刑事司法情報サービス（CJIS）

Access Context Manager

AlloyDB for PostgreSQL

Apigee

Artifact Registry

BigQuery

Certificate Authority Service

Cloud Build

Cloud Composer

Cloud Data Fusion

Cloud DNS

Cloud External Key Manager（Cloud EKM）

Cloud HSM

Cloud Identity

Cloud Interconnect

Cloud Key Management Service

Cloud Load Balancing

Cloud Logging

Cloud Monitoring

Cloud NAT（ネットワーク アドレス変換）

Cloud Router

Cloud Run

Cloud SQL

Cloud Storage

Cloud Vision API

Cloud VPN

Compute Engine

Connect

Dataflow

Dataproc

Filestore

Firestore

GKE Hub

GKE Identity Service

Google 管理コンソール

Google Kubernetes Engine

Identity and Access Management

Identity-Aware Proxy

Memorystore for Redis

Network Connectivity Center

Persistent Disk

Pub/Sub

Resource Manager

Secret Manager

Sensitive Data Protection

サービス メッシュ

Spanner

Speech-to-Text

Text-to-Speech

Vertex AI Search

Vertex AI Workbench

Virtual Private Cloud

VPC Service Controls

カレンダー

ドキュメント

ドライブ

フォーム

Gmail

Google Chat

Google Meet

新しい Google サイト

Google スプレッドシート

Google スライド

独立した第三者評価機関が最近 Google Cloud の CJIS セキュリティ管理を評価し、Google Cloud が CJIS コンプライアンスを適切に実現していることを確認しました。Google は、CJIS セキュリティ ポリシー v6.0 が公開されたら、この評価を更新する予定です。

お客様または州の CJIS システム庁（CSA）からリクエストがあった場合、Google Cloud は管理契約を締結します。この契約では、Google Cloud がどのようにして CJIS セキュリティ ポリシーに準拠しているか、各当事者の責任、対象となるクラウド サービス、その他多くの重要な条項に関する詳細な情報をお客様に提供します。Google Cloud CJIS Management Agreement のコピーをご希望の場合は、cjis@google.com までメールでお問い合わせください。

Google Cloud のコンプライアンス チームは、クラウド サービス プロバイダに適用される CJISSECPOL 要件を Google Cloud がどのように満たしているかを示す詳細なコンプライアンスの説明も提供できます。

はい。Google Cloud では、Assured Workloads と Assured Controls を通じて、お客様は CJIS ワークロードを米国のみのリージョンに制限できます。Google は、サービス固有の規約に従って、お客様のデータを保存します。

Google の従業員が暗号化されていない CJI に付き添いなしでアクセスする可能性がある州では、Google は CSA（または地方機関）と連携して、州の暗号化されていない CJI に付き添いなしでアクセスする可能性がある従業員は指紋ベースの FBI の身元調査を必ず受けるようにしています。要件を満たす Google 担当者は、FD-258 フィンガープリント カードと必要な書類を各認証機関に提出します。

このプロセスにより、バックグラウンド チェックと CJIS セキュリティ意識向上トレーニングを修了した場合に限り、承認された担当者に付き添いなしでのアクセス権が付与されます。

Google は、サービスとオペレーションの中核にゼロトラストを実装しています。Google のインフラストラクチャは、その上で実行されているサービス間の信頼を前提としません。つまり、すべてのリソース アクセス リクエストは、信頼できないネットワークから発信されたかのように検査、認証、検証されます。

Google Cloud 内のお客様の環境も論理的に分離されているため、ユーザーやお客様が割り当てられていないリソースにアクセスすることはできません。顧客データ（CJI を含む）はドメインごとに論理的に分離され、単一のテナントに対してデータが生成されるようにします。Google Cloud は、このような方法で顧客データを保護する一方で、より迅速な機能開発と顧客の費用対効果を実現できるため、政府機関のお客様にとって最適な選択肢となります。

最後に、すべてのお客様の顧客データは、転送中も保存時もデフォルトで暗号化されます。これにより、マルチテナント クラウド アーキテクチャに複数の防御レイヤが確保され、すべてのお客様に強力な分離が提供されます。

