FedRAMP

El Programa Federal de Gestión de Riesgos y Autorización ( FedRAMP ) es un programa de cumplimiento del gobierno federal de los Estados Unidos que proporciona un enfoque estandarizado para la evaluación de seguridad , la autorización y el monitoreo continuo de productos y servicios en la nube . ^{[ 1 ]} El gobierno de los Estados Unidos describe FedRAMP como FISMA para la nube.

La misión de la PMO de FedRAMP es promover la adopción de servicios seguros en la nube en todo el gobierno federal, proporcionando un enfoque estandarizado para la evaluación de seguridad y riesgos. ^{[ 2 ]} Según el memorando de la OMB, cualquier servicio en la nube que contenga datos federales debe estar autorizado por FedRAMP. ^{[ 3 ]} FedRAMP prescribe los requisitos y procesos de seguridad que los proveedores de servicios en la nube deben seguir para que el gobierno pueda utilizar su servicio.

Hay dos maneras de autorizar un servicio en la nube a través de FedRAMP: una autorización provisional de la Junta de Autorización Conjunta (JAB, por sus siglas en inglés) (P-ATO), ^{[ 4 ]} y a través de agencias individuales. ^{[ 5 ]}

FedRAMP ofrece acreditación para servicios en la nube para los diversos modelos de oferta en la nube, que son Infraestructura como Servicio (IaaS), Plataforma como Servicio (PaaS) y Software como Servicio (SaaS).

En 2011, la Oficina de Administración y Presupuesto (OMB) publicó un memorando que establecía FedRAMP "para proporcionar un enfoque rentable y basado en el riesgo para la adopción y el uso de servicios en la nube para los departamentos y agencias ejecutivas". ^{[ 3 ]} La Administración de Servicios Generales (GSA) estableció la Oficina de Gestión del Programa FedRAMP (PMO) en junio de 2012.

Antes de la introducción de FedRAMP, las agencias federales individuales gestionaban sus propias metodologías de evaluación siguiendo las directrices establecidas por la Ley Federal de Gestión de la Seguridad de la Información de 2002. ^{[ 6 ]}

FedRAMP está regido por diferentes entidades del Poder Ejecutivo que colaboran para desarrollar, gestionar y operar el programa. ^{[ 7 ]} Estas entidades incluyen:

• La Oficina de Administración y Presupuesto (OMB): El organismo rector que emitió el memorando de política FedRAMP, que define los requisitos y capacidades clave del programa ^{[ 8 ] [ 9 ]}
• The Joint Authorization Board (JAB): The primary governance and decision-making body for FedRAMP comprises the chief information officers (CIOs) from the Department of Homeland Security (DHS), General Services Administration (GSA), and Department of Defense (DOD)^[8]
• The National Institute of Standards and Technology (NIST): Advises FedRAMP on FISMA compliance requirements and assists in developing the standards for the accreditation of independent 3PAOs^[8]
• The Department of Homeland Security (DHS): Manages the FedRAMP continuous monitoring strategy including data feed criteria, reporting structure, threat notification coordination, and incident response^[8]
• The Federal Chief Information Officers (CIO) Council: Disseminates FedRAMP information to Federal CIOs and other representatives through cross-agency communications and events^[8]
• The FedRAMP PMO: Established within GSA and responsible for the development of the FedRAMP program, including the management of day-to-day operations^[8]

There are several laws, mandates, and policies that are foundational to FedRAMP. FISMA–the Federal Information Security Modernization Act–requires that agencies authorize the information systems that they use. The US government describes FedRAMP as FISMA for the cloud.^[10] The FedRAMP Policy Memo requires federal agencies to use FedRAMP when assessing, authorizing, and continuously monitoring cloud services in order to aid agencies in the authorization process as well as save government resources and eliminate duplicative efforts.^[3][11] FedRAMP's security baselines are derived from NIST SP 800-53 (as revised) with a set of control enhancements that pertain to the unique security requirements of cloud computing.

Las organizaciones de evaluación de terceros (3PAO ^{[ 12 ]} ) desempeñan un papel fundamental en el proceso de evaluación de seguridad de FedRAMP, ya que son las organizaciones de evaluación independientes que verifican las implementaciones de seguridad de los proveedores de la nube y proporcionan la postura de riesgo general de un entorno de nube para una decisión de autorización de seguridad. ^{[ 3 ] [ 11 ]} Acreditadas por la Asociación Estadounidense para la Acreditación de Laboratorios (A2LA), estas organizaciones de evaluación deben demostrar independencia y la competencia técnica necesaria para probar las implementaciones de seguridad y recopilar evidencia representativa.

El FedRAMP Marketplace proporciona una base de datos consultable y ordenable de ofertas de servicios en la nube (CSO) que han obtenido la designación FedRAMP. ^{[ 13 ]} Los 3PAO, auditores acreditados que pueden realizar la evaluación FedRAMP, se enumeran en el Marketplace. El FedRAMP Marketplace es mantenido por la Oficina de Gestión del Programa (PMO) de FedRAMP. ^{[ 14 ]}

Una investigación de ProPublica de 2026 reveló que FedRAMP se asoció con Microsoft a pesar de las considerables preocupaciones sobre la seguridad de su tecnología en la nube. ^{[ 15 ]}

• Problemas de computación en la nube

• Sitio web oficial
• Mercado FedRAMP
• Memorando de FedRAMP (2011)
• FedRAMP 20x