Programa Federal de Administración de Autorizaciones y Riesgo (FedRAMP)

Información general sobre FedRAMP

El Programa Federal de Gestión de Riesgos y Autorización de Estados Unidos (FedRAMP) proporciona un enfoque estandarizado para evaluar, supervisar y autorizar productos y servicios de computación en la nube en virtud de la Ley Federal de Gestión de la Seguridad de la Información (FISMA). Acelera la adopción de soluciones seguras en la nube por parte de las agencias federales.

La Oficina de Administración y Presupuesto ahora requiere que todas las agencias federales ejecutivas usen FedRAMP para validar la seguridad de los servicios en la nube. Otras agencias también lo han adoptado, por lo que también es útil en otras áreas del sector público. El Instituto Nacional de Estándares y Tecnología (NIST) SP 800-53 establece los estándares obligatorios. Establece categorías de seguridad de los sistemas de información (confidencialidad, integridad y disponibilidad) para evaluar el impacto potencial en una organización en caso de que su información y sus sistemas de información se vean comprometidos. FedRAMP es el programa que certifica que un proveedor de servicios en la nube (CSP) cumple esos estándares.

Los CSP que deseen vender servicios a una agencia federal pueden tomar tres caminos para demostrar el cumplimiento de FedRAMP:

• Obtenga una Autoridad Provisional para Operar (P-ATO) de la Junta de Autorización Conjunta (JAB). La JAB es el principal órgano de gobernanza y toma de decisiones de FedRAMP. Representantes del Departamento de Defensa, el Departamento de Seguridad Nacional y la Administración de Servicios Generales forman parte de la junta. La junta otorga un P-ATO a los CSP que demuestran el cumplimiento de FedRAMP.
• Recibir una Autoridad para Operar (ATO) de una agencia federal.
• Trabajar de forma independiente para desarrollar un paquete suministrado por CSP que cumpla con los requisitos del programa.

Cada uno de estos caminos requiere una revisión técnica estricta por parte de la Oficina de Administración del Programa (PMO) de FedRAMP y una evaluación por parte de una organización externa independiente que acredite el programa.

Las autorizaciones de FedRAMP se otorgan en tres niveles de impacto según las pautas del NIST: bajo, medio y alto. Estos niveles clasifican el impacto que la pérdida de confidencialidad, integridad o disponibilidad podría tener en una organización: bajo (efecto limitado), medio (efecto adverso grave) y alto (efecto grave o catastrófico).

Microsoft y FedRAMP

Los servicios en la nube de administración pública de Microsoft, incluidos Azure Government, Microsoft Dynamics 365 Administración Pública y Office 365 Administración Pública de Estados Unidos, cumplen los exigentes requisitos del Programa federal de administración de riesgos y autorización de Estados Unidos (FedRAMP). Las agencias federales de EE. UU. se benefician del ahorro de costes y la rigurosa seguridad de Microsoft Cloud.

Los servicios en la nube para el gobierno de Microsoft ofrecen a los clientes del sector público una amplia variedad de servicios compatibles con FedRAMP y herramientas sólidas de orientación e implementación, incluido el plano técnico de FedRAMP High, que ayuda a los clientes a implementar un conjunto básico de directivas para cualquier arquitectura implementada por Azure que deba implementar controles de FedRAMP High.

Servicios y plataformas en la nube incluidos en el ámbito de Microsoft

• Azure y Azure Government
• Dynamics 365 Administración Pública de EE. UU.
• Microsoft Intune
• Office 365 (Administración pública de EE. UU., Administración pública de EE. UU. - Alto, defensa del gobierno de EE. UU.)
• El servicio de nube de Power BI como servicio independiente o incluido en un plan o conjunto de aplicaciones de Office 365
• Windows 365 (Gobierno de EE. UU., Gobierno de EE. UU., alto)

Azure, Dynamics 365 y FedRAMP

Para obtener más información sobre el cumplimiento normativo de Azure, Dynamics 365 y otros servicios en línea, consulte la oferta de Azure FedRAMP.

Office 365 y FedRAMP

• Office 365 Gobierno de EE. UU. (GCC y GCCH) tiene ATO de agencias estadounidenses. Para obtener más información, consulte las entradas de FedRAMP Marketplace para GCC y GCCH.
• Office 365 Defensa del Gobierno de EE. UU. tiene un P-ATO de la Agencia de Sistemas de Información de Defensa de EE. UU. (DISA). Si desea implementar la Defensa del Gobierno de EE. UU. de Office 365, puede usar el PAT de DISA para generar una ATO de la agencia que documente su aceptación de la misma.

Entornos de Office 365

Microsoft Office 365 es una plataforma en la nube de hiperescala multiinquilino y una experiencia integrada de aplicaciones y servicios disponibles para los clientes en varias regiones del mundo. La mayoría de los servicios de Office 365 permiten a los clientes especificar la región en la que se encuentran los datos de sus clientes. Microsoft puede replicar los datos de clientes en otras regiones dentro de la misma área geográfica (por ejemplo, Estados Unidos) para la resistencia de datos, pero Microsoft no replica los datos de clientes fuera del área geográfica elegida.

