Los entornos Government Community Cloud (GCC) de Microsoft 365 ofrecen un conjunto de servicios online gestionados que cumplen los requisitos de residencia de datos del gobierno de Estados Unidos, de los contratistas del Departamento de Defensa (DoD) y de otras entidades que manejan datos regulados. Esto incluye los niveles GCC, GCC High y DoD, con servicios aislados de Microsoft 365 (antes Office 365) como Exchange y Outlook para el correo electrónico, Teams, OneDrive y SharePoint para la colaboración, y la suite Microsoft Office con Word, Excel y PowerPoint.
Esta guía te ayudará, como administrador de TI o proveedor de servicios gestionados (MSP), a entender los distintos entornos GCC de Microsoft 365 para que puedas planificar e implementar con mayor seguridad la infraestructura TI de entidades del sector público estadounidense y de contratistas federales.
La importancia de elegir bien el entorno GCC de Microsoft 365
Los entornos Government Community Cloud (GCC) de Microsoft 365 se alojan en centros de datos situados en territorio estadounidense y están atendidos por ciudadanos estadounidenses verificados. Estos entornos pueden estar aislados física y lógicamente de otras plataformas de cloud público del ecosistema de Microsoft 365, lo que garantiza el cumplimiento de las normas de seguridad y residencia de datos de Estados Unidos, como FedRAMP, ITAR, NIST 800-171, DFARS y CJIS.
Cumplir estos marcos es obligatorio para muchas entidades del sector público y contratistas federales que gestionan información no clasificada controlada (CUI), información de contratos federales (FCI) y otros datos regulados. Este requisito afecta a organizaciones como:
- Entidades federales, estatales, locales o tribales de Estados Unidos
- Proveedores de soluciones (incluidos los MSP) que prestan servicio a cualquiera de estas entidades
- Clientes que manejan datos controlados por el gobierno
Los entornos GCC, GCC High y DoD disponibles en Government Community Cloud de Microsoft 365 se diferencian en su infraestructura física y en sus requisitos de seguridad, de ahí que cada uno alcance distintos niveles de cumplimiento y que puedan existir diferencias de funcionalidad y compatibilidad. Todos exigen una verificación de identidad y una comprobación de elegibilidad para asegurar que los tenants de GCC cumplen los requisitos de alguna de las categorías anteriores.
Como en cualquier asunto legal o de cumplimiento, conviene consultar la fuente normativa oficial, así como a expertos jurídicos y especialistas de tu sector, para entender a fondo los requisitos concretos de tu organización e implementar correctamente los procesos y las tecnologías necesarias.
Para los MSP esto es especialmente crítico: si tus servicios interactúan con sistemas que almacenan o procesan CUI, tus herramientas, tus accesos y tus procesos se consideran parte del perímetro de cumplimiento.
Visión general de los entornos GCC, GCC High y DoD
Antes de solicitar los servicios GCC de Microsoft 365 y empezar a desplegarlos, planifica con detalle las licencias, el cumplimiento y la infraestructura de identidad, además de las tareas de migración. Así te asegurarás de cumplir todos los requisitos de seguridad de los datos y de identificar y resolver con claridad cada obligación de cumplimiento.
| Entorno | Caso de uso previsto | Normas de cumplimiento que satisface | Residencia de datos | Modelo de alojamiento |
| GCC | Administraciones estatales y locales de EE. UU., educación y organismos públicos | FedRAMP Moderate, CJIS, IRS 1075 | Solo EE. UU. | Infraestructura comercial (en EE. UU.) |
| GCC High | Contratistas del DoD y organizaciones que manejan datos CUI/ITAR | FedRAMP High, DFARS, NIST 800-171, ITAR | Solo EE. UU. | Aislada física y lógicamente (solo personal de EE. UU.) |
| DoD | Departamento de Defensa de EE. UU. | DoD IL5/IL6, NIPRNet/SIPRNet | Solo EE. UU. | Infraestructura propiedad del DoD |
Elegir el entorno GCC adecuado para tu caso de uso te ayudará a evitar infracciones en el tratamiento de datos que podrían derivar en la pérdida de un contrato o en consecuencias legales. El entorno GCC que puedes solicitar depende de tu elegibilidad:
| Entorno | Elegibilidad y licencias |
| GCC | Disponible para entidades del sector público y sus contratistas |
| GCC High | Requiere validación de Microsoft mediante patrocinio o contrato con el DoD o programas de defensa |
| DoD | El acceso está restringido a organizaciones del propio Departamento de Defensa |
Requisitos de CMMC nivel 2 para los MSP
El nivel 2 de la Cybersecurity Maturity Model Certification (CMMC) se aplica a las organizaciones —y a sus MSP— que manejan CUI.
