Criminal Justice Information Services (CJIS)

Access Context Manager

AlloyDB untuk PostgreSQL

Apigee

Artifact Registry

BigQuery

Certificate Authority Service

Cloud Build

Cloud Composer

Cloud Data Fusion

Cloud DNS

Cloud External Key Manager (Cloud EKM)

Cloud HSM

Cloud Identity

Cloud Interconnect

Cloud Key Management Service

Cloud Load Balancing

Cloud Logging

Cloud Monitoring

Cloud NAT (Penafsiran Alamat Jaringan)

Cloud Router

Cloud Run

Cloud SQL

Cloud Storage

Cloud Vision API

Cloud VPN

Compute Engine

Connect

Dataflow

Dataproc

Filestore

Firestore

GKE Hub

GKE Identity Service

Konsol Admin Google

Google Kubernetes Engine

Identity and Access Management

Identity-Aware Proxy

Memorystore for Redis

Network Connectivity Center

Persistent Disk

Pub/Sub

Resource Manager

Secret Manager

Sensitive Data Protection

Mesh Layanan

Spanner

Speech-to-Text

Text-to-Speech

Vertex AI Search

Vertex AI Workbench

Virtual Private Cloud

Kontrol Layanan VPC

Kalender

Dokumen

Drive

Formulir

Gmail

Google Chat

Google Meet

Sites Baru

Spreadsheet

Slide

Organisasi penilaian pihak ketiga independen baru-baru ini mengevaluasi kontrol keamanan CJIS Google Cloud dan menemukan bahwa Google Cloud berhasil mendukung kepatuhan CJIS. Google berencana memperbarui penilaian ini setelah Kebijakan Keamanan CJIS v6.0 dipublikasikan. 

Jika diminta oleh pelanggan atau CJIS System Agency (CSA) negara bagian, Google Cloud akan melaksanakan Perjanjian Pengelolaan yang memberikan informasi mendetail kepada pelanggan tentang cara Google Cloud mendukung kepatuhan terhadap Kebijakan Keamanan CJIS, tanggung jawab setiap pihak, layanan cloud mana yang dicakup, dan banyak ketentuan penting lainnya. Anda dapat meminta salinan Perjanjian Pengelolaan CJIS Google Cloud dengan mengirim email ke cjis@google.com.

Tim kepatuhan Google Cloud juga dapat memberikan narasi kepatuhan mendetail yang menunjukkan bagaimana Google Cloud memenuhi persyaratan CJISSECPOL yang berlaku untuk Penyedia Layanan Cloud.

Ya. Google Cloud memungkinkan pelanggan untuk membatasi workload CJIS ke region khusus AS melalui Assured Workloads dan Assured Controls. Google akan menyimpan data Anda dalam penyimpanan sesuai dengan Persyaratan Khusus Layanan kami.

Di negara bagian yang mengizinkan karyawan Google mengakses CJI tanpa pengawalan dan tanpa enkripsi, Google bekerja sama dengan CSA (atau lembaga lokal) untuk memastikan personel yang mungkin memiliki akses tanpa pengawalan ke CJI negara bagian tanpa enkripsi menjalani pemeriksaan latar belakang FBI berbasis sidik jari. Personel Google yang memenuhi syarat akan menyerahkan kartu sidik jari FD-258, bersama dengan dokumentasi yang diperlukan, kepada setiap CSA.

Proses ini memastikan bahwa personel yang berwenang akan diberikan akses tanpa pengawasan hanya setelah menyelesaikan pemeriksaan latar belakang dan pelatihan kesadaran keamanan CJIS.

Google telah menerapkan zero-trust sebagai inti dari layanan dan operasi kami. Infrastruktur kami tidak mengasumsikan adanya kepercayaan antara layanan yang berjalan di atas infrastruktur tersebut. Dengan kata lain, setiap permintaan akses resource diperiksa, diautentikasi, dan diverifikasi seolah-olah berasal dari jaringan yang tidak tepercaya.

Lingkungan pelanggan dalam Google Cloud juga dipisahkan secara logis untuk mencegah pengguna dan pelanggan mengakses resource yang tidak ditugaskan kepadanya. Data pelanggan (termasuk CJI) dipisahkan secara logis berdasarkan domain agar data dapat dihasilkan untuk satu tenant. Kemampuan Google Cloud untuk melindungi data pelanggan dengan cara ini, sekaligus memungkinkan pengembangan fitur yang lebih cepat dan manfaat biaya pelanggan, menjadikannya pilihan yang lebih baik bagi pelanggan pemerintah. 

Terakhir, semua data pelanggan dalam pengiriman akan dienkripsi dan data akan dienkripsi saat dalam penyimpanan, secara default, untuk SEMUA pelanggan. Hal ini memastikan bahwa ada beberapa lapisan pertahanan dalam arsitektur cloud multi-tenant dan memberikan isolasi yang kuat untuk semua pelanggan.

