Puntos clave
- El alcance de FedRAMP puede llegar a los MSP que gestionan clientes que manejan datos federales de forma indirecta: despachos de abogados, proveedores sanitarios, administraciones locales e instituciones educativas que reciben fondos federales.
- La NIST SP 800-60 clasifica los litigios, la actividad judicial y los historiales médicos militares como posibles datos federales, lo que expone a obligaciones de cumplimiento a los MSP que atienden esos sectores.
- Las plataformas RMM, la copia de seguridad en el cloud, la gestión de parches, el acceso remoto y las herramientas para compartir pantalla pueden entrar en el alcance si instalan agentes, acceden a entornos internos o almacenan datos de clientes.
- Usar herramientas que no cumplen la normativa puede costarte contratos, generar sanciones económicas y derivar en responsabilidad para el MSP a través de una investigación o un litigio.
- Audita tu cartera de clientes para detectar exposición a datos federales, compara tu stack con el FedRAMP Marketplace y prioriza el paso a herramientas autorizadas en los clientes de mayor riesgo.
Hay un viejo dicho en el mundo del derecho: el desconocimiento no exime de responsabilidad.
FedRAMP (Federal Risk and Authorization Management Program) se ha considerado durante mucho tiempo un asunto del gobierno federal, algo que debían resolver las agencias, los contratistas y los equipos de cumplimiento en Washington. Sin embargo, si gestionas la TI de clientes que manejan datos federales, aunque sea de forma indirecta, esa suposición puede estar costándote caro ya.
¿Qué es FedRAMP?
FedRAMP se creó en diciembre de 2011 mediante un memorando de la Oficina de Gestión y Presupuesto (OMB) con el fin de acelerar de forma segura la adopción de productos y servicios de cloud computing por parte de las agencias federales y ayudarlas a evitar esfuerzos duplicados gracias a un proceso de autorización coherente y reutilizable.
Hoy, FedRAMP se rige por el Memorando M-24-15 de la OMB (julio de 2024), y su alcance cubre los productos y servicios de cloud computing, incluidos IaaS, PaaS y SaaS, que crean, recopilan, procesan, almacenan o mantienen información federal en nombre de una agencia federal.
Esa última parte, «en nombre de una agencia federal», es donde el asunto se vuelve interesante para los MSP.
¿Por qué FedRAMP afecta a los MSP?
El alcance de FedRAMP va mucho más allá de los proveedores con contratos federales directos. Cualquier proveedor que entre en contacto con datos federales, tanto si la relación es directa como si está más abajo en la cadena, puede quedar dentro de su radio de acción. Y los datos federales son mucho más habituales de lo que la mayoría imagina.
Los despachos de abogados: un ejemplo claro de cómo esto afecta a los MSP
La Federal Information Security Management Act (FISMA) fija los estándares legales que obligan a las agencias federales y a sus contratistas a proteger los datos federales, y encarga al National Institute of Standards and Technology (NIST) el desarrollo de los estándares de seguridad que definen cómo se protegen esos datos. Uno de esos estándares, la NIST Special Publication 800-60, asocia tipos de información con categorías de seguridad para garantizar una protección adecuada de la confidencialidad, la integridad y la disponibilidad.
La NIST SP 800-60 incluye una sección completa sobre «Litigation and Judicial Activities», que abarca las vistas judiciales federales, la defensa jurídica, la investigación legal, la acusación y el litigio, y la facilitación de acuerdos. Según las definiciones del NIST, todo esto podría considerarse datos federales.
En la práctica, si un despacho de abogados tiene a una agencia federal como parte en alguno de sus casos, la información que se intercambia en ese proceso son potencialmente datos federales. Es decir, un despacho que lleva casos de derechos civiles, trabaja en contratos federales o recibe documentos gubernamentales durante la fase de prueba podría estar ya custodiando datos federales. Y lo mismo ocurre con el MSP que gestiona su entorno.
Datos de FedRAMP y riesgos de CUI: el panorama completo del sector
La misma lógica se aplica al sector sanitario. El registro de CUI de NARA, la fuente de referencia sobre qué se considera información no clasificada controlada (CUI), incluye tanto una categoría de expedientes de personal militar, que abarca a cualquier miembro o antiguo miembro de las fuerzas armadas, como una categoría de información sanitaria, que incluye los registros creados o recibidos por un proveedor sanitario relativos a la salud física o mental de una persona.
Un proveedor sanitario que atiende a pacientes de la Guardia Nacional, maneja historiales médicos militares o gestiona programas financiados con fondos federales como Medicare o Medicaid podría estar custodiando CUI según esas definiciones. Para el MSP que gestiona el Entorno de TI de ese proveedor, la exposición es la misma.
