El cumplimiento continuo de FedRAMP es el proceso automatizado y continuo de demostrar a los reguladores que un proveedor de servicios en la nube (CSP) cumple con FedRAMP, los requisitos estandarizados de seguridad en la nube del gobierno de EE. UU.
Una vez que una organización obtiene su autorización inicial del FedRAMP (o Programa federal de gestión de riesgos y autorizaciones), debe mantener un monitoreo continuo de la seguridad, la gestión de vulnerabilidades y el control de cambios, al tiempo que proporciona al gobierno evaluaciones anuales, informes de incidentes y resultados de análisis. Esto a menudo se rige por una oficina interna de gestión de proyectos (o PMO) de FedRAMP. No cumplir con los requisitos de FedRAMP puede tener como consecuencia la pérdida de autorización y la consiguiente cancelación de contratos con agencias.
En marzo de 2025, la Administración de Servicios Generales (GSA) lanzó FedRAMP 20x, una nueva ruta de autorización diseñada para acelerar el proceso de informes de FedRAMP. El proceso anterior, que finalmente se eliminará gradualmente a favor de FedRAMP 20x, se conoce como FedRAMP Rev5. Si bien FedRAMP dejará de aceptar aplicaciones para nuevas certificaciones Rev5 el 11 de junio de 2027, FedRAMP continúa apoyando Rev5 mientras incorpora gradualmente las prácticas de FedRAMP 20x.
El cumplimiento continuo de FedRAMP difiere de la práctica general de cumplimiento continuo no solo en su aplicación más específica, sino también en las exigencias del cumplimiento de FedRAMP — incluyendo un mayor énfasis en el control de cambios mediante el registro y la evaluación de seguridad de cada cambio en el sistema, los requisitos específicos de reportes impuestos desde arriba (en lugar de ser determinados por la organización para satisfacer las necesidades del negocio) y el mayor número de stakeholder externos involucradas, entre otros factores.
Algunos de los elementos más cruciales de la soberanía digital de una organización, la capacidad de mantener y demostrar control y autoridad sobre sus sistemas tecnológicos y ecosistemas, datos, operaciones e inteligencia artificial (IA )— están alineados con la práctica del cumplimiento continuo de FedRAMP. Especialmente a través de FedRAMP 20x, el cumplimiento continuo de FedRAMP ayuda a habilitar la soberanía al proporcionar visibilidad continua de cómo funcionan los sistemas en la nube.
Manténgase al día sobre las tendencias más importantes e intrigantes de la industria sobre IA, automatización, datos y más con el boletín Think. Consulte la Declaración de privacidad de IBM.
El cumplimiento de FedRAMP bajo el modelo de autorización heredado Rev5 establece que los CSP trabajen con una PMO federal de FedRAMP para:
- Implementar controles de seguridad específicos.
- Aprobar una evaluación independiente realizada por una organización de evaluación externa (3PAO)
- Obtener una autorización para operar (ATO)
- Monitorear continuamente los sistemas para garantizar el cumplimiento
Las ofertas de servicios en la nube pueden aparecer en el mercado de FedRAMP en etapas definidas antes de completar este proceso, dependiendo de la certificación de FedRAMP aplicable para su nivel de riesgo.
Los controles de seguridad requeridos por FedRAMP se basan en el NIST SP 800-53, que establece controles para las siguientes categorías, entre otras:
- Planes de respuesta a incidentes y recopilación de pruebas
- Postura de Physical Security
- Análisis y gestión de vulnerabilidades
- Registro de auditoría
- Control de acceso
- Identidad y autenticación
- Cifrado
Según el modelo Rev5, los requisitos de FedRAMP varían según el nivel de impacto autorizado de la oferta. Estas evaluaciones de riesgo se clasifican como bajas, moderadas o altas según el efecto potencial de una pérdida de confidencialidad, integridad o disponibilidad. Además, Li-SaaS es una base de bajo impacto para calificar ofertas de SaaS que presentan funcionalidad limitada y sensibilidad de datos (como la inclusión de información de identificación personal, o PII). FedRAMP 20x utiliza las clases de certificación A a D (aunque D aún no está disponible), que no son equivalentes a los niveles de impacto Rev5.
