Guía de requisitos de seguridad para la informática en la nube del Departamento de Defensa

Información general

• ¿Cómo puedo revisar la documentación y la orientación sobre seguridad de AWS?

  Nuestros clientes y distribuidores que trabajan para el DoD pueden utilizar nuestras autorizaciones del FedRAMP y el DoD para acelerar sus actividades de certificación y acreditación. A los fines de respaldar la autorización de sistemas militares hospedados en AWS, suministramos al personal de seguridad del DoD documentación para que pueda verificar la conformidad de AWS con los controles de NIST 800-53 (revisión 4) correspondientes y la SRG para la informática en la nube del DoD (versión 1, edición 3).

  Proveemos a los clientes que trabajan para el DoD un paquete con documentación y directrices de seguridad sobre conformidad y seguridad para usar AWS como una solución de hospedaje para el DoD. En concreto, proporcionamos una plantilla SSP del FedRAMP de AWS basada en NIST 800-53 (Rev. 4) que viene previamente completada con la referencia de control del FedRAMP y el DoD. AWS completa previamente los controles heredados en la plantilla, mientras que los controles compartidos son responsabilidad de AWS como del cliente. Por último, algunos controles son responsabilidad absoluta del cliente.

  Las organizaciones militares o los contratistas de negocios con DoD pueden solicitar el acceso a la documentación de seguridad de AWS al contactar a su gerente de cuentas de AWS o enviar el formulario en conformidad con AWS para ponerse en contacto con nosotros. Los clientes no gubernamentales, como los socios de AWS, pueden descargar el paquete de seguridad del FedRAMP para AWS para socios mediante AWS Artifact.

• ¿Qué beneficios tiene migrar a AWS?

  Creemos que, para los clientes que trabajan para el gobierno, la migración a la nube es una oportunidad para mejorar su nivel de control de seguridad y reducir el riesgo operativo. El entorno operativo de AWS le permite alcanzar un nivel de seguridad y conformidad que solo es posible en un entorno respaldado por niveles elevados de automatización. En vez de los centros de datos tradicionales que realizan auditorías de un momento dado e inventarios periódicos, los clientes de AWS tienen la posibilidad de realizar auditorías de manera continua. Tener este grado de visibilidad del entorno mejora el control de los datos y aumenta la capacidad para garantizar que solo los usuarios autorizados tengan acceso.

  Por ejemplo, los responsables de misiones del DoD pueden beneficiarse de mayores niveles de control sobre las aplicaciones a través del cumplimiento mediante programación de las orientaciones de seguridad y conformidad del DoD. AWS le permite crear plantillas aprobadas previamente para casos de uso comunes de aplicaciones, con lo que se reduce el tiempo que se tarda en autorizar aplicaciones nuevas. Estas plantillas pueden ayudar a asegurar que los propietarios de aplicaciones no cambien ajustes de seguridad cruciales, como los grupos de seguridad y ACL de red, además de imponer el uso de imágenes de máquinas reforzadas mediante las STIG. El cumplimiento mediante programación de las orientaciones de seguridad del DoD reduce los procesos de configuración manuales, lo que puede disminuir el número de configuraciones inadecuadas y el nivel de riesgo general para el DoD.
  

• ¿De qué manera un responsable de misión puede lograr una autorización para operar (ATO)?

  Como responsable de misión del DoD, debe crear un paquete de autorización que defina por completo su implementación de los controles de seguridad correspondientes a su aplicación. Al igual que con cualquier paquete de autorización tradicional, debe documentar su referencia de control de seguridad con un plan de seguridad del sistema. Además, el plan y su implementación deberán ser inspeccionados por personal de certificación pertinente de su organización del DoD. Como parte de esta inspección, el personal de certificación o el oficial de autorización podría revisar el paquete de autorización de AWS para obtener un panorama integral de la implementación del control de seguridad de principio a fin. Tras inspeccionar su paquete de autorización de seguridad y los paquetes de autorización de seguridad de AWS, el oficial de autorización tendrá la información necesaria para decidir si concede la acreditación a la aplicación y otorga una ATO.

  Si desea obtener más información sobre la responsabilidad de los propietarios de aplicaciones que trabajan para el DoD en AWS, consulte el documento técnico Implementaciones en conformidad con DoD en la nube de AWS.
  

• ¿Por qué es importante la SRG para la informática en la nube del DoD?