Otros sectores que conviene tener en cuenta son los municipios y las administraciones locales, los centros de educación primaria, secundaria y superior que reciben fondos federales o gestionan programas federales para estudiantes, y los contratistas de defensa junto con sus subcontratistas.
¿Qué partes de tu stack están expuestas?
Si el entorno de tu cliente tiene que cumplir requisitos de nivel federal, merece la pena revisar con lupa qué herramientas de tu stack podrían entrar en el alcance de FedRAMP.
FedRAMP ha publicado una guía oficial sobre su alcance para ayudar a las agencias a determinar si un servicio cloud necesita autorización FedRAMP. Está escrita para agencias federales, pero los ejemplos ilustrativos son un buen punto de partida para que los MSP hagan su propio análisis.
Partiendo de esos ejemplos, así podrían evaluarse algunas herramientas habituales de los MSP:
| Herramienta MSP | ¿Dentro del alcance? |
| RMM con agente instalado y capacidad de sesiones remotas | Posiblemente sí |
| Copia de seguridad en el cloud que almacena datos de clientes | Posiblemente sí |
| Herramientas de gestión de parches y administración remota | Posiblemente sí |
| Herramientas de acceso remoto y de compartir pantalla | Posiblemente sí |
| Monitorización de disponibilidad o ping de sitios públicos | Probablemente no |
Son valoraciones interpretativas, nada más. La aplicabilidad de FedRAMP depende en última instancia de cómo se use una herramienta en el entorno concreto de cada cliente, y cada MSP debería hacer su propio análisis. Dicho esto, cualquier herramienta que instale agentes en los sistemas del cliente, acceda a entornos internos con privilegios elevados o almacene datos de clientes merece una evaluación cuidadosa.
A nuestro juicio, la plataforma RMM merece una atención especial. Es la herramienta que lo une todo y, si no cuenta con autorización FedRAMP, resulta difícil sostener un argumento creíble de cumplimiento para el resto del stack.
¿Qué riesgo corres si te equivocas con los requisitos de FedRAMP?
El gobierno federal tiene la costumbre de definir requisitos de cumplimiento sin detallar las sanciones por incumplirlos. Esa ambigüedad convierte este terreno en un campo de riesgo.
Si tu cliente está obligado a usar herramientas autorizadas por FedRAMP y no lo hace, se expone a perder contratos y a enfrentarse a sanciones económicas o litigios. En el mejor de los casos, tu cliente te echará la culpa por no habérselo dicho o por no haberle aclarado que era un requisito. En el peor, te verás arrastrado a la investigación o al litigio junto con él.
La cara positiva: ser el MSP que lo vio venir
La mayoría de los MSP aún no está teniendo esta conversación con sus clientes, y ahí hay una oportunidad enorme.
Los abogados conocen bien la responsabilidad civil y la negligencia grave, así que cuando entras en un despacho y planteas si sus herramientas de TI deben cumplir FedRAMP, las implicaciones se entienden al instante. Te convierte en el asesor de confianza que aportó algo valioso antes de que se convirtiera en un problema.
Tres pasos para anticiparte a FedRAMP
- Audita tu cartera de clientes para detectar exposición a datos federales.
- Aprovecha la próxima ronda de revisiones trimestrales de negocio para preguntar directamente a tus clientes: ¿trabajáis con datos federales? Con los clientes del sector legal, concreta si tienen a una agencia federal como parte en alguno de sus casos. Con los del sector sanitario, pregunta por programas financiados con fondos federales o por pacientes militares.
- Compara tu stack con el FedRAMP Marketplace.
- El FedRAMP Marketplace es una lista pública y consultable de herramientas cloud autorizadas. Empieza por tu RMM. NinjaOne figura en ese marketplace, así que es una brecha de tu stack que puedes cerrar hoy mismo.
- Empieza la transición por donde más importa.
- Si hay clientes en tu lista que probablemente manejan datos federales, empieza a migrarlos a herramientas autorizadas por FedRAMP.
Qué esperar a partir de ahora
Este terreno seguirá evolucionando. La normativa ya menciona de forma específica los datos legales y judiciales, las definiciones del NIST son más amplias de lo que la mayoría cree y la aplicación de las normas suele volverse más concreta con el tiempo. Seguiremos informando a nuestra comunidad a medida que el panorama se aclare.
Si quieres ver cómo encaja en tu stack el RMM de NinjaOne autorizado por FedRAMP, consulta la ficha de NinjaOne en el FedRAMP Marketplace.
Nota: el equipo legal de NinjaOne revisó este artículo antes de su publicación. Nada de lo aquí expuesto constituye una determinación legal definitiva.
