Puntos clave
- AWS GovCloud (US) es un entorno cloud aislado física y lógicamente, operado en suelo estadounidense por ciudadanos estadounidenses verificados, y diseñado para cargas de trabajo sujetas a ITAR, CJIS, FedRAMP y DFARS.
- Los MSP y los departamentos de TI necesitan herramientas de copia de seguridad compatibles con AWS GovCloud, control de acceso basado en IAM, almacenamiento WORM y versionado. Dropsuite, Veeam y Commvault figuran entre las opciones compatibles.
- La soberanía de los datos en GovCloud exige desactivar la replicación de las copias de seguridad hacia destinos ajenos a GovCloud y gestionar el cifrado con claves gestionadas por el cliente (CMK) de AWS KMS.
- Automatizar la programación de las copias de seguridad, las políticas de retención y la inmutabilidad con herramientas como S3 Object Lock reduce el riesgo de incumplimiento que generan los procesos manuales.
- Demostrar el cumplimiento ante los auditores gubernamentales depende del registro con CloudTrail, la autenticación multifactor y los roles de IAM limitados según el principio del mínimo privilegio.
Los departamentos de TI y los MSP que trabajan con agencias y contratistas del Gobierno de EE. UU. deben cumplir requisitos de seguridad estrictos sobre dónde y cómo se almacenan los datos, así como sobre quién participa en el proceso de alojarlos y gestionarlos. AWS GovCloud (US) responde a esa necesidad con dos regiones soberanas y aisladas, operadas en suelo estadounidense por ciudadanos estadounidenses verificados.
En este artículo verás cómo proteger tus copias de seguridad y recuperación con AWS GovCloud cuando trabajas con datos o clientes sujetos a normativas como ITAR, CJIS, FedRAMP y DFARS. Abordamos la planificación de la infraestructura, los requisitos de cumplimiento, las herramientas recomendadas y las mejores prácticas operativas para dar soporte a cargas de trabajo del sector público y de defensa de EE. UU.
¿Qué es AWS GovCloud (US) y en qué se diferencia del cloud comercial?
AWS GovCloud (US) está formado por dos regiones de AWS aisladas (centros de datos en una ubicación geográfica física) atendidas únicamente por ciudadanos estadounidenses. Esto te permite usar la infraestructura cloud ubicada en esta región para procesar y almacenar datos sensibles sujetos a requisitos especiales para la información del Gobierno de EE. UU.
Ahí está la diferencia con otras ofertas de cloud público comercial, que pueden estar atendidas por personal no estadounidense, ubicarse fuera de Estados Unidos o no estar aisladas física y lógicamente de otra infraestructura que no cumple los mismos estándares de seguridad.
Estas son las principales características que ofrece AWS GovCloud (US):
- Infraestructura aislada física y lógicamente
- Controlada y atendida por ciudadanos estadounidenses en suelo estadounidense
- Soporte para normativas del Gobierno de EE. UU. que protegen datos sensibles, como FedRAMP High, ITAR, CJIS y DoD SRG IL4 y DoD SRG IL5
- Compatibilidad con AWS EC2, S3, RDS, Lambda e integraciones de copia de seguridad
Para usar estos servicios hay que cumplir los requisitos de elegibilidad: los contratistas federales, los subcontratistas del DoD, las agencias estatales y locales que necesiten cumplir con CJIS y otros contratistas, proveedores de servicios cloud (CSP) o proveedores de servicios gestionados (MSP) que trabajen con agencias federales, estatales, locales, tribales o de defensa de EE. UU. deben validar su elegibilidad a través de AWS y demostrar su alcance de cumplimiento y la verificación de sus usuarios.