  La SRG para la informática en la nube del DoD respalda el objetivo general del Gobierno Federal de EE.UU. de aumentar su nivel de uso de la informática en la nube y ofrece un mecanismo para que el DoD apoye este objetivo. El 8 de febrero de 2011, la Oficina de Administración y Presupuestos (OMB) presentó la Estrategia federal de cloud computing, que establecía que todas las agencias federales debían adoptar tecnologías en la nube. A esta estrategia la sucedió un requisito federal publicado en diciembre de 2011 que establecía el Programa de Administración de Autorizaciones y Riesgos Federales (FedRAMP). El FedRAMP es obligatorio para las implementaciones y los modelos de servicio en la nube de la agencia federal a niveles de impacto de riesgo bajos, moderados y elevados.

  En julio de 2012, el DoD publicó su Estrategia para la informática en la nube a través del director de información (CIO) de la institución. Mediante esta estrategia, se estableció el Joint Information Environment (Entorno conjunto de información, JIE) y el DoD Enterprise Cloud Environment (Entorno empresarial en la nube del DoD): "La DoD Cloud Computing Strategy (Estrategia para la informática en la nube del DoD) consiste en transformar el estado actual del departamento (que cuenta con silos de aplicaciones duplicados, complejos y costosos) para lograr un entorno de servicios ágil, seguro y rentable que pueda responder con rapidez a las necesidades cambiantes. El director de información (CIO) del DoD está decidido a acelerar la adopción de la informática en la nube en el departamento...".

  La SRG para la informática en la nube del DoD utiliza el programa FedRAMP como mecanismo para establecer un enfoque estandarizado para la evaluación de proveedores de servicios en la nube (CSP) por parte del DoD.
  

• ¿Los servicios en la nube de AWS cumplen los requisitos del DoD?

  Sí, AWS se ha sometido a una evaluación y ha recibido la autorización pertinente como proveedor de servicios en la nube para las regiones EE.UU. Este y EE.UU. Oeste con el nivel de impacto 2, AWS GovCloud (EE.UU.) con los niveles de impacto 4 y 5, y la región secreta de AWS con el nivel de impacto 6.

  • En el nivel de impacto 2, DISA ha evaluado las regiones de AWS en Estados Unidos (este, oeste y AWS GovCloud) y ha emitido dos autorizaciones provisionales tras demostrarse la conformidad con los requisitos del DoD. La conformidad de AWS con los requisitos del DoD se logró mediante el uso de nuestra autorización provisional para operar (P-ATO) existente del Consejo Conjunto de Autorización (JAB) de FedRAMP. Las autorizaciones provisionales permiten a las entidades del DoD evaluar la seguridad de AWS y brindan la oportunidad de almacenar, procesar y mantener diversos datos del DoD en la nube de AWS.
  • En los niveles de impacto 4 y 5, AWS GovCloud (EE.UU.) ha recibido una autorización provisional de DISA que permite a los clientes que trabajan para el DoD implementar aplicaciones de producción con las referencias de control mejoradas correspondientes a estos niveles de la SRG. Los clientes que trabajan para el DoD con proyectos de aplicaciones de nivel de impacto 4 o 5 deben contactar con DISA para comenzar el proceso de aprobación.
  • En el nivel de impacto 6, la región secreta de AWS posee una autorización provisional del DoD para las cargas de trabajo que lleguen, como máximo, a la clasificación de nivel Secreto. Puede conseguir un catálogo de servicios de la región secreta de AWS a través de su ejecutivo de cuentas de AWS.
    

• ¿Qué regiones de AWS engloba?

  Nuestras autorizaciones provisionales abarcan varias regiones de los Estados Unidos continentales, incluidas AWS GovCloud (EE.UU.) (niveles de impacto 2, 4 y 5), las regiones este y oeste de AWS de EE.UU. (nivel de impacto 2), y la región secreta de AWS (nivel de impacto 6).
  

• ¿Qué clasificaciones de los sistemas del DoD pueden colocarse en AWS?

  Las regiones este y oeste de EE.UU. de AWS disponen de una autorización provisional para el nivel de impacto 2, lo que permite a los responsables de misión implementar información pública no clasificada en estas regiones de AWS, con la autorización de AWS y las ATO de la aplicación de la misión. La región AWS GovCloud (EE.UU.) cuenta con una autorización provisional para los niveles de impacto 2, 4 y 5, y permite a los responsables de misión implementar la gama completa de categorías de información controlada y no clasificada cubiertas por estos niveles. La región secreta de AWS posee una autorización provisional para el nivel de impacto 6 y permite las cargas de trabajo que lleguen, como máximo, a la clasificación de secreto.
  

