FedRAMP 101: ¿Qué es la autorización FedRAMP y por qué es importante para las agencias federales?

A medida que el panorama de las criptomonedas se vuelve cada vez más complejo, las agencias gubernamentales necesitan información en la que puedan confiar para desbaratar a los actores de amenazas que aprovechan las criptomonedas para llevar a cabo actividades ilícitas y blanquear ingresos. Entre: Inteligencia en Blockchain.

Inteligencia en Blockchain mejora los datos brutos de blockchain con inteligencia sobre amenazas que vincula la actividad en la cadena con entidades del mundo real, lo que proporciona a las agencias federales -incluidas las fuerzas de seguridad, defensa, seguridad nacional, civiles y organismos reguladores- visibilidad de los flujos financieros en tiempo real de las redes financieras de sus respectivos objetivos, que cada vez se alejan más de las divisas tradicionales hacia las criptomonedas. En 2023, el ecosistema ilícito de criptomonedas se valoró en 34.800 millones de dólares.

Hay una serie de consideraciones a tener en cuenta a la hora de elegir la plataformaInteligencia en Blockchain adecuada para apoyar la misión de su agencia. Para las agencias gubernamentales, la seguridad, el cumplimiento y la confianza encabezan la lista. Y la Inteligencia en Blockchain Blockchain también es una misión crítica para estos equipos, ya que proporciona la información necesaria para rastrear e interrumpir actividades maliciosas en la cadena de bloques que podrían desestabilizar comunidades, economías y países. 

En 2021, la Casa Blanca aprobó la Orden Ejecutiva 14028 (OE 14028), que establece mandatos para mejorar la ciberseguridad en los Estados Unidos, incluidas las medidas que deben tomar las agencias para proteger sus datos de misión crítica. Para las organizaciones que proporcionan datos de misión crítica a estas agencias federales -incluyendo TRM Inteligencia en Blockchain Platform-una señal clave que demuestra el cumplimiento de la EO 14028 y el compromiso de construir las soluciones más seguras posibles es la obtención de la autorización FedRAMP.

Cómo ayuda FedRAMP a las agencias gubernamentales

La autorización del Programa Federal de Gestión de Riesgos y Autorizaciones (FedRAMP® ) es un programa de todo el gobierno estadounidense que estandariza el enfoque del gobierno federal para la evaluación de la seguridad, la autorización y la supervisión continua de los productos y servicios de software y en la nube. FedRAMP ayuda a las agencias gubernamentales de tres maneras clave:

Normalización de la seguridad

El marco FedRAMP proporciona a todas las organizaciones gubernamentales un planteamiento normalizado a seguir a la hora de evaluar los protocolos de seguridad de las herramientas informáticas, determinar su viabilidad como proveedores (que tendrán que manejar datos e información muy delicados) y supervisar continuamente su rendimiento y fiabilidad.

Racionalización de los procesos

FedRAMP ayuda a reducir la duplicación de esfuerzos en los organismos federales al permitir que una única evaluación de seguridad sea utilizada por varios organismos. De este modo, diferentes organismos públicos pueden confiar en el mismo software y utilizarlo en sus respectivas agencias, sin tener que investigar y conseguir que el proveedor aparezca varias veces en la lista de proveedores aprobados.

Aumentar la seguridad

La autorización FedRAMP es una forma cuantificable de garantizar que el software utilizado por las agencias federales cumple rigurosos requisitos de seguridad. Y como las organizaciones tienen que supervisar y demostrar continuamente su cumplimiento de los requisitos de seguridad de FedRAMP, las agencias federales saben que pueden confiar su inteligencia de misión crítica a entidades autorizadas por FedRAMP.

Componentes clave del proceso de autorización FedRAMP

El camino para obtener la autorización FedRAMP puede llevar muchos meses -incluso años- dependiendo de la complejidad del producto o servicio en cuestión. Pero, en general, hay tres etapas en el proceso de autorización.

Paso 1: Evaluación de la seguridad

Los proveedores o vendedores de software se someten a una exhaustiva evaluación de seguridad realizada por una organización de evaluación externa acreditada. Esta evaluación valora los controles y prácticas de seguridad del proveedor basándose en los rigurosos requisitos de FedRAMP.

Paso 2: Autorización

Una vez completada la evaluación de seguridad, el proveedor presenta los resultados a la Oficina de Gestión del Programa FedRAMP. Si el servicio cumple todos los requisitos necesarios, recibe uno de estos tres tipos de autorización de una agencia federal o de la Junta de Autorización Conjunta (JAB) de FedRAMP:

Preparado para FedRAMP

Indica que el proveedor está preparado para someterse al proceso de autorización de FedRAMP. Se trata de un estado preliminar que demuestra que el proveedor ha cumplido los requisitos básicos, pero aún no está totalmente autorizado.

