de FedRAMP High?

Más abajo puedes consultar la lista de ediciones de Google Workspace que están autorizadas por el programa FedRAMP. Consulta la guía de configuración para desplegar Google Workspace y cumplir los controles de seguridad de FedRAMP High.

¿Necesito Assured Workloads para conseguir una autorización para operar de FedRAMP?

Sí, Assured Workloads es obligatorio para lograr una autorización para operar de FedRAMP Moderate o High. Con Assured Workloads, Google Cloud puede identificar cargas de trabajo federales de los clientes y aplicar barreras técnicas para adaptarse a cualquier cambio en los reglamentos federales. Google Cloud se ha comprometido a mantener los requisitos de cumplimiento de FedRAMP, incluidos los introducidos en la revisión 5 de NIST 800-53 y las futuras versiones de las cargas de trabajo que se ejecutan en Assured Workloads.

Además, Assured Workloads es la única forma de que Google Cloud cumpla los exigentes requisitos de asistencia y de residencia de datos de FedRAMP High. Assured Workloads no es aplicable a Google Workspace, que tiene sus propios controles.

¿Qué controles de FedRAMP puedo heredar de Google Cloud?

Una de las ventajas de usar Google Cloud para gestionar tus cargas de trabajo gubernamentales es que ya existen una serie de controles necesarios en nuestra infraestructura subyacente y en Assured Workloads. Por tanto, cuando envías tu paquete de FedRAMP a la junta de FedRAMP para que lo autorice, también incluyes la SSP de Google, que describe los controles que gestiona Google Cloud. Ponte en contacto con tu equipo de Ventas para obtener una copia de la SSP de Google Cloud (se necesita un acuerdo de confidencialidad).

¿Qué relación tiene esto con StateRAMP?

El grupo StateRAMP (State Risk and Authorization Management Program) es una organización sin ánimo de lucro que ha instituido la certificación StateRAMP. Al igual que el programa FedRAMP, se basa en el framework NIST 800-53 y, parcialmente, en el programa FedRAMP. StateRAMP también se basa en las empresas de evaluación externa autorizadas por el programa FedRAMP para llevar a cabo evaluaciones. Google Cloud está preparado para ofrecer a clientes de la administración pública con la certificación StateRAMP una residencia de datos y unas funciones de asistencia mejoradas a través de Assured Workloads.

¿Cómo puedo encontrar una organización de evaluación externa?

En FedRAMP Marketplace encontrarás una lista de empresas de evaluación externa cualificadas.

¿Tengo que hacer pruebas de penetración?

La SSP de Google Cloud cubre los recursos de Google para las pruebas de penetración, y los clientes pueden heredar este control si usan Google Cloud. Durante la evaluación de la organización de evaluación externa, también es necesario llevar a cabo una prueba de penetración del entorno de FedRAMP del cliente desarrollado con Google Cloud.

¿Puede ayudar Google con el proceso de cumplimiento de FedRAMP?

¿Están autorizados Assured Workloads y la consola de Google Cloud?

Assured Workloads es una función de Google Cloud con la que los clientes pueden activar configuraciones de proyectos concretos para que cumplan sus regímenes de cumplimiento. Los clientes también pueden definir políticas de organización para satisfacer los requisitos de cumplimiento por sí mismos sin tener que usar Assured Workloads. Los productos se integran discretamente con Assured Workloads y aplican por sí mismos las políticas de organización.

La consola de Google Cloud es una sencilla interfaz de usuario basada en la Web que incluye funciones para ayudar a los clientes con el despliegue. Es un framework, no un servicio, desarrollado en la infraestructura de Google Cloud que proporciona a los clientes una interfaz para gestionar sus recursos de Google Cloud. Los clientes de la consola de Cloud interactúan directamente con las APIs de los servicios concretos de Google Cloud y usan las APIs de los servicios para renderizar la interfaz. La consola de Cloud por sí sola no tiene una API con la que los clientes puedan interactuar. En lugar de eso, los clientes interactúan directamente con las APIs de los servicios de Google Cloud concretos. La consola de Cloud usa esas APIs de servicio para renderizar la interfaz.

¿Cómo configuro mi carga de trabajo de FedRAMP para eliminar 3DES como algoritmo de cifrado poco seguro?

Para cumplir con las directrices del NIST SP 800‐131A, versión 2, "Transición del uso de algoritmos criptográficos y longitudes de claves", los clientes quieren dejar de usar 3DES. Google Cloud no utiliza 3DES, pero sigue estando disponible en los endpoints de Google para ofrecer asistencia a todos nuestros clientes. Si tu solución de FedRAMP requiere que se retire 3DES, ponte en contacto con el equipo de Asistencia para que te ayude a retirarla de tu entorno de Assured Workloads.

FedRAMP

Enlaces rápidos

Cumplimiento del programa FedRAMP de Google Cloud

Cumplimiento del programa FedRAMP de Google Workspace

Preparación de alta disponibilidad de VMware Engine de Google Cloud (GCVE) para FedRAMP

Alojar cargas de trabajo de FedRAMP Moderate y High en Google Cloud

Alojar datos de FedRAMP Moderate y High en Google Workspace

Proceso para conseguir una autorización para operar de FedRAMP

Preguntas frecuentes

¿Qué piensa Google Cloud del borrador de memorándum de FedRAMP de la Oficina de Administración y Presupuesto de Estados Unidos?

Mi solución utiliza Google Cloud. ¿Cómo puede cumplir las especificaciones del programa FedRAMP?

¿Cómo ofrece Google servicios autorizados por el programa FedRAMP si no tiene una oferta de GovCloud?

¿Cómo configuro Google Workspace para que cumpla los requisitos de FedRAMP High?

¿Necesito Assured Workloads para conseguir una autorización para operar de FedRAMP?

¿Qué controles de FedRAMP puedo heredar de Google Cloud?

¿Qué relación tiene esto con StateRAMP?

¿Cómo puedo encontrar una organización de evaluación externa?

¿Tengo que hacer pruebas de penetración?

¿Puede ayudar Google con el proceso de cumplimiento de FedRAMP?

¿Están autorizados Assured Workloads y la consola de Google Cloud?

¿Cómo configuro mi carga de trabajo de FedRAMP para eliminar 3DES como algoritmo de cifrado poco seguro?

Servicios cubiertos

Servicios de Google Cloud incluidos en FedRAMP High

Servicios de Google Cloud en proceso de revisión de JAB para el nivel alto de FedRAMP

Servicios de Google Cloud incluidos en FedRAMP Moderate

Servicios de Google Cloud en proceso de revisión de JAB para el nivel moderado del programa FedRAMP

Ediciones de Google Workspace (nivel alto del programa FedRAMP)

Ediciones de Google Workspace (nivel moderado del programa FedRAMP)

Servicios de Google Workspace (FedRAMP High)

Servicios de Google Workspace en proceso de revisión de JAB para el nivel alto de FedRAMP

Servicios de Google Workspace (nivel moderado del programa FedRAMP)

Servicios de Google Workspace en proceso de revisión de JAB para el nivel moderado del programa FedRAMP

Regiones de Google Cloud autorizadas para FedRAMP

Recursos relacionados

Ve un paso más allá

Descubre las prácticas recomendadas de seguridad

Resuelve problemas habituales

Colabora con un partner