Servicios

FedRAMP

FedRAMP es el proceso estandarizado que exigen las agencias federales de EE. UU. antes de poder utilizar un servicio en la nube: un conjunto definido de controles de seguridad (basados en la norma NIST SP 800-53, adaptados a la nube), una evaluación independiente realizada por una organización de evaluación externa acreditada y una supervisión continua una vez obtenida la autorización. Sin él, por lo general, no es posible comercializar una oferta en la nube a las agencias federales, razón por la cual acaba formando parte de la hoja de ruta de muchos proveedores de servicios en la nube que buscan trabajar con el sector público.

Lo más honesto es decirlo desde el principio: la autorización de FedRAMP es un proyecto de gran envergadura, no una certificación rápida. Por lo general, lleva desde muchos meses hasta más de un año, dependiendo de su nivel de impacto (bajo, moderado o alto) y de si se opta por una autorización patrocinada por una agencia o por la vía de la Junta de Autorización Conjunta de FedRAMP, y requiere una inversión real en ingeniería, no solo en documentación.

Dónde se produce realmente el problema

El modo de fallo más habitual es subestimar la diferencia entre «contamos con una buena seguridad» y «contamos con controles de seguridad perfectamente asignados y con evidencia según el catálogo específico de controles NIST 800-53, tal y como exige FedRAMP». Se trata de procesos distintos, y las organizaciones que inician el proceso de documentación antes de subsanar realmente las deficiencias en los controles tienden a estancarse a mitad de camino, lo que les supone un elevado coste.

Cómo trabajaría con usted

Yo empezaría por realizar una evaluación honesta de su grado de preparación en relación con el nivel de impacto al que aspira —qué controles existen realmente en la actualidad frente a los que se supone que existen— antes de comprometerse con un patrocinador o un evaluador. A partir de ahí, se trata de elaborar un plan priorizado para subsanar las deficiencias reales, elaborar el Plan de Seguridad del Sistema y la documentación de apoyo en función de su arquitectura real, y prepararse para la evaluación de tal forma que no se desmorone ante las preguntas del evaluador.

Si FedRAMP forma parte de su plan de acción y desea obtener una visión realista de lo que realmente supone desde su situación actual, contacte conmigo.