형사사법정보부(CJIS)
미국연방수사국(FBI) 형사사법정보부(CJIS)에서는 Google과 같은 클라우드 서비스 제공업체(CSP)를 사용할 때 연방 당국 및 주 정부, 지방 법무 기관에 형사사법정보(CJI)를 보호하는 방법을 안내합니다.
Google Cloud는 Google Cloud용 Assured Workloads와 Google Workspace용 Assured Controls를 통해 CJI를 보호하고 저장할 수 있는 보안 제어 기능을 제공합니다. 법 집행 기관은 범위 내 Google Cloud 서비스에 대해 이러한 제어를 구현하여 CJIS 보안 정책을 준수할 수 있습니다.
Google의 CJIS 규정 준수
FBI CJIS 프로그램 부서는 CJI를 보호하기 위한 구체적인 지침을 제공하는 수많은 아티팩트를 게시했습니다. 주요 문서는 CJI를 보호하기 위해 충족해야 하는 최소 보안 요구사항을 설명하는 FBI CJIS 보안 정책입니다.
또한 FBI는 NIST SP 800-53 버전 4에 있는 보안 제어에 CJIS 요구사항 안내서를 제공합니다.
CJIS를 지원하는 모든 Google Cloud 서비스는 CJI를 보호하는 데 필요한 요구사항을 충족할 수 있습니다. 또한 Google은 독립적인 서드 파티 평가사로부터 FBI의 안내서에 포함된 NIST 800-53 제어 규정을 준수하는지 확인하는 증명을 받았습니다.
Google의 CJIS 규정 준수에 대한 자세한 내용은 문의 양식을 통해 Google Cloud 영업팀에 문의하세요.
Google의 CJIS 기능
Assured Workloads 및 Assured Controls를 통해 제공되는 CJIS 범위 서비스는 CJIS 보안 제어를 구현하고 고객이 Google Cloud 및 Google Workspace의 기능으로 비즈니스 요구사항을 충족하도록 지원합니다.
주, 지방, 연방 법 집행 기관과 형사 사법 기관 및 그 계약업체는 이러한 서비스를 다음과 같은 용도로 사용할 수 있습니다.
- CJIS 워크로드를 미국으로 제한하는 가드레일 설정
- 기술 지원 담당자를 Google 및 주 CJIS 기관의 심사를 거친 미국 내 미국인 직원으로 제한
- 저장 및 전송 중에 FIPS-140-2 규정 준수 암호화 시행
- 고객 관리 암호화 키(CMEK) 사용
- 직원 액세스 제어 구현
- CJIS 요구사항 등을 지원하기 위해 개발자 규정 준수 제한 및 논리적 세분화 시행
미국 내 모든 Google Cloud 직원은 Google 백그라운드 확인을 거치지만, Google은 CJI 데이터의 민감도를 인식합니다. 이러한 이유로 Google Cloud는 CJIS 보안 정책에 따라 디지털 지문 기반 FBI 백그라운드 확인 및 범죄 이력 조사를 완료한 미국 직원으로만 기술 지원을 제한하기 위해 고객과 협력하고 있습니다.
또한 주 정부는 고객이 CJI를 지원할 수 있는 사용자를 계속 관리할 수 있도록 승인된 백그라운드 확인 절차를 제공할 수 있습니다.
CJIS 보안 정책 v5.9.1 및 v5.9.2의 주요 업데이트
FBI는 2022년 말에 CJIS 보안 정책을 v5.9.0에서 v5.9.2로 업데이트했습니다. 변경사항은 FBI에서 게시한 요구사항 관련 문서에서 확인할 수 있습니다.
최신 정책에는 몇 가지 영역에서 중요한 업데이트가 포함됩니다. 특히 미디어 보호, 직원 심사, ID 및 액세스 관리, 인식 및 학습, 시스템 및 정보 무결성과 관련된 지침이 업데이트되었으며 이제 NIST 800-1 53 통제와 더욱 관련성이 높아졌습니다.
이러한 변경사항에 대한 몇 가지 일반적인 오해도 있습니다. 부록 G.3(정책의 이전 버전에 제공되어 있음)은 CSP의 환경 내에서 CJI가 복호화될 때 환경에 액세스할 수 있는 관리 직원은 'CJIS 보안 정책에 설명된 대로 보안 인식 교육 및 직원 보안 제어를 받아야 합니다.'라고 시나리오 2에서 설명합니다. CJIS 기관이 암호화 키를 제어하고 있는 경우에도 마찬가지입니다.
고객에게 완전한 보호를 제공하기 위해 Google은 고객 관리 암호화 키(CMEK) 및 직원 보안 제어를 사용하여 CJI 액세스를 CJIS 보안 정책 요건을 충족하고 승인 받은 미국 내 미국인으로 제한합니다.