Tidak. Karena Google menyediakan kunci enkripsi yang dikelola pelanggan dan kontrol akses data personel yang membatasi akses CJI, confidential computing tidak diperlukan untuk CJIS di Google Cloud. Namun, pelanggan masih dapat menggunakan confidential computing sebagai kontrol keamanan tambahan di samping lingkungan yang aman dan terbatas yang ditawarkan Google untuk pelanggan CJIS.

Ya, Google Cloud menggunakan modul enkripsi tervalidasi FIPS 140-3 yang disebut BoringCrypto (sertifikat 4735) di lingkungan produksi kami. Ini berarti bahwa data dalam pengiriman (ke pelanggan dan antara pusat data) dan data dalam penyimpanan dienkripsi secara default menggunakan enkripsi tervalidasi FIPS 140-3. 

Dengan begitu, pelanggan dapat menjaga kepatuhan terhadap FIPS saat memilih dari berbagai penawaran Cloud Key Management, seperti Kunci yang Dikelola Google, Kunci Enkripsi yang Dikelola Pelanggan, dan Pengelolaan Kunci Eksternal. Karena Google Cloud menggunakan level enkripsi ini secara default untuk data dalam penyimpanan dan dalam pengiriman, pelanggan dapat mewarisi enkripsi FIPS 140-3 dan menghilangkan persyaratan untuk menjalankan produk dan layanan dalam mode FIPS.

Kebijakan Keamanan CJIS tidak mengharuskan penggunaan Cloud Pemerintah (‘GovCloud’) dan tidak ada definisi atau standar universal terkait apa yang dimaksud dengan GovCloud. Google Cloud dapat mengikuti kepatuhan CJIS terhadap Kebijakan Keamanan CJIS dan telah menunjukkan kepatuhan kami kepada organisasi penilaian pihak ketiga independen dan kepada sejumlah CSA negara bagian. 

Google telah berinvestasi dalam pendekatan keamanan berlapis pada infrastruktur cloud publiknya, dengan menyediakan fitur-fitur seperti enkripsi dan kontrol akses data personel yang kuat. Hal ini, bersama dengan penerapan zero-trust yang dijelaskan di atas, memberikan postur keamanan kuat yang diperlukan untuk memenuhi persyaratan ketat Kebijakan Keamanan CJIS sekaligus memungkinkan pelanggan memanfaatkan inovasi produk cloud publik yang sedang berlangsung.

Penerapan kontrol yang disebutkan di atas (dan banyak lainnya) oleh Google mematuhi persyaratan FedRAMP Moderate dan FedRAMP High serta telah diakui oleh Dewan Otorisasi Bersama (JAB). 

Kami melihat validasi pendekatan kami dalam Memo Office of Management and Budget (OMB) M-24-15 (‘Modernizing the Federal Risk and Authorization Management Program (FedRAMP)’), yang merekomendasikan agar lembaga-lembaga federal beralih dari arsitektur GovCloud yang terisolasi:

“FedRAMP tidak boleh memberikan insentif atau mewajibkan penyedia cloud komersial untuk membuat penawaran khusus yang terpisah untuk penggunaan Federal, baik melalui penerapan framework keamanan Federal maupun operasi program lainnya. Pemerintah Federal mendapatkan manfaat dari investasi, pemeliharaan keamanan, dan pengembangan fitur yang cepat yang diberikan oleh penyedia cloud komersial pada produk inti mereka untuk meraih kesuksesan di pasar. Penyedia komersial juga didorong untuk mengintegrasikan praktik keamanan yang ditingkatkan kualitasnya dari interaksi mereka dengan FedRAMP ke dalam layanan inti mereka, sehingga menguntungkan semua pelanggan.”

Google Cloud percaya bahwa kepercayaan terbentuk melalui transparansi. Kami ingin bersikap transparan mengenai komitmen kami dan ekspektasi Anda terkait tanggung jawab bersama untuk melindungi dan mengelola data Anda di cloud.

Saat Anda menggunakan Google Workspace atau Google Cloud:

1. Data adalah milik Anda sendiri, bukan milik Google
2. Google tidak menjual data pelanggan kepada pihak ketiga
3. Google Cloud tidak menggunakan data pelanggan untuk iklan
4. Semua data pelanggan dienkripsi secara default
5. Kami mencegah akses orang dalam ke data Anda
6. Kami tidak pernah memberikan akses "backdoor" kepada entitas pemerintah mana pun
7. Praktik privasi kami diaudit berdasarkan standar internasional

Baca Adendum Pemrosesan Data Cloud (CDPA) untuk mengetahui detail lebih lanjut tentang komitmen pemrosesan data kami.