En esta sección se tratan los siguientes entornos de Office 365:

• Software cliente (cliente): Software cliente comercial que se ejecuta en dispositivos cliente.
• Office 365 (comercial): El servicio en la nube público comercial de Office 365 disponible a nivel mundial.
• Office 365 Administración Pública Community Cloud (GCC): aparece en el marketplace de FedRAMP como Office 365 (comercial) y también conocido como Office 365 Multiinquilino, y el entorno GCC. El servicio en la nube GCC de Office 365 está disponible para los gobiernos federales, estatales, locales y tribales de Estados Unidos, así como para los contratistas que posean o procesen datos en nombre del gobierno de Estados Unidos.
• Office 365 Administración Pública Community Cloud - High (GCC High): el servicio en la nube GCC High de Office 365 está diseñado de acuerdo con los controles de nivel 4 de las directrices sobre requisitos de seguridad del Departamento de Defensa (DoD) y admite información federal y de defensa regulada rigurosamente. Este entorno lo usan las agencias federales, la Base Industrial de Defensa (DIB) y los contratistas gubernamentales.
• Office 365 DoD (DoD): el servicio en la nube del DoD de Office 365 está diseñado de acuerdo con los controles de nivel 5 de las directrices sobre requisitos de seguridad del DoD y admite estrictas regulaciones federales y de defensa. Este entorno es para uso exclusivo del Departamento de Defensa de EE. UU.

Use esta sección para ayudarle a cumplir sus obligaciones relativas al cumplimiento en los sectores regulados y en los mercados globales. Para averiguar qué servicios están disponibles en qué regiones, consulte la información de disponibilidad internacional y el artículo Dónde se almacenan los datos del cliente de Microsoft 365. Para más información sobre el entorno de nube de Office 365 Administración Pública, consulte el artículo Nube de Office 365 Administración Pública.

Su organización es responsable de garantizar el cumplimiento de todas las leyes y regulaciones aplicables. La información proporcionada en esta sección no constituye asesoramiento legal. Consulte a asesores legales ante cualquier pregunta relacionada con el cumplimiento normativo de su organización.

Aplicabilidad y servicios dentro Office 365

Use la siguiente tabla para determinar la aplicabilidad de los servicios y la suscripción de Office 365:

Auditorías, informes y certificados de Office 365

Microsoft vuelve a certificar sus servicios en la nube cada año para mantener sus P-ATO y ATO. Para ello, Microsoft supervisa y evalúa continuamente sus controles de seguridad y demuestra que la seguridad de sus servicios permanece en conformidad.

• Informes de auditoría de Microsoft FedRAMP

Preguntas frecuentes

¿Los servicios en la nube de Microsoft cumplen la Ley federal de administración de la seguridad de la información (FISMA)?

FISMA es la ley federal que requiere que las agencias federales de EE. UU. y sus socios adquieran sistemas de información y servicios solo de organizaciones que cumplan con los requisitos de FISMA. La mayoría de las agencias y sus proveedores que indican que cumplen con FISMA se refieren a cómo cumplen con los controles identificados por el NIST en la Publicación Especial 800-53 rev 4. El proceso FISMA (pero no los estándares subyacentes en sí) fue reemplazado por FedRAMP en 2011.

¿A quién se aplica FedRAMP?

FedRAMP es obligatorio para las implementaciones en la nube de agencias federales y los modelos de servicio en los niveles de impacto de riesgo bajo y moderado. Cualquier agencia federal que quiera contratar a un CSP puede estar obligada a cumplir con las especificaciones de FedRAMP. Además, es posible que se requiera que las empresas que emplean tecnologías en la nube en productos o servicios utilizados por el gobierno federal obtengan una ATO.

¿Dónde comienza mi agencia su propio esfuerzo de cumplimiento?

Para obtener una descripción general de los pasos que las agencias federales deben tomar para navegar con éxito por FedRAMP y cumplir con sus requisitos, vaya a Autorización de agencia Rev5.

¿Puedo usar el cumplimiento de Microsoft en el proceso de autorización de mi agencia?

Sí. Puede usar las certificaciones de los servicios en la nube de Microsoft como base para cualquier programa o iniciativa que requiera una ATO de una agencia del gobierno federal. Sin embargo, debe obtener sus propias autorizaciones para los componentes fuera de estos servicios.

¿Cómo puedo configurar y administrar de forma segura mi inquilino de Microsoft 365 para cumplir con los requisitos de la Guía de configuración segura de FedRAMP?

La documentación y los recursos de Microsoft 365 para empresas es la página de aterrizaje para los administradores de inquilinos de Microsoft 365. La documentación de Microsoft Entra abarca temas relacionados con el uso de Entra ID para la administración del acceso.

Algunas páginas de interés de Microsoft Learn específicas incluyen las siguientes:

Administración de cuentas

• Configurar Microsoft Entra ID para cumplir el nivel de alto impacto de FedRAMP
• Configure los controles de acceso a la identidad para cumplir el nivel de alto impacto de FedRAMP con Microsoft Entra ID
• Administrar cuentas de administrador de acceso de emergencia

Valores predeterminados seguros

• Configurar valores predeterminados de seguridad para Microsoft Entra ID
• Permisos de usuario predeterminados
• Configuración del modo de seguridad de línea base

Comparación de la configuración actual con los valores predeterminados recomendados

• ¿Qué es la puntuación segura de identidad?
• Puntuación de seguridad de Microsoft
• Administrador de cumplimiento de Microsoft Purview
• Información general sobre la evaluación de Confianza cero

Exportación y administración de la configuración de seguridad a través de API

• Información general de Microsoft Graph

Usar el Administrador de cumplimiento de Microsoft Purview para evaluar el riesgo

El Administrador de cumplimiento de Microsoft Purview es una característica del portal de Microsoft Purview que te ayuda a comprender la postura de cumplimiento de tu organización y a tomar medidas que ayuden a reducir los riesgos. El Administrador de cumplimiento ofrece una plantilla premium para crear una evaluación de esta normativa. Busque la plantilla en la página plantillas de evaluación en el Administrador de cumplimiento. Obtenga información sobre cómo crear evaluaciones en el Administrador de cumplimiento.

Recursos

• Programa Federal de Gestión de Riesgos y Autorización
• Administración del cumplimiento en la nube en Microsoft
• Nube de Microsoft para la Administración Pública