La mayoría de las evaluaciones de FedRAMP Rev5 son realizadas por una organización de evaluación de terceros reconocida por FedRAMP, o 3PAO. Estas evaluaciones evalúan si se establecen los controles de seguridad requeridos, si funcionan de manera efectiva y si el riesgo se gestiona adecuadamente.
La organización primero establece un Plan de seguridad del sistema (SSP) que describe el entorno de TI, y luego el 3PAO desarrolla un Plan de evaluación del sistema (SAP) sobre cómo probarán la idoneidad del entorno que luego se registra en un Informe de evaluación de seguridad (SAR ) que resume los hallazgos basados en los cuales el gobierno tomará una decisión sobre si otorgar una ATO.
Para obtener una autorización para operar (ATO), una organización debe corregir cualquier problema descubierto durante la evaluación de 3PAO y enviar un paquete a los reguladores que incluya:
- El SSP y los documentos de respaldo
- El SAP
- El SAR
- Hallazgos sobre vulnerabilidades
- Su Plan de acción e hitos (POA&M), un registro de vulnerabilidades conocidas y corrección planificada
- Los pasos de corrección ya realizados por el proveedor
- Riesgos residuales conocidos
En la ruta de autorización de la agencia Rev5, un funcionario autorizador hace comentarios del paquete y decide si acepta el riesgo residual y emite una ATO. Bajo FedRAMP 20x, FedRAMP emite la certificación mientras las agencias continúan tomando sus propias decisiones de autorización respecto al uso del servicio en la nube.
Una vez que se emite una ATO, las organizaciones deben validar continuamente su ATO cumpliendo con los requisitos de monitoreo continuo.
El Manual de procedimientos de monitoreo continuo de FedRAMP describe tres procesos principales para el monitoreo:
- Visibilidad operativa, o la capacidad de producir registros e informes que demuestren el cumplimiento
- Control de cambios, o un proceso establecido para mantener el cumplimiento en medio de cambios en el sistema
- Respuesta a incidentes, o “la capacidad de responder adecuadamente a incidentes de seguridad y directivas de emergencia”.
En consonancia con su énfasis en el cumplimiento continuo y simplificado, FedRAMP 20x se centra ahora en lo siguiente:
- validación automatizada
- evidencia reproducible o “viva”
- informes legibles por máquina
- medición continua
El cumplimiento continuo, o la práctica de monitorear de forma continua y automática los sistemas para comprobar el cumplimiento en lugar de realizar auditorías periódicas, respalda los requisitos del programa de monitoreo continuo de FedRAMP.
El cumplimiento continuo de FedRAMP funciona automatizando los procesos de:
- Monitoreo y análisis del sistema
- Presentación de informes a agencias federales
- Establecimiento del control de cambios
- Evaluación y actualización del paquete de autorización
El cumplimiento continuo respalda a ConMon al automatizar los procesos de monitoreo y análisis que producen evidencia de cumplimiento.
El análisis de vulnerabilidades es un elemento central de ConMon que se puede automatizar en gran medida como parte de una práctica de cumplimiento continuo.
En el contexto de FedRAMP, el análisis de vulnerabilidades implica:
- Análisis de sistemas operativos, bases de datos, aplicaciones web, infraestructura, imágenes de contenedores y otros componentes
- Validación de los resultados y evaluarlos en cuanto a riesgo y gravedad
- Asignación de la responsabilidad de la corrección y el seguimiento y verificar su finalización
- Compilación y presentación de informes sobre todo lo anterior
Igualmente importante para el análisis de vulnerabilidades es la práctica de mantener la observabilidad, o la capacidad de analizar el funcionamiento de un sistema evaluando sus resultados.