いいえ。Google は顧客管理の暗号鍵と人員データアクセス制御を利用して CJI アクセスを制限するため、Google Cloud の CJIS に対する Confidential Computing は不要です。ただし、Google が CJIS のお客様に提供する安全で制限された環境に加えて、補完的なセキュリティ コントロールとして Confidential Computing を引き続き利用することも可能です。

はい - Google Cloud は、本番環境で BoringCrypto（証明書 4735）と呼ばれる FIPS 140-3 認証取得済みの暗号化モジュールを使用しています。これは、お客様への転送中のデータおよびデータセンター間で転送中のデータと、保管中のデータのどちらも、デフォルトで FIPS 140-3 認証取得済みの暗号方式によって暗号化が行われるということを意味します。

これにより、お客様は Google が管理する鍵、顧客管理の暗号鍵、外部鍵管理など、さまざまな Cloud Key Management オプションを選択しながら、FIPS のコンプライアンスを維持できます。Google Cloud では、保存中および転送中のデータにこのレベルの暗号化をデフォルトで使用しているため、FIPS 140-3 の暗号化を継承し、プロダクトやサービスを FIPS モードで実行する必要はありません。

CJIS セキュリティ ポリシーでは、政府クラウド（「GovCloud」）の使用は必須ではありません。また、GovCloud を構成するものに関する普遍的な定義や基準もありません。Google Cloud は、CJIS セキュリティ ポリシーに準拠した CJIS を実現できます。また、独立した第三者評価機関と多数の州の CSA にコンプライアンスを証明しています。 

Google は、パブリック クラウド インフラストラクチャに対する多層セキュリティ アプローチに投資し、暗号化や強力な人員データアクセス制御などの機能を提供しています。これにより、前述のゼロトラストの実装とともに、CJIS セキュリティ ポリシーの厳しい要件を満たすために必要な強力なセキュリティ ポスチャーが実現されると同時に、お客様はパブリック クラウドの継続的なプロダクト イノベーションを活用できるようになります。

Google は、前述の制御（およびその他多く）の実装で FedRAMP Moderate 要件と FedRAMP High 要件に準拠し、合同承認委員会（JAB）によって承認されています。

行政管理予算局（OMB）のメモ M-24-15（「連邦政府によるリスクおよび認証管理プログラム（FedRAMP）のモダナイズ」）で、連邦機関が隔離された GovCloud アーキテクチャから移行することを推奨しており、Google のアプローチが正しいことが確認できます。

「FedRAMP は、連邦政府のセキュリティ フレームワークの適用やその他のプログラム運用を通じて、連邦政府機関向けの専用サービスを別途作成するよう、商用クラウド プロバイダにインセンティブを与えたり、義務付けたりすべきではありません。連邦政府は、市場で成功するためにコアプロダクトに投資、セキュリティ メンテナンス、迅速な機能開発を行っている商用クラウド プロバイダの恩恵を受けています。同様に、商用プロバイダは、FedRAMP とのエンゲージメントから生まれた改善されたセキュリティ手法をコアサービスに統合して、すべてのお客様に利益をもたらすよう動機付けられます。」

Google Cloud の信頼性を確立するには、透明性が必要です。Google は自社の取り組みについてだけでなく、クラウド内のお客様のデータを保護、管理する共同責任についても透明性を確保してまいります。

Google Workspace または Google Cloud を使用する場合:

1. データを所有するのはお客様であり、Google ではありません
2. Google がお客様のデータを第三者に販売することはありません
3. Google Cloud では、お客様のデータを広告目的で使用することはありません
4. お客様のデータはデフォルトですべて暗号化されます
5. お客様のデータに対する内部アクセスを監視します
6. いかなる政府機関にも「バックドア」アクセスを許可しません
7. Google によるプライバシー保護の取り組みは国際基準に沿って監査されます

データ処理に関する Google の取り組みについて詳しくは、Cloud のデータ処理に関する追加条項（CDPA）をご覧ください。