FedRAMP

El reciente borrador de memorándum de FedRAMP de la Oficina de Gestión y Presupuestos de Estados Unidos, que respalda un enfoque moderno en la nube basado en una separación lógica y en software en lugar de en una separación física, es un paso importante en la dirección correcta. Google Cloud ha sido pionero en este enfoque y cree que permite a los clientes escalar e innovar de forma segura.

El programa FedRAMP permite varios niveles de herencia de los productos de servicios en la nube que utilicen infraestructuras, plataformas y servicios autorizados por el programa. Este análisis inicial basado en la relación entre el control y la herencia es lo que determina, en última instancia, en qué medida recae sobre los clientes que desplieguen aplicaciones en Google Cloud la responsabilidad del cumplimiento. 

Por ejemplo, si en tu empresa preferís desarrollar la pila completa de vuestra aplicación, tendréis un mayor grado responsabilidad y obligaciones con respecto a los clientes cuando el organismo oficial correspondiente os evalúe. Por el contrario, es posible que la responsabilidad de cumplir con el FedRAMP sea menor si usas Google Cloud a modo de plataforma como servicio (PaaS) o software como servicio (SaaS).

Una vez que hayas seleccionado los servicios autorizados por el programa FedRAMP, Google puede proporcionarte guías de configuración específicas para cada servicio que te ayuden a configurar tu solución. También puedes ponerte en contacto directamente con el equipo de expertos en el programa FedRAMP de los servicios de consultoría de Google Cloud.

Google fue uno de los primeros proveedores de servicios en la nube comercial a hiperescala en conseguir una autorización del programa FedRAMP High en una oferta de nube pública comercial, además de ser uno de los mayores proveedores de servicios de FedRAMP del mercado. Antiguamente, los proveedores a hiperescala decidieron eliminar sus GovClouds de sus soluciones de nube comercial para poder cumplir los estándares del programa FedRAMP High. Este enfoque puede facilitar el cumplimiento, pero estos entornos independientes no suelen ofrecer todas las ventajas que la infraestructura en la nube de Google puede proporcionar.

La autorización FedRAMP High de Google Cloud permite a los organismos públicos procesar cargas de trabajo de gran impacto para adoptar la tecnología a una velocidad mucho mayor y al mismo nivel que los clientes comerciales. Además, saca partido tanto a las posibilidades como a la capacidad que ofrece la infraestructura en la nube pública única de Google. Con Assured Workloads o Assured Controls, los clientes pueden proteger y configurar cargas de trabajo sensibles con total confianza para satisfacer los requisitos de cumplimiento y de seguridad en la nube. Elige la configuración de seguridad que quieras para que Google implemente los controles en la nube necesarios.

Más abajo puedes consultar la lista de ediciones de Google Workspace que están autorizadas por el programa FedRAMP. Consulta la guía de configuración para desplegar Google Workspace y cumplir los controles de seguridad de FedRAMP High. 

Sí, Assured Workloads es obligatorio para lograr una autorización para operar de FedRAMP Moderate o High. Con Assured Workloads, Google Cloud puede identificar cargas de trabajo federales de los clientes y aplicar barreras técnicas para adaptarse a cualquier cambio en los reglamentos federales. Google Cloud se ha comprometido a ofrecer asistencia con los requisitos de cumplimiento de FedRAMP, incluidos los introducidos en la revisión 5 de NIST 800-53 y las futuras versiones de las cargas de trabajo que se ejecuten en Assured Workloads.

Además, Assured Workloads es la única forma de que Google Cloud cumpla los exigentes requisitos de asistencia y de residencia de datos de FedRAMP High. Assured Workloads no se aplica a Google Workspace, que tiene sus propios Assured Controls.

Una de las ventajas de usar Google Cloud para gestionar tus cargas de trabajo gubernamentales es que ya existen una serie de controles necesarios en nuestra infraestructura subyacente y en Assured Workloads. Por tanto, cuando envías tu paquete de FedRAMP a una agencia federal para que lo autorice, también incluyes el plan de seguridad del sistema (SSP) de Google, que describe los controles que gestiona Google Cloud. Ponte en contacto con tu equipo de ventas para obtener una copia de la SSP de Google Cloud (se necesita un acuerdo de confidencialidad).