Alineación con los requisitos de cumplimiento y seguridad
AWS GovCloud (US) admite explícitamente los siguientes marcos de cumplimiento. Conviene señalar que, al diseñar tus políticas de copia de seguridad, lo mejor es alinearlas con los requisitos concretos de cada agencia y documentar todas las medidas de cumplimiento y las salvaguardas técnicas.
| Marco de cumplimiento | Soporte en AWS GovCloud (US) |
| FedRAMP High | Compatible (ATO de ámbito gubernamental) |
| ITAR | Totalmente conforme con las restricciones de control de exportaciones si se configura correctamente |
| CJIS | Cumple las políticas de seguridad de justicia penal del FBI |
| DFARS/NIST 800-171 | Permite a los contratistas del DoD cumplir la normativa con una implementación cuidadosa |
| DoD SRG IL4/DoD SRG IL5 | Compatible con una configuración adecuada de las cargas de trabajo |
| CMMC 2.0 | La autoevaluación de la fase 1 está en vigor; la certificación por terceros de la fase 2 está suspendida a la espera de la revisión del DoD (a julio de 2026). Las obligaciones subyacentes de NIST 800-171/DFARS siguen vigentes |
Nota: la situación de CMMC 2.0 está cambiando. Los requisitos de autoevaluación de la fase 1 entraron en vigor el 10 de noviembre de 2025 y siguen aplicándose, pero en julio de 2026 el Departamento de Guerra suspendió el requisito de la fase 2 que habría obligado a obtener la certificación de un tercero (C3PAO) a partir de ese mes de noviembre.
Actualmente hay en marcha una revisión liderada por el departamento para recomendar un marco revisado. La obligación de fondo de proteger la información de defensa cubierta según DFARS 252.204-7012 y NIST SP 800-171 no ha cambiado, así que las organizaciones deben seguir desarrollando prácticas de copia de seguridad preparadas para CMMC aunque el calendario de certificación siga sin definirse.
Cómo crear una estrategia de copia de seguridad para MSP en GovCloud
Antes de diseñar e implementar una solución de copia de seguridad basada en AWS GovCloud, asegúrate de entender bien la clasificación de los datos de tu cliente (por ejemplo, CUI, ITAR, FCI o información clasificada IL4–IL6) y qué normativas le aplican. A partir de ahí, podrás construir tu solución de copia de seguridad para cumplir esos requisitos.
Aunque GovCloud aporta una infraestructura que te ayuda a cumplir los requisitos y las leyes de seguridad del Gobierno de EE. UU., es fundamental que consultes con expertos legales y técnicos familiarizados con este ámbito durante todo el proceso de planificación e implementación. Un buen primer paso es contactar con los proveedores de cada producto, ya que conocen cómo cumplen sus productos con la normativa y tienen experiencia incorporando a otros clientes con requisitos similares.
Paso 1: elige una herramienta de copia de seguridad compatible
Las herramientas de copia de seguridad que utilices deben ser compatibles con el almacenamiento alojado en AWS GovCloud y con la gestión de identidades y accesos (IAM) para el control de acceso. Además, los productos deben admitir almacenamiento WORM (write once, read many; es decir, los datos no se pueden modificar una vez escritos) y versionado para cumplir la normativa.
Entre las soluciones de copia de seguridad que admiten la integración con AWS GovCloud (US) están Dropsuite (una empresa de NinjaOne), Veeam y Commvault.
Paso 2: configura los ajustes de soberanía de los datos
Para garantizar la soberanía de los datos, toda la información debe permanecer dentro de Estados Unidos y no salir de la región de AWS GovCloud. Para que esto funcione, hay que desactivar la replicación de datos en todas las herramientas de copia de seguridad hacia cualquier destino ajeno a GovCloud.
El cifrado también es obligatorio. La gestión de las claves de cifrado puede realizarse con AWS KMS mediante claves gestionadas por el cliente (CMK) desde dentro de GovCloud.
Paso 3: automatiza las políticas de copia de seguridad y retención
La automatización evita que el error humano afecte al cumplimiento. Programa las copias de seguridad en función de tus objetivos de tiempo de recuperación (RTO) y objetivos de punto de recuperación (RPO) y aplica políticas de ciclo de vida. El almacenamiento por niveles (por ejemplo, S3 Standard y S3 Glacier) te permite conseguir copias de seguridad rentables y conformes con la normativa.
