Divisão de Serviços de Informações da Justiça Criminal (CJIS, na sigla em inglês) dos EUA

A Divisão de Serviços de Informações da Justiça Criminal (CJIS, na sigla em inglês) do Departamento Federal de Investigação (FBI, na sigla em inglês) dos EUA fornece aos órgãos federais, estaduais e locais instruções sobre como proteger as informações da justiça criminal (CJI) ao usar provedores de serviços em nuvem (CSPs, na sigla em inglês), como o Google Cloud.

O Google Cloud oferece controles de segurança para proteger e armazenar as CJI com o Assured Workloads para Google Cloud e Assured Controls para Google Workspace. Os órgãos de cumprimento da lei podem obedecer à política de segurança da CJIS implementando esses controles para os serviços do Google Cloud em escopo.

Conformidade com a CJIS do Google

O Escritório do Programa CJIS do FBI publicou vários artefatos que fornecem orientação específica sobre como proteger as CJI. O documento principal, a Política de Segurança da CJI do FBI, detalha um conjunto mínimo de requisitos de segurança que precisam ser cumpridos para proteger a CJI. O FBI também fornece um mapeamento de requisitos da CJIS para os controles de segurança encontrados no SP do NIST 800-53.

Os clientes do Google Cloud Platform e do Google Workspace podem usar o Assured Workloads e o Assured Controls para garantir conformidade com a política de segurança da CJIS. Entre em contato com a equipe de vendas do Google Cloud usando nosso formulário de contato para saber mais sobre a conformidade da CJIS no Google.

Como hospedar cargas de trabalho CJIS no Google Cloud

O investimento do Google Cloud em segurança por padrão para nossa infraestrutura garante que os controles de segurança sejam integrados e pré-configurados para permitir que os clientes alcancem vários níveis de conformidade sem uma arquitetura de nuvem governamental isolada tradicional.

Os clientes que querem implantar soluções da CJIS usando o Google Cloud podem usar o Assured Workloads para garantir compliance com a política de segurança da CJIS. O Assured Workloads permite que os clientes protejam e configurem cargas de trabalho confidenciais com segurança para atender aos requisitos de conformidade e segurança usando os serviços do Google Cloud. Ele não depende de uma infraestrutura física diferente dos data centers de nuvem pública. Em vez disso, ele oferece uma nuvem comunitária definida por software com vantagens de custo, velocidade e inovação.

O Assured Workloads também oferece visibilidade do estado de conformidade das cargas de trabalho do CJIS por meio do Assured Workloads Monitoring. Essa ferramenta pode ajudar você a identificar e corrigir violações de conformidade, além de fornecer atestados de controle aos auditores do seu estado de conformidade.

Além dos controles atendidos pela infraestrutura do Google Cloud, agências de justiça criminal, estaduais, locais e federais (e seus prestadores de serviços) podem usar o Assured Workloads para:

definir proteções para restringir o armazenamento de cargas de trabalho da CJIS nos EUA
implementar controles de acesso e segurança de pessoal para restringir o acesso da CJI a pessoas localizadas nos EUA que tenham concluído investigações de histórico criminal pelo FBI
aplicar a criptografia em conformidade com o FIPS-140-2 em repouso e em trânsito
usar chaves de criptografia gerenciadas pelo cliente (CMEK);
implemente controles lógicos que segmentem redes e usuários de dados confidenciais no escopo e muito mais.

Como hospedar cargas de trabalho CJIS no Workspace

O Assured Controls para o Google Workspace permite que as organizações atendam a requisitos organizacionais e de conformidade, seja a limitação do acesso da equipe do Google aos dados do cliente ou ditar onde esses dados estão localizados em repouso.

Os clientes que querem implantar soluções da CJIS usando o Google Workspace podem usar o Assured Controls para definir as políticas de acordo com a política de segurança da empresa. Veja um guia de configuração para as soluções CJIS no Google Workspace neste link.

Além dos controles atendidos pela infraestrutura do Google Workspace, agências de justiça criminal, estaduais e locais e federais (e os prestadores de serviço) podem usar o Assured Controls para:

definir proteções para restringir o armazenamento de cargas de trabalho da CJIS nos EUA
implementar controles de acesso e segurança de pessoal para restringir o acesso da CJI a pessoas localizadas nos EUA que tenham concluído investigações de histórico criminal pelo FBI
aplicar a criptografia em conformidade com o FIPS-140-2 em repouso e em trânsito e muito mais.