Autorizado por FedRAMP

Indica que el proveedor ha superado con éxito el proceso de autorización FedRAMP y cumple todos los controles de seguridad exigidos. Las organizaciones que obtienen con éxito la autorización FedRAMP reciben una "Autoridad para operar" (ATO) de la agencia con la que trabajan, que establece formalmente que pueden prestar sus servicios a todas las agencias gubernamentales. 

Existen tres niveles principales de autorización de seguridad FedRAMP basados en el nivel de sensibilidad e impacto de los datos que manejará el proveedor, cada uno con distintos requisitos e implicaciones de seguridad: Moderado y Alto.

• FedRAMP Low es el nivel más bajo de categorización de seguridad dentro del marco FedRAMP. Está diseñado para proveedores que prestan servicios para los cuales el riesgo para las operaciones de la organización, los activos o los individuos es bajo, y donde el impacto potencial del acceso no autorizado o la interrupción es limitado. Este nivel de autorización suele concederse a los sistemas que manejan datos designados como de "bajo impacto", según las normas federales de seguridad de la información.
• FedRAMP Moderado está diseñado para proveedores que manejan datos con niveles de impacto moderados, por ejemplo, plataformas que procesan, almacenan o transmiten información que podría tener un efecto adverso moderado en las operaciones, activos o individuos de una agencia si se viera comprometida. Este nivel de autorización es adecuado para software que trata información no pública, como datos sensibles (pero no clasificados). Muchos organismos federales utilizan controles de nivel moderado para una serie de aplicaciones.
• FedRAMP High está destinado a proveedores que manejan datos con un nivel de impacto alto, en otras palabras, software y plataformas que procesan, almacenan o transmiten información que podría tener un efecto adverso grave o catastrófico en las operaciones, activos o individuos de una agencia si se viera comprometida. Este nivel de autorización está diseñado para sistemas que manejan datos sensibles, como información personal identificable (IPI), historiales médicos u otros tipos de información privada.

Autorización FedRAMP JAB

Una autorización especial otorgada por la Junta de Autorización Conjunta (JAB) de FedRAMP, que incluye a representantes de agencias federales como la Administración de Servicios Generales (GSA), el Departamento de Defensa (DoD) y el Departamento de Seguridad Nacional (DHS). Conseguir la autorización FedRAMP JAB es un proceso extremadamente riguroso e implica un nivel muy alto de escrutinio.

Paso 3: Control continuo

Una vez autorizados, los proveedores deben seguir "ganándose" su autorización garantizando que sus productos y servicios siguen cumpliendo los requisitos de conformidad de FedRAMP, mucho después de recibir la autorización inicial. Esto incluye actualizaciones periódicas de seguridad, evaluaciones de vulnerabilidades y notificación de incidentes.

El camino de TRM hacia la autorización FedRAMP

TRM Labs ha invertido en un entorno seguro compatible con FedRAMP para garantizar su cumplimiento con la OE 14028. Actualmente nos estamos sometiendo a la evaluación de seguridad 3PAO y esperamos la autorización inminente para FedRAMP Moderado-marcando un hito crítico en nuestro viaje hacia el logro de la plena autorización FedRAMP Alta a finales de este año.

Este paso para conseguir la autorización FedRAMP High subraya nuestro compromiso de cumplir las estrictas normas federales de seguridad y conformidad, lo que nos permite prestar un mejor servicio a nuestros clientes federales, preparar nuestra plataforma para las necesidades en constante evolución de los organismos de defensa, aplicación de la ley, civiles y de seguridad nacional, y ofrecer las soluciones más seguras y fiables de las que pueden depender los clientes del gobierno de EE.UU. para sus operaciones de misión crítica. De conformidad con la OE 14028, nuestra autorización también permitirá a nuestros clientes y usuarios federales:

• Acceda a Inteligencia en Blockchain de misión crítica en un entorno de nube seguro y conforme a las normas
• Apoyar el cumplimiento de la OE 14028 por parte de los organismos mejorando la ciberseguridad de su cadena de suministro de software.
• Mantener el TRM conforme a los requisitos de la ATO, eliminando las exenciones para reducir el tiempo de reautorización, el riesgo y el esfuerzo.

Para obtener más información sobre el camino recorrido por TRM para obtener la autorización FedRAMP, consulte este comunicado de prensa.