Evalúa e implementa las funciones de almacenamiento de AWS que facilitan el cumplimiento, como S3 Object Lock para crear copias de seguridad inmutables y el versionado para generar copias históricas que aprovechan mejor el almacenamiento.
Paso 4: audita los registros y protege el acceso
Debes poder demostrar el cumplimiento cuando lo solicite un organismo público. Configura CloudTrail dentro de tu región de AWS GovCloud para el seguimiento de cambios, de modo que quede registrada toda la actividad relevante de usuarios y API.
Conviene implementar la autenticación multifactor (MFA) para todos los administradores (e idealmente para todos los usuarios), y limitar los roles de IAM únicamente a las tareas que cada usuario o servicio necesita realizar, siguiendo el principio del mínimo privilegio.
Integración con Microsoft GCC High
Si utilizas Microsoft 365 GCC High, un servicio cloud similar dirigido a los contratistas del Gobierno de EE. UU., debes hacer una copia de seguridad de los datos almacenados en él en un servicio con el mismo nivel de cumplimiento. Esto reduce las opciones para proteger datos sujetos a los marcos de protección de datos del Gobierno estadounidense.
AWS GovCloud (US) te ayuda a superar ese obstáculo: ofrece una infraestructura conforme que puedes usar como destino de copia de seguridad en un despliegue multicloud, de modo que no combines una infraestructura de Microsoft 365 conforme con copias de seguridad guardadas en el cloud público, lo que incumpliría la normativa.
Otras consideraciones de seguridad de datos y mejores prácticas para MSP y CSP
Hay varias consideraciones y mejores prácticas adicionales que los MSP y CSP multicliente pueden aplicar para sacar más partido a AWS GovCloud y ayudar a cumplir las leyes de protección de datos:
- Separa los datos de cada cliente
- Cifra los datos y restringe el acceso mediante control de acceso basado en roles (RBAC) y aplica el principio del mínimo privilegio (PoLP)
- Asegúrate de que tu sistema de copia de seguridad ofrece registros de auditoría, retenciones legales y trazabilidad de la cadena de custodia
- Forma a tu personal sobre cómo tratar los datos regulados y conciencia a tu equipo de sus responsabilidades, incluidos los controles de exportación y las necesidades de SLA específicas de cada cliente
Debes probar tu proceso de recuperación con regularidad y verificar que tus copias de seguridad contienen todos los datos necesarios, cumplen los estándares normativos y respetan los RTO establecidos.
Cumplimiento en toda tu cadena de herramientas de gestión de TI
Mantener el cumplimiento legal necesario para trabajar como contratista o subcontratista del Gobierno de EE. UU. es complejo y exige respetar múltiples estándares de seguridad exigentes en toda tu infraestructura y tus procesos de TI.
Elegir herramientas que faciliten ese cumplimiento es clave para operar con eficiencia y poder atender a varios clientes que trabajan en entornos regulados por la Administración. Usar AWS GovCloud (US) es una de esas medidas: garantiza la soberanía de los datos y que estén implantadas las salvaguardas técnicas necesarias.
Gestionar tu infraestructura de TI y la de tus clientes también exige cumplir la normativa. NinjaOne ofrece una plataforma de gestión informática unificada que incluye copia de seguridad, monitorización y gestión remota (RMM), gestión de dispositivos móviles (MDM) y herramientas de atención al cliente. Cumplimos de serie con varios marcos de protección de datos del Gobierno de EE. UU. (y seguiremos ampliando la lista), y nuestras herramientas pueden configurarse para almacenar datos en AWS GovCloud y cubrir necesidades de cumplimiento más exigentes.
Si eres un MSP que trabaja en el sector público y quieres optimizar tus operaciones de TI y crecer más rápido, habla con un representante de NinjaOne para comentar tus requisitos de seguridad y cumplimiento.