StateRAMP es un programa de ciberseguridad creado en el 2021 para dar respuesta a las necesidades de los responsables de aprovisionamiento y seguridad de los gobiernos estatales y locales de EE. UU. Al igual que el programa FedRAMP, se basa en el framework NIST 800-53 y, parcialmente, en el programa FedRAMP. StateRAMP también se basa en las empresas de evaluación externa acreditadas por el programa FedRAMP para llevar a cabo evaluaciones. Google Cloud está preparado para ofrecer a clientes de la administración pública con la certificación StateRAMP una residencia de datos y unas funciones de asistencia mejoradas a través de Assured Workloads.

En FedRAMP Marketplace encontrarás una lista de empresas de evaluación externa reconocidas.

La SSP de Google Cloud cubre los recursos de Google para las pruebas de penetración, y puedes heredar este control si usas Google Cloud. Durante la evaluación de la organización de evaluación externa, también es necesario llevar a cabo una prueba de penetración de tu entorno de FedRAMP desarrollado con Google Cloud.

Sí. El programa FedRAMP permite varios niveles de herencia de los productos de servicios en la nube que utilicen infraestructuras, plataformas y servicios autorizados por el programa. Este análisis inicial basado en la relación entre el control y la herencia es lo que determina, en última instancia, en qué medida recae sobre los clientes que desplieguen aplicaciones en Google Cloud la responsabilidad del cumplimiento. 

Por ejemplo, si en tu empresa preferís desarrollar la pila completa de vuestra aplicación, tendréis un mayor grado responsabilidad y obligaciones con respecto a los clientes cuando el organismo oficial correspondiente os evalúe. Por el contrario, es posible que la responsabilidad de cumplir con el FedRAMP sea menor si usas Google Cloud a modo de plataforma como servicio (PaaS) o software como servicio (SaaS).

Una vez que hayas seleccionado los servicios autorizados por el programa FedRAMP, Google puede proporcionarte guías de configuración específicas para cada servicio que te ayuden a configurar tu solución. También puedes ponerte en contacto directamente con el equipo de expertos en el programa FedRAMP de los servicios de consultoría de Google Cloud.

Assured Workloads es un servicio de Google Cloud con autorización de FedRAMP High que los clientes pueden usar para activar configuraciones de proyectos concretas y así cumplir sus regímenes de cumplimiento. También puedes definir políticas de organización para satisfacer los requisitos de cumplimiento por ti mismo sin tener que usar Assured Workloads. Los productos se integran discretamente con Assured Workloads y aplican las políticas de la organización.

La consola de Google Cloud es un servicio con autorización de FedRAMP High que incluye una sencilla interfaz de usuario basada en la Web que ofrece funciones para ayudar a los clientes con el despliegue. La consola de Google Cloud no requiere configuración ni instalación, y puedes acceder a ella directamente desde un navegador. Los clientes de la consola de Cloud interactúan directamente con las APIs de los servicios concretos de GCP y usan las APIs de los servicios para renderizar la interfaz. La consola de Cloud por sí sola no tiene una API con la que los clientes puedan interactuar. En lugar de eso, los clientes interactúan directamente con las APIs de los servicios de GCP.

Para cumplir con las directrices del NIST SP 800‐131A, versión 2, Transición del uso de algoritmos criptográficos y longitudes de claves, los clientes quieren dejar de usar 3DES. Google Cloud no utiliza 3DES, pero sigue estando disponible en los endpoints de Google para ofrecer asistencia a todos nuestros clientes. Si tu solución de FedRAMP requiere que se retire 3DES, ponte en contacto con el equipo de Asistencia para que te ayude a retirarla de tu entorno de Assured Workloads.

ID del paquete de FedRAMP: FR1805751477

* Todos los servicios de Google Cloud sujetos a FedRAMP High también están cubiertos por FedRAMP Moderate

* Nota: Las plataformas FedRAMP Moderate y FedRAMP High implementan controles que restringen las conexiones TLS 1.1/1.0 en el nivel de dominio.