Este proceso, que se puede optimizar mediante la automatización, incluye la recopilación de registros, métricas, seguimientos y otras pruebas sobre:
- Gestión de la configuración del sistema y la red
- Vulnerabilidades
- Eventos de seguridad
- Usuario y acceso privilegiado
- Operaciones de control
- Cambios en el entorno
- Hallazgos abiertos y estado de corrección
ConMon establece la gestión de la configuración, lo que requiere el seguimiento de la desviación de la configuración, cuando una red, aplicación, dispositivo u otro sistema de TI se aleja gradual e involuntariamente de su configuración de referencia prevista.
Este proceso puede automatizarse en gran medida como parte de una práctica de cumplimiento continuo, incluido el seguimiento:
- Cambios de configuración de emergencia
- Modificaciones manuales
- La creación de nuevos recursos en la nube
- Dependencias de servicio sin seguimiento
- Cambios en las reglas de la red
- Nuevas cuentas privilegiadas
- Actualizaciones de software
- Cambios en el cifrado o el registro
- Expansión hacia nuevas regiones operativas
Los CSP pueden establecer una práctica de cumplimiento continuo para informar a los funcionarios de autorización de FedRAMP mediante el uso de la automatización para identificar posibles actualizaciones del POA&M y automatizar la creación de entregables.
El Plan de acción e hitos es un registro de las debilidades conocidas y sus planes de corrección. El POA&M debe describir:
- Cuál es la debilidad
- Qué sistemas se ven afectados
- El riesgo o la gravedad de la debilidad
- El plan de corrección y su estado
- Quién es responsable de la corrección
- Cualquier factor atenuante y dependencias
El proceso ConMon alimenta información al POA&M de forma autónoma, y luego los servicios y prácticas automatizados pueden desencadenar flujos de trabajo de corrección.
Con Rev5, la automatización puede ayudar a producir entregables recurrentes, como resultados de análisis de vulnerabilidades, actualizaciones de POA&M, cambios de inventario y estado de corrección. Por debajo de 20 veces, la automatización también admite datos de certificación legibles por máquina, informes de certificación continuos y evidencia de validación mantenida continuamente.
El control de cambios es un elemento crucial de ConMon que requiere que los CSP realicen un seguimiento de los cambios que se realizan, por qué se realizan y si los cambios se realizan de conformidad con los requisitos de FedRAMP, todo lo cual puede respaldarse con prácticas de cumplimiento continuo.
Los elementos centrales del cumplimiento automatizado que admiten el control de cambios son:
- Visibilidad, o proporcionar información básica sobre qué cambios se realizaron y por qué
- Análisis de riesgoso evidencia del riesgo potencial que representa un cambio
- Gobernanza, o asegurar que los cambios se clasifiquen correctamente y se lleven a cabo de acuerdo con los requisitos de FedRAMP
- Validación, o garantizar que el cambio realizado sea estable, seguro y autorizado
- Garantía, o evidencia de las prácticas anteriores
Según los modelos actuales de Autorización de Agencia Rev5 y la Junta de Autorización Conjunta (JAB), los CSP se someten a evaluaciones anuales que pueden incluir:
- Desarrollo del cronograma de evaluación
- Revisión y actualización de la documentación.
- Realización de pruebas de respuesta a incidentes y planes de contingencia.
- Definición del alcance de la evaluación
- Desarrollo de SAP
- Informar a los clientes de la agencia sobre el plan
- Realización de la evaluación de seguridad y redacción del SAR
- Completar o actualizar el POA&M
Además, cuando un CSP atiende a más de una agencia federal, debe desarrollar una estrategia colaborativa de ConMon que identifique los requisitos específicos de la agencia y establezca un proceso optimizado para generar informes para cada agencia.
FedRAMP 20x incorpora muchos principios de cumplimiento continuo, lo que significa que enfatiza diferentes medios de monitoreo y control en comparación con el proceso de autorización heredado/existente de FedRAMP.
