Servicios de Información de la Justicia Criminal (CJIS)

Access Context Manager

AlloyDB para PostgreSQL

Apigee

Artifact Registry

BigQuery

Certificate Authority Service

Cloud Build

Cloud Composer

Cloud Data Fusion

Cloud DNS

Cloud External Key Manager (Cloud EKM)

Cloud HSM

Cloud Identity

Cloud Interconnect

Cloud Key Management Service

Cloud Load Balancing

Cloud Logging

Cloud Monitoring

Cloud NAT (traducción de direcciones de red)

Cloud Router

Cloud Run

Cloud SQL

Cloud Storage

API de Cloud Vision

Cloud VPN

Compute Engine

Connect

Dataflow

Dataproc

Filestore

Firestore

GKE Hub

GKE Identity Service

Consola del administrador de Google

Google Kubernetes Engine

Identity and Access Management

Identity-Aware Proxy

Memorystore para Redis

Network Connectivity Center

Persistent Disk

Pub/Sub

Resource Manager

Secret Manager

Sensitive Data Protection

Malla de servicios

Spanner

Speech-to-Text

Text-to-Speech

Vertex AI Search

Vertex AI Workbench

Nube privada virtual

Controles del servicio de VPC

Calendario

Documentos

Drive

Formularios

Gmail

Google Chat

Google Meet

Nueva versión de Sites

Hojas de cálculo

Presentaciones

Recientemente, una organización de evaluación independiente analizó los controles de seguridad de Google Cloud para los CJIS y descubrió que Google Cloud permite el cumplimiento de los CJIS con éxito. Google planea actualizar esta evaluación una vez que se publique la Política de Seguridad de los CJIS v6.0. 

Si un cliente o la agencia de sistemas de los CJIS (CSA) del estado lo solicita, Google Cloud celebrará un Acuerdo de Administración que les proporcionará a los clientes información detallada sobre cómo Google Cloud permite el cumplimiento de la Política de Seguridad de CJIS, las responsabilidades de cada parte, los servicios en la nube que se abarcan y muchas otras disposiciones importantes. Puedes solicitar una copia del Acuerdo de Administración de CJIS de Google Cloud enviando un correo electrónico a cjis@google.com.

El equipo de cumplimiento de Google Cloud también puede proporcionar narrativas de cumplimiento detalladas que demuestren cómo Google Cloud satisface los requisitos de la CJISSECPOL aplicables a los proveedores de servicios en la nube.

Sí. Google Cloud permite a los clientes restringir las cargas de trabajo de los CJIS a regiones solo de EE.UU. a través de Assured Workloads y Assured Controls. Google almacenará tus datos en reposo de acuerdo con nuestras Condiciones específicas del Servicio.

En los estados en los que los empleados de Google pueden tener acceso sin acompañamiento a la CJI no encriptada, Google trabaja con el CSA (o una agencia local) para garantizar que el personal que puede tener acceso sin acompañamiento a la CJI no encriptada de un estado se someta a verificaciones de antecedentes del FBI basadas en huellas dactilares. El personal de Google calificado enviará las tarjetas de huella digital FD-258, junto con la documentación requerida, a cada CSA.

Este proceso garantiza que el personal autorizado obtenga acceso sin escolta solo después de completar la verificación de antecedentes y la capacitación de sensibilización sobre la seguridad de CJIS.

Google implementó la confianza cero como base de nuestros servicios y operaciones. Nuestra infraestructura no supone ninguna confianza entre los servicios que se ejecutan en ella. En otras palabras, cada solicitud de acceso a recursos se inspecciona, autentica y verifica como si proviniera de una red no confiable.

Los entornos de los clientes dentro de Google Cloud también están segregados de forma lógica para evitar que los usuarios y los clientes accedan a recursos que no se les asignaron. Los datos del cliente (incluida la CJI) se segregan lógicamente por dominio para permitir que se generen datos para un solo usuario. La capacidad de Google Cloud de proteger los datos de los clientes de esta manera, a la vez que permite un desarrollo de funciones más rápido y beneficios de costos para los clientes, la convierte en la mejor opción para los clientes del Gobierno. 

Por último, todos los datos de los clientes en tránsito y en reposo están encriptados de forma predeterminada para TODOS los clientes. Esto garantiza que haya múltiples capas de defensa en una arquitectura de nube multiusuario y proporciona un aislamiento sólido para todos los clientes.