Access Approval

Administrador de contextos de acceso

Transparencia de acceso

Consola de administración (incluidos el SDK de administrador y Directory Sync)

Agent Assist

Agentspace (como parte de Vertex AI Search)

Etiquetado de datos de AI Platform

Búsqueda con arquitectura neuronal (NAS) de AI Platform

AI Platform Training y AI Platform Prediction (anteriormente llamados Cloud Machine Learning Engine)

AlloyDB

Anthos Config Management (ACM) (función de GKE Enterprise)

Claves de API

Apigee

Entorno estándar de App Engine sin servicios agrupados

Application Integration

Artifact Analysis

Artifact Registry

Assured Open Source Software (AOSS)

Assured Workloads

AutoML Natural Language

AutoML Tables

AutoML Translation

AutoML Video

AutoML Vision

Copia de seguridad de GKE

Batch

BeyondCorp Enterprise

BigQuery

BigQuery Data Transfer Service

Bigtable

Autorización binaria

Care Studio

Servicio de Autoridades de Certificación

Certificate Manager

Cloud Armor (base)

Inventario de Recursos de Cloud

Facturación de Cloud

Cloud Build

Cloud CDN

Cloud Composer

Consola de Cloud

Aplicación de la consola de Cloud

Cloud Data Fusion

Cloud Deploy

Cloud Deployment Manager

Cloud DNS

Cloud Endpoints

Cloud Error Reporting

Cloud External Key Manager (EKM)

Cloud Functions for Firebase

API de Cloud Healthcare

Cloud HSM

Cloud Identity

Cloud IDS

Cloud Interconnect

Cloud Key Management Service

Cloud Life Sciences (anteriormente, Google Genomics)

Cloud Load Balancing (L4 ILB)

Cloud Load Balancing (L7 ILB/Regional XLB)

Cloud Load Balancing (balanceo de carga de red)

Cloud Logging (incluye Error Reporting)

Cloud Monitoring

Traducción de direcciones de red (NAT) de Cloud

API Cloud Natural Language

Cloud NGFW (cortafuegos de Cloud) (Standard y Essential)

Cloud Profiler (Stackdriver Profiler)

Cloud Resource Manager

Cloud Router

Cloud Run

Cloud Run Functions

Cloud Scheduler

SDK de Google Cloud

Cloud Service Mesh

Cloud Shell

Cloud Source Repositories

Cloud SQL

Cloud Storage

Cloud Storage for Firebase

Cloud Tasks

Cloud Trace (antes conocido como Stackdriver Trace)

Cloud Translation

API de Cloud Vision

Cloud VPN

Cloud Workstations

Compute Engine

Connect

Container Registry

Conversational Agents (Dialogflow CX)

Conversational Insights (Contact Center AI Insights)

Data Catalog

Database Migration Service

Dataform

Dataflow

Dataproc

Datastore

DataStream

Document AI

Earth Engine

Eventarc (Standard)

Filestore (niveles HDD básico y SSD básico)

Firebase Authentication

Firestore

IA generativa en Vertex AI

Hub de GKE

Servicio de identidad de GKE (Servicio de identidad de Anthos)

Google Cloud Identity‑Aware Proxy

Google Cloud Marketplace

Google Kubernetes Engine

Google SecOps (Chronicle SIEM)

Google SecOps SOAR

Gestión de Identidades y Accesos

Identity Platform

Identity‑Aware Proxy

Infrastructure Manager

Integration Connectors

Justificaciones de Acceso a Claves (KAJ)

Servicio de Knative (Cloud Run for Anthos)

Looker (servicio principal de Google Cloud)

Looker Studio (incluida la versión Pro, que antes era Google Data Studio)

Memorystore para Memcache

Memorystore for Redis

Network Connectivity Center

Network Intelligence Center

Niveles de servicio de red

Persistent Disk

Pub/Sub

reCAPTCHA Enterprise

Secret Manager

Secure Source Manager

Security Command Center (estándar o premium)

Protección de Datos Sensibles (incluido Cloud Data Loss Prevention)