Estos canales incluyen:
- Indicadores clave de seguridad (KSI), o resultados de seguridad definidos y medidos (en lugar de medir los controles implementados)
- Evidencia legible por máquina, incluidas demostraciones en vivo, resultados legibles por máquina y tendencias históricas sobre el entorno de seguridad
- Evaluación del propio sistema de medición y validación, incluyendo información sobre los recursos y datos incluidos en su alcance, el proceso de recopilación de datos y las medidas cuando falla la validación
- Validación persistente en lugar de depender de instantáneas de informes
El cumplimiento continuo de FedRAMP es la aplicación específica de los principios de cumplimiento continuo a la autorización de FedRAMP y, por lo tanto, tiene varios elementos clave que lo diferencian de la práctica habitual.
Para las ofertas de Rev5, el monitoreo continuo respalda las decisiones de la agencia sobre el mantenimiento de una ATO. Para las ofertas de 20x, la evidencia persistente y los informes continuos respaldan la certificación continua de FedRAMP y las decisiones de riesgo de la agencia. Si bien el cumplimiento continuo tradicional a menudo puede estar destinado a ayudar a una organización a mantener la preparación general para las auditorías, el cumplimiento continuo de FedRAMP tiene objetivos específicos que están vinculados a su ATO.
En comparación con los modelos de auditoría puntuales, FedRAMP Rev5 pone un énfasis sustancial en los informes recurrentes de vulnerabilidades, la gestión de cambios, la evaluación independiente anual y la supervisión continua de la agencia.
También une un ecosistema más amplio de stakeholders, incluyendo:
- Proveedores de servicios en la nube que intentan obtener o mantener su ATO
- Agencias federales que contratan con esos CSP
- Funcionarios autorizadores del gobierno federal
- Organizaciones de evaluación de terceros, o 3PAOs
FedRAMP 20x alinea el programa más estrechamente con el cumplimiento continuo al enfatizar la recopilación automatizada de evidencia, los datos legibles por máquina, el monitoreo persistente y la integración con las prácticas de DevSecOps.
El énfasis de FedRAMP 20x en la monitorización continua, la evidencia automatizada y la validación continua puede apoyar los objetivos empresariales relacionados con la soberanía digital, la capacidad de retener y demostrar control y autoridad sobre sus sistemas y ecosistemas de Tecnología, datos, operaciones e inteligencia artificial (IA).
La visibilidad continua habilitada por las prácticas de cumplimiento continuo puede ayudar a los CSP a verificar que están operando con regiones de alojamiento aprobadas, estándares de entorno de nube, configuraciones de infraestructura y dependencias de servicio. El monitoreo también valida restricciones administrativas de acceso, controles de acceso privilegiados, políticas de separación de funciones y modelos de cifrado, todos cruciales para cumplir los objetivos de soberanía sobre quién puede acceder a datos sensibles.
El monitoreo continuo también detecta más rápidamente incumplimientos que podrían conllevar multas costosas bajo regímenes regulatorios no relacionados. La orientación de FedRAMP 20x hacia la medición, validación y evidencia continuas respalda los objetivos de soberanía con respecto a los controles, el monitoreo, el cumplimiento automatizado, la evidencia legible por máquina y la atestación en tiempo real.
Software soberano diseñado específicamente que empodera a empresas, gobiernos y proveedores de servicios para crear, desplegar y gestionar entornos seguros y preparados para la IA.
| Manténgase al día con la evolución de las regulaciones de privacidad. IBM ayuda a las organizaciones a proteger los datos confidenciales, fortalecer el cumplimiento y reducir el riesgo con un enfoque unificado de gobernanza y seguridad. |
| A medida que evolucionan las regulaciones de la IA, las organizaciones necesitan una gobernanza más sólida. IBM ayuda a establecer controles, gestionar riesgos y apoyar el despliegue de IA a escala. |