No. Dado que Google proporciona claves de encriptación administradas por el cliente y controles de acceso a los datos del personal que restringen el acceso a la CJI, no se requiere computación confidencial para CJIS en Google Cloud. Sin embargo, los clientes aún pueden utilizar la computación confidencial como un control de seguridad complementario, además del entorno seguro y restringido que ofrece Google a los clientes de CJIS

Sí, Google Cloud usa un módulo de encriptación validado por FIPS 140-3 llamado BoringCrypto (certificado 4735) en el entorno de producción. Esto significa que los datos en tránsito (al cliente y entre centros de datos) y los datos en reposo se encriptan de forma predeterminada con encriptación validada por FIPS 140-3. 

Esto permite a los clientes mantener el cumplimiento de FIPS y elegir entre una variedad de ofertas de Cloud Key Management, como claves administradas por Google, claves de encriptación administradas por el cliente y la administración de claves externa. Dado que Google Cloud usa este nivel de encriptación de forma predeterminada para los datos en reposo y en tránsito, los clientes pueden heredar la encriptación de FIPS 140-3 y eliminar el requisito de ejecutar productos y servicios en modo FIPS.

La Política de Seguridad de los CJIS no requiere el uso de una nube del Gobierno (“GovCloud”) y no existe una definición o un estándar universal sobre lo que constituye una GovCloud. Google Cloud puede habilitar el cumplimiento de los CJIS con la Política de Seguridad de CJIS y demostró su cumplimiento a una organización de evaluación externa independiente y a numerosos CSA estatales. 

Google invirtió en un enfoque de seguridad en capas para su infraestructura de nube pública, que proporciona funciones como la encriptación y controles sólidos de acceso a datos de personal. Esto, junto con la implementación de confianza cero descrita anteriormente, proporciona la postura de seguridad sólida necesaria para cumplir con los estrictos requisitos de la Política de Seguridad de CJIS y, al mismo tiempo, permite que los clientes aprovechen las innovaciones continuas de los productos de la nube pública.

La implementación de los controles mencionados arriba (y muchos otros) por parte de Google cumple con los requisitos del FedRAMP Moderate y del FedRAMP High, y ha sido reconocido por la Junta de Autorización Conjunta (JAB). 

La validación de nuestro enfoque se encuentra en el memorando M-24-15 ("Modernizing the Federal Risk and Authorization Management Program [FedRAMP]") de la Oficina de Administración y Presupuesto (OMB), en el que se recomienda que las agencias federales dejen de usar arquitecturas aisladas de GovCloud:

“FedRAMP no debería incentivar ni exigir a los proveedores de servicios en la nube comerciales que creen ofertas separadas y dedicadas para el uso federal, ya sea a través de la aplicación de sus marcos de trabajo de seguridad federales o de otras operaciones de programas. El Gobierno federal se beneficia de la inversión, el mantenimiento de la seguridad y el desarrollo rápido de funciones que los proveedores de servicios en la nube comerciales le dan a sus productos principales para tener éxito en el mercado. De forma similar, se incentiva a los proveedores comerciales a integrar prácticas de seguridad mejoradas que surgen de su participación en el FedRAMP en sus servicios principales, lo que beneficia a todos los clientes”.

En Google Cloud, creemos que la confianza se genera a través de la transparencia y queremos ser transparentes respecto de nuestros compromisos y las expectativas que puedes tener en relación con nuestra responsabilidad compartida para la protección y la administración de tus datos en la nube.

Cuando usas Google Workspace o Google Cloud Platform, sucede lo siguiente:

1. Usted es propietario de sus datos, no Google.
2. Google no vende los datos de los clientes a terceros
3. Google Cloud no usa los datos del cliente con fines publicitarios.
4. Todos los datos del cliente están encriptados de forma predeterminada
5. Protegemos tus datos contra el acceso de usuarios con información privilegiada.
6. Nunca permitiremos que una entidad gubernamental acceda de manera irregular a tus datos.
7. Nuestras prácticas de privacidad se someten a auditorías de estándares internacionales

Consulta el Anexo de Tratamiento de Datos de Cloud (CDPA) para obtener más información sobre nuestros compromisos de procesamiento de datos.