Cybersecurity Database

Directiva

BOD 25-01 – Prácticas seguras para la nube

BOD 25-01: aplicación de prácticas seguras para los servicios en la nube

En vigor desde el 17 de diciembre de 2024Ficha verificada en la fuente oficial el 2 de noviembre de 2026 · Metodología

Fuente oficial: https://www.cisa.gov/news-events/directives/bod-25-01-implementing-secure-practices-cloud-services

Fuente oficial
Número oficial
BOD 25-01
Fecha de adopción
Entrada en vigor

Resumen

Directiva operativa vinculante emitida por la CISA el 17 de diciembre de 2024 porque configuraciones erróneas de los controles de seguridad han provocado compromisos de entornos en la nube. Obliga a las agencias civiles federales a aplicar a sus tenants en la nube de producción las Secure Configuration Baselines del proyecto SCuBA (Secure Cloud Business Applications) de la CISA; en el momento de la emisión la única baseline definitiva se refería a Microsoft Office 365, y las futuras entran en el ámbito al publicarse. Las agencias debían inventariar sus tenants antes del 21 de febrero de 2025, implantar las herramientas de evaluación SCuBA e iniciar los informes continuos antes del 25 de abril de 2025 y aplicar las configuraciones obligatorias antes del 20 de junio de 2025. Los nuevos tenants deben cumplir las baselines antes de la autorización de explotación (ATO), y las desviaciones deben justificarse ante la CISA. Solo son obligatorias las reglas formuladas con «shall».

A quién se aplica

Tenants en la nube de producción de las agencias civiles del poder ejecutivo federal para los que existe una baseline SCuBA definitiva. Quedan excluidos los sistemas de seguridad nacional y algunos sistemas del Departamento de Defensa y de la comunidad de inteligencia.

Fechas clave

  1. Inventario de los tenants en la nube afectados (nombre del tenant y agencia titular), que se actualiza cada año en el primer trimestre
  2. Implantación de las herramientas de evaluación SCuBA e inicio de los informes continuos a la CISA
  3. Aplicación de las configuraciones SCuBA obligatorias vigentes en el momento de la emisión
  4. En un año: informe de la CISA sobre los avances de las agencias al secretario de Seguridad Nacional, a la OMB y al National Cyber Director

Información

Jurisdicción
Estados Unidos
Organismo emisor
Cybersecurity and Infrastructure Security Agency (CISA)
Tipo
Directiva
Idiomas disponibles
inglés
Temas
Notas
La lista de configuraciones obligatorias la publica y mantiene la CISA en una página específica (Required Configurations), con los plazos de las futuras actualizaciones; una guía de aplicación acompaña a la directiva. Las baselines que no se actualizan en más de un año salen del ámbito. Los informes se envían mediante la solución de supervisión continua de la CISA o, en su defecto, cada trimestre en un formato legible por máquina. La directiva complementa FedRAMP y el caso de uso en la nube de TIC 3.0.

Detalles de la ficha

Título original
BOD 25-01: Implementing Secure Practices for Cloud Services
Título en otros idiomas
  • BOD 25-01: adozione di pratiche sicure per i servizi cloud
  • BOD 25-01 : mise en œuvre de pratiques sécurisées pour les services cloud
  • BOD 25-01: Umsetzung sicherer Praktiken für Cloud-Dienste
Licencia / condiciones de uso
Dominio público / acto oficial – Obra del Gobierno federal de los Estados Unidos (17 U.S.C. § 105).
Fuente de recopilación
entrada manual
Última verificación
(verificación en la web)

Cómo citar

APA

Cybersecurity and Infrastructure Security Agency (CISA). (2024). BOD 25-01: Implementing Secure Practices for Cloud Services (BOD 25-01). https://www.cisa.gov/news-events/directives/bod-25-01-implementing-secure-practices-cloud-services

Chicago

Cybersecurity and Infrastructure Security Agency (CISA). "BOD 25-01: Implementing Secure Practices for Cloud Services." 17 December 2024. https://www.cisa.gov/news-events/directives/bod-25-01-implementing-secure-practices-cloud-services.

BibTeX

@misc{us_bod_25_01_cloud_secure_practices_2024,
  author       = {{Cybersecurity and Infrastructure Security Agency (CISA)}},
  title        = {{BOD 25-01: Implementing Secure Practices for Cloud Services}},
  year         = {2024},
  note         = {BOD 25-01},
  url          = {https://www.cisa.gov/news-events/directives/bod-25-01-implementing-secure-practices-cloud-services},
  urldate      = {2026-11-02}
}

Metadatos y resumen: CC BY 4.0 · JSON