Acceso a VPC sin servidor

Service Infrastructure (anteriormente Service Control; incluye la API Service Management y la API Service Consumer Management)

Spanner

Speech-to-Text

Servicio de transferencia de Storage

Talent Solution

Text-to-Speech

Traffic Director (que forma parte de Cloud Service Mesh)

Vertex AI Forecast

Registro de modelos de Vertex AI

Vertex AI Search

Búsqueda de Vectores de Vertex AI

Cuadernos gestionados por el usuario de Vertex AI Workbench (antes llamados AI Platform Notebooks)

Predicción en lote de Vertex

Vertex ML Metadata

Vertex Model Monitoring

Predicciones online de Vertex

Vertex Pipelines

Vertex Training

API de Video Intelligence

Nube privada virtual

Controles de Servicio de VPC

API Web Risk

Workflows

Federación de identidades para los trabajadores (BYOID)

GCVE

Proxy web seguro

Vertex AI Workbench

* Nota: Las plataformas FedRAMP Moderate y FedRAMP High implementan controles que restringen las conexiones TLS 1.1/1.0 en el nivel de dominio.

Google Workspace Business Plus

Google Workspace Business Standard

Google Workspace Enterprise Plus

Google Workspace Enterprise Standard

ID de paquete de FedRAMP: F1206081364

* Ten en cuenta que la consola de administración y Cloud Identity ahora forman parte del paquete de servicios de Google (FR1805751477)

* Todos los servicios de Google Workspace sujetos a FedRAMP High también están cubiertos por FedRAMP Moderate

* Nota: Las plataformas FedRAMP Moderate y FedRAMP High implementan controles que restringen las conexiones TLS 1.1/1.0 en el nivel de dominio.

AppSheet

AppSheet (excepto Tables)

Calendar

Documentos

Drive

Formularios

Gemini

Gemini (Google Workspace Enterprise)

Gemini en Documentos

Gemini en Drive

Gemini en Gmail

Gemini en Meet

Gemini en Meet (imágenes creadas con IA en fondos de Meet)

Gemini en Meet (traducción instantánea de subtítulos)

Gemini en Meet (look de estudio)

Gemini en Hojas de cálculo

Gemini en Presentaciones

Gmail

Google Chat

Google Meet

Google Voice

Keep

Versión nueva de Sites

Hojas de cálculo

Presentaciones

Vault

Todas las regiones de Google Cloud que están cubiertas por FedRAMP High también están cubiertas por FedRAMP Moderate.

Oregón (us-west1) - FedRAMP High

Los Ángeles (us-west2) - FedRAMP High

Salt Lake City (us-west3) - FedRAMP High

Las Vegas (us-west4) - FedRAMP High

Iowa (us-central1) - FedRAMP High

Oklahoma (us-central2) - FedRAMP High

Carolina del Sur (us-east1) - FedRAMP High

Norte de Virginia (us‐east4) - FedRAMP High

Columbus (us-east5) - FedRAMP High

Dallas (us-south1) - FedRAMP High

Montreal (northamerica-northeast1) - FedRAMP Moderate

São Paulo (southamerica-east1) - FedRAMP Moderate

Bélgica (europe-west1) - FedRAMP Moderate

Londres (europe-west2) - FedRAMP Moderate

Fráncfort (europe-west3) - FedRAMP Moderate

Países Bajos (europe-west4) - FedRAMP Moderate

Finlandia (europe-north1) - FedRAMP Moderate

Bombay (asia-south1) - FedRAMP Moderate

Singapur (asia-southeast1) - FedRAMP Moderate

Taiwán (asia-east1) - FedRAMP Moderate

Tokio (asia-northeast1) - FedRAMP Moderate

Sídney (australia-southeast1) - FedRAMP Moderate

Zúrich (europe-west6) - FedRAMP Moderate

Varsovia (europe-central2) - FedRAMP Moderate

Yakarta (asia-southeast2) - FedRAMP Moderate

Osaka (asia-northeast2) - FedRAMP Moderate

Seúl (asia-northeast3) - FedRAMP Moderate