• ¿Qué implica esto para mí como responsable de misión del DoD?

  Nuestras autorizaciones provisionales de nivel de impacto 2 permiten a los clientes que trabajan para el DoD utilizar la infraestructura y los servicios conformes de AWS para implementar cargas de trabajo con datos aptos para su divulgación pública, así como algunos datos privados no clasificados del DoD. Migrar su entorno de TI para el DoD a AWS puede contribuir a superar sus propias deficiencias de conformidad gracias a los servicios y a las características disponibles a través de AWS.

  Nuestras autorizaciones provisionales de nivel de impacto 4 y 5 para AWS GovCloud (EE.UU.) permiten que clientes que trabajan para el DoD puedan implementar sus aplicaciones de producción en AWS GovCloud (EE.UU.). Esta autorización permite a los clientes participar en las actividades de diseño, desarrollo e integración necesarias para cargas de trabajo que deban cumplir con los requisitos de los niveles de impacto 4 y 5 de la SRG para informática en la nube del DoD.

  Nuestra autorización provisional de nivel de impacto 6 para la región secreta de AWS permite a los clientes que trabajan para el DoD usar nuestros servicios para almacenar, procesar o transmitir datos como máximo hasta la clasificación de secreto. Los clientes pueden confiar en nuestra autorización para cubrir todos los requisitos de infraestructura definidos por el nivel de impacto 6, que los ayuda a administrar sus propios asuntos de conformidad y certificación, incluidas las auditorías y la administración de la seguridad.
  

• ¿Cómo afecta la autorización provisional de AWS a la ATO del responsable de la misión?

  Al usar una aplicación en AWS con el modelo de seguridad de responsabilidad compartida, el responsable de misiones del DoD es responsable de un conjunto básico reducido de controles de seguridad. AWS proporciona un entorno de hospedaje seguro con controles de seguridad apropiados para que los responsables de misión implementen sus aplicaciones, pero no los exime de la responsabilidad de implementar, administrar y monitorear sus aplicaciones de acuerdo con los controles de seguridad y las políticas de conformidad del DoD.

  Si desea obtener más información sobre la responsabilidad de los propietarios de aplicaciones que trabajan para el DoD en AWS, consulte el documento técnico Implementaciones en conformidad con DoD en la nube de AWS.
  

• ¿Pueden usarse otros servicios de AWS?

  Sí, los clientes pueden evaluar sus cargas de trabajo para confirmar si son idóneas para otros servicios de AWS. Cada propietario de misión puede evaluar y aceptar el riesgo de cualquiera de nuestros servicios que decida utilizar. Si desea obtener más información sobre las consideraciones de aceptación de riesgos y controles de seguridad, contacte con el área de conformidad de AWS.
  

• ¿La conformidad con el DoD aumentará los precios de los servicios de AWS?

  No, no se incrementará el costo de ningún servicio como resultado de los programas de conformidad de AWS.
  

• Actualmente, ¿alguna otra entidad del DoD utiliza los servicios de AWS?

  Sí, muchas entidades del DoD y organizaciones que ofrecen integración de sistemas y otros productos y servicios al DoD utilizan actualmente la amplia variedad de servicios de AWS. AWS no puede revelar el nombre de muchos de los clientes que han recibido autorizaciones para operar (ATO) del DoD para sistemas basados en AWS, pero colabora regularmente con los clientes y los asesores de estos en la planificación, implementación, certificación y acreditación de sus cargas de trabajo del DoD en AWS.
  

• ¿Las ATO exigen un recorrido físico por el centro de datos del proveedor de servicios?

  No. Los clientes que trabajan para el DoD pueden recurrir al trabajo realizado por las organizaciones de evaluación externas (3PAO) del FedRAMP, que incluye una revisión exhaustiva in situ de la seguridad física de nuestros centros de datos. De acuerdo con la SRG para informática en la nube del DoD, un cliente que trabaja para el DoD puede lograr una autorización para operar (ATO) sin necesidad de realizar un chequeo físico del centro de datos de un proveedor de servicios que ya cuenta con autorizaciones.
  

• ¿Qué servicios de AWS están cubiertos?

  Para obtener una lista completa de los servicios cubiertos, visite la página de los Servicios de AWS en el ámbito del programa de conformidad.