Perguntas frequentes

Como posso iniciar o processo de Adendo de Segurança da CJIS no meu estado?

Entidades que lidam com CJI (como o Google Cloud) precisam executar um Adendo de segurança da CJIS com estados que queiram usar os serviços da entidade para proteger CJI. O Adendo é um modelo de contrato aprovado pelo Procurador-Geral dos EUA que fornece aos clientes informações detalhadas sobre como o Google Cloud atende à política de segurança da CJIS, as responsabilidades de cada parte, quais serviços de nuvem são cobertos e muitas outras disposições importantes.

Entre em contato com a equipe de vendas do Google Cloud Platform do seu estado por meio do formulário de contato para iniciar o processo e ter acesso ao Adendo de segurança da CJIS do Google Cloud.

Como o Google demonstra que os serviços em nuvem permitem a compliance com os requisitos do meu estado?

O Google assina um Adendo de segurança da CJIS com uma Agência de Sistemas de Segurança (CSA) ou um Diretor de Segurança (CSO) da CJIS. Você pode solicitar uma cópia ao Google ou à CSA ou CSO do seu estado.

Além disso, o Google oferece aos clientes da CJIS narrativas de controle abrangentes que descrevem como o Google Cloud permite que os clientes atendam aos controles técnicos mapeados pelo FBI para conformidade com a CJIS.

Entre em contato com cjis@google.com para receber uma cópia do mapeamento da CJIS do Google.

Como o Google garante que apenas pessoas autorizadas possam dar suporte à CJI?

Nos estados em que os funcionários do Google podem ter acesso sem acompanhamento à CJI não criptografada, o Google trabalha com cada autoridade estadual para garantir que as pessoas que tenham acesso não criptografado à CJI não criptografada passem por investigações de histórico para contratação nesse estado (além do relatório de antecedentes criminais nacionais do FBI). O pessoal qualificado do Google enviará cartões de impressão digital FD-258, junto com a documentação necessária, para cada autoridade.

Esse processo garante que o pessoal autorizado só tenha acesso sem acompanhamento depois de concluir a investigação de histórico para contratação e o treinamento de conscientização de segurança da CJIS.

A computação confidencial é necessária para a CJIS?

Não. Como o Google fornece chaves de criptografia gerenciadas pelo cliente e controles de acesso aos dados da equipe que restringem o acesso a CJI, a computação confidencial não é necessária para a CJIS no Google Cloud.

No entanto, os clientes ainda podem utilizar a Computação confidencial como um controle de segurança complementar sobre o ambiente seguro e restrito que o Google oferece aos clientes da CJIS.

O Google Cloud Platform pode armazenar dados nos Estados Unidos?

Sim. Os clientes podem configurar recursos em locais dos EUA, para nossos serviços principais, e o Google armazenará os dados em repouso somente na região selecionada, de acordo com nossos Termos de Serviço Específicos.

O Google usa a criptografia validada pelo FIPS 140-2?

O Google Cloud usa um módulo de criptografia validado FIPS 140-2 (consulte a página de conformidade com o FIPS 140-2) chamado BoringCrypto (certificado 3678) em nosso ambiente de produção. Isso significa que os dados em trânsito (para o cliente e entre os data centers) e os dados em repouso são criptografados por padrão usando a criptografia validada pelo FIPS 140-2.

O módulo que recebeu a Validação FIPS 140-2 faz parte da biblioteca do BoringSSL. Isso permite que os clientes mantenham a conformidade com o FIPS enquanto escolhem uma das várias ofertas do Cloud Key Management, como as chaves gerenciadas pelo Google, as chaves de criptografia gerenciadas pelo cliente e o gerenciamento de chaves externas. Como o Google Cloud usa esse nível de criptografia para dados em repouso e em trânsito por padrão, os clientes podem herdar a criptografia do FIPS 140-2 e eliminar o requisito de executar produtos e serviços no modo FIPS.

Por que o Google não precisa de uma nuvem governamental?

O Google investiu em uma abordagem de segurança em camadas para sua infraestrutura de nuvem pública, fornecendo recursos como criptografia e controles rígidos de acesso a dados de pessoal. Isso proporciona uma forte postura de segurança necessária para atender aos requisitos rigorosos da Política de segurança da CJIS, além de permitir que os clientes aproveitem as inovações contínuas de produtos da nuvem pública.

A implementação do Google dos controles mencionados acima (e muitos outros) obedece aos requisitos moderados e altos do FedRAMP e foi reconhecida pelo Conselho de autorização conjunta (JAB, na sigla em inglês).