Como el nivel 2 de CMMC se basa en NIST 800-171, los MSP que dan soporte a estos entornos deben demostrar:
- Un control de acceso sólido (MFA, mínimo privilegio)
- Monitorización y registro continuos
- Capacidad de respuesta ante incidentes
- Gestión de vulnerabilidades y gestión de parches
- Procesos seguros de copia de seguridad y recuperación
Y un punto clave: si un MSP maneja CUI, se espera que cumpla el mismo nivel de controles que la organización a la que presta servicio.
Diferencias clave para los equipos de TI y los MSP
Para los equipos de TI y los MSP, las diferencias entre los entornos GCC, GCC High y DoD tienen consecuencias prácticas en la planificación y la implementación: cambian la disponibilidad del personal de soporte, el acceso al cloud y la compatibilidad con aplicaciones de terceros.
| Función | GCC | GCC High | DoD |
| Personal de soporte | Puede incluir personal de soporte global de Microsoft | Solo ciudadanos estadounidenses | Solo personal del DoD de EE. UU. |
| Acceso al cloud | Azure comercial | Azure Government (soberano de EE. UU.) | Azure Government para el DoD |
| Compatibilidad de aplicaciones | Amplio ecosistema de terceros | Limitada. Solo aplicaciones certificadas FedRAMP High | Extremadamente limitada |
| Acceso multitenant | Amplio soporte para integraciones | Federación y acceso a API restringidos | Muy restringido |
En el caso de los MSP, revender y gestionar tenants en GCC exige tener el estatus de proveedor cualificado para el sector público y cumplir los requisitos de control del personal, como contratar únicamente a ciudadanos estadounidenses y realizar comprobaciones de antecedentes.
Tu MSP puede decidir el éxito o el fracaso del cumplimiento de CMMC
Tu MSP no es un proveedor cualquiera: pasa a formar parte del entorno auditado. Su papel puede decidir el éxito o el fracaso del cumplimiento de CMMC. Entre los riesgos habituales que quizá debas mitigar están:
- No superar los requisitos de auditoría por carencias del MSP
- Falta de registros, documentación o controles de acceso
- Herramientas de acceso remoto sin proteger que exponen datos CUI
Las organizaciones que aspiran al nivel 2 de CMMC deben asegurarse de que su MSP pueda demostrar su cumplimiento.
Aspectos a tener en cuenta al desplegar GCC High
Al preparar el despliegue de Microsoft 365 GCC High, valora qué migración de datos necesitas: un tenant comercial de Microsoft 365 no se puede actualizar directamente a GCC High, por lo que hay que migrar los datos. Ten en cuenta también las limitaciones de la gestión de identidades, ya que Azure AD en GCC High puede limitar ciertas interacciones de SSO y federación. Las integraciones de aplicaciones, API y webhooks de terceros también pueden verse afectadas.
Así contribuye GCC al cumplimiento de NIST 800-171 y CMMC
Los entornos GCC de Microsoft 365 aportan la base de infraestructura para el cumplimiento: residencia de datos, restricciones de acceso y alojamiento seguro en el cloud.
Sin embargo, GCC por sí solo no garantiza el cumplimiento. Las organizaciones y los MSP siguen teniendo que:
- Implementar los controles de seguridad exigidos
- Mantener políticas y procedimientos
- Aportar pruebas y documentación de auditoría
En otras palabras, GCC facilita el cumplimiento, pero es la ejecución operativa (a menudo en manos de los MSP) la que determina el resultado.
Interoperabilidad entre Microsoft 365 GCC y AWS GovCloud
AWS GovCloud también responde a los requisitos de soberanía de datos de Estados Unidos y ofrece una solución secundaria que cumple muchas de las mismas normas que los niveles GCC de Microsoft 365. Ambas plataformas se usan a menudo de forma combinada: por ejemplo, cuando un servicio aporta una funcionalidad que el otro no tiene, o como destino de copia de seguridad cuando se exige el mismo grado de cumplimiento.
Al implementar una arquitectura entre clouds, hay que mantener la soberanía de los datos y el cumplimiento mediante cifrado, gestión de identidades y garantizando que el tráfico no se enrute por regiones comerciales que no cumplen las normas de seguridad.
Copias de seguridad, seguridad y soporte: mantener el cumplimiento en toda tu infraestructura TI
Un cumplimiento completo exige que toda tu operación de TI cumpla las normas legalmente obligatorias, no solo tu infraestructura cloud. Las herramientas de copia de seguridad y registro, el soporte remoto, las integraciones de seguridad y el resto de herramientas de terceros también deben cumplir las mismas normas que el nivel de GCC que consideres adecuado para tu caso de uso.
NinjaOne ofrece un conjunto completo de herramientas de gestión y soporte TI que cumplen un número cada vez mayor de normativas federales estadounidenses, entre ellas FedRAMP. Incluye copia de seguridad SaaS para proteger tus tenants de Microsoft 365 GCC, además de monitorización y gestión remota (RMM), seguridad de endpoints y herramientas de automatización para ayudar a los equipos de TI y a los MSP que trabajan con el sector público estadounidense.
