Requisitos del FIPS 140

El Instituto Nacional de Normas y Tecnología (NIST) emite la serie 140 de la publicación Federal Information Processing Standard (FIPS) para coordinar los requisitos y estándares de los módulos criptográficos, que incluyen componentes de hardware y software para que los usen los departamentos y agencias de los gobiernos de Estados Unidos y Canadá para proteger la información sensible.

Cumplimiento del FIPS 140

Los proveedores de servicios en la nube (CSPs) deben implementar el control de seguridad de FIPS para cumplir los requisitos de cloud computing de los gobiernos de Canadá y Estados Unidos, así como de sus contratistas y proveedores. La publicación FIPS 140 establece que, si se utiliza el cifrado como mecanismo para cumplir un requisito de seguridad, debe estar validado por FIPS en el marco del programa de validación de módulos criptográficos (CMVP). 

La publicación FIPS serie 140 más reciente es la tercera revisión, comúnmente denominada FIPS 140-3. El NIST ha publicado un plan de transición para migrar del estándar FIPS 140-2 al 140-3, y Google se ha comprometido a llevar a cabo esta transición. Desde septiembre del 2022, todas las solicitudes de Google de conformidad con el FIPS 140 para módulos nuevos se han realizado de acuerdo con el estándar 140-3. Según las directrices del CMVP, el ámbito de una validación FIPS 140 es un módulo criptográfico, no un servicio en la nube individual. Los servicios de Google Cloud cumplen los requisitos de conformidad gracias a los módulos criptográficos subyacentes validados por el estándar FIPS 140.

Descripción general de la criptografía FIPS 140 en Google Cloud

Google Cloud protege los datos de los clientes en toda su infraestructura global mediante módulos criptográficos validados por FIPS para los datos en reposo, los datos en tránsito entre los centros de datos de Google y los canales de comunicación externos entre el cliente y Google.

• Módulo BoringCrypto (BCM): el módulo criptográfico principal de código abierto de Google, validado por FIPS 140, dentro de BoringSSL, una biblioteca criptográfica de código abierto derivada de OpenSSL. BoringCrypto es el principal motor criptográfico de software que impulsa el cifrado en reposo y en tránsito en los servicios nativos de Google Cloud.
• Módulos de seguridad de hardware (HSM): hardware criptográfico físico dedicado y validado hasta el nivel 3 de FIPS 140-2 o FIPS 140-3. Los clientes de Google Cloud pueden utilizar Cloud HSM para acceder a clústeres de HSMs de Google

Cronología de la retirada de NIST FIPS 140-2

Según el calendario de transición del NIST, todos los certificados FIPS 140-2 activos se trasladaron a la lista de historial del CMVP el 21 de septiembre del 2026 Según la política del NIST y del CMVP:

• El cambio al estado "Histórico" refleja la retirada de la versión estándar, no una revocación ni una vulnerabilidad de seguridad.
• Las agencias federales y los clientes regulados pueden seguir operando y aprovechando los sistemas que mantienen los módulos FIPS 140-2 históricos.

Ciclo de vida de validación continua de Google para BoringCrypto

Google Cloud se rige por la política de FedRAMP para la selección y el uso de módulos criptográficos, que exige la revalidación y actualización periódicas de los módulos criptográficos. En lugar de vincular todos los servicios nativos de la nube a una única revisión estática, Google mantiene un ciclo de vida de validación continuo y progresivo para BoringCrypto según el estándar FIPS 140-3. A medida que se actualizan estos servicios, pueden aprovechar diferentes compilaciones de BoringCrypto validadas a lo largo del tiempo o en diferentes componentes de backend. Google implementa esta política de forma coherente, aplicando el modelo de flujo de actualizaciones a otras directivas que requieren la certificación criptográfica FIPS, como CJIS, ITAR, DoD IL4 e IL5, IRS 1075, JISF y Protected B.

• FIPS 140-2 (certificado n. º 4407): BoringCrypto — Historial (con fecha del 21 de septiembre del 2026)
• FIPS 140-3 (certificado n.º 4735): BoringCrypto — Activo (validado en julio del 2024)
• FIPS 140-3 (certificado n. º 5104): BoringCrypto — Activo (validado en diciembre del 2025)
• FIPS 140-3 (certificado n. º 5244): BoringCrypto — Activo (validado en abril del 2026)
• FIPS 140-3 (certificado n.º 5296): BoringCrypto — Activo (validado en junio del 2026)

Para ver la lista completa de las compilaciones de BoringCrypto activas y validadas por el CMVP de Google, busca en la base de datos del CMVP, selecciona Google como proveedor y BoringCrypto como nombre del módulo.

Google Cloud actualiza progresivamente los binarios de servicio de referencia internos a estas compilaciones activas validadas por FIPS 140-3, lo que garantiza una protección criptográfica continua en todos los servicios de la plataforma subyacente sin introducir puntos de ruptura ni interrupciones del servicio.

Modelo de responsabilidad compartida para la criptografía de FIPS

El cumplimiento criptográfico según la norma FIPS 140 se rige por un modelo de responsabilidad compartida entre Google Cloud y el cliente.

Responsabilidad de Google Cloud ("Seguridad de la nube")

• Seguridad física e intercentros de datos: cifrado de datos en tránsito en la red de fibra global privada de Google.
• Servicios gestionados nativos: encriptado de plataformas para productos y servicios autorizados por FedRAMP, totalmente diseñados, mantenidos y operados por Google Cloud. 
• Gestión del ciclo de vida de CMVP: mantener las certificaciones FIPS 140-3 activas para BoringCrypto y los HSMs subyacentes.
• Cero interrupciones para los clientes: transición de la criptografía de backend sin necesidad de modificar los endpoints, los niveles ni las URLs de los clientes.

Responsabilidad del cliente ("Seguridad en la nube")

• Sistemas operativos y cargas de trabajo de invitados: habilitar el modo FIPS en sistemas operativos invitados (por ejemplo, Ubuntu Advantage FIPS o el modo FIPS de RHEL) que se ejecuten en Compute Engine o en nodos de trabajo de GKE.
• TLS del lado del cliente y conexiones de API: garantizar que el software de cliente, los SDKs y los endpoints de desarrollador que se conectan a las APIs de Google utilicen bibliotecas criptográficas validadas.
• Cifrado de datos de la capa de aplicación: gestionar las claves de cifrado (mediante Cloud KMS, Cloud HSM, CMEK o Cloud EKM) y las políticas de protección de datos de los invitados.

Información para clientes regulados

Para proveedores de SaaS, agencias federales y clientes empresariales que documenten autorizaciones de apalancamiento en su plan de seguridad del sistema (SSP):

• Herencia del control SC-13: los clientes que aprovechan los servicios nativos de Google Cloud pueden heredar los controles criptográficos de Google según la autorización de FedRAMP de los servicios de Google (ID de FedRAMP: FR1805751477).
• Tabla de módulos criptográficos de SSP: dado que Google valida continuamente las compilaciones de BoringCrypto según su modelo de validación continua, los clientes deben documentar que su protección criptográfica hereda los certificados activos de BoringCrypto de Google con la certificación FIPS 140-3 y citar el plan de seguridad del sistema FedRAMP o el resumen de implementación del cliente de Google Cloud.
• Garantía y atestación de auditores: los paquetes de cumplimiento oficiales, los informes de evaluación de seguridad (SAR) de 3PAO y los artefactos de monitorización continua se pueden obtener a través del Administrador de informes de cumplimiento de Google Cloud en virtud de un acuerdo de confidencialidad.