Criminal Justice Information Services (CJIS)

Access Context Manager

AlloyDB for PostgreSQL

Apigee

Artifact Registry

BigQuery

Certificate Authority Service

Cloud Build

Cloud Composer

Cloud Data Fusion

Cloud DNS

Cloud External Key Manager (Cloud EKM)

Cloud HSM

Cloud Identity

Cloud Interconnect

Cloud Key Management Service

Cloud Load Balancing

Cloud Logging

Cloud Monitoring

Cloud NAT (Network Address Translation)

Cloud Router

Cloud Run

Cloud SQL

Cloud Storage

Cloud Vision API

Cloud VPN

Compute Engine

Connect

Dataflow

Dataproc

Filestore

Firestore

GKE Hub

GKE Identity Service

Admin-Konsole

Google Kubernetes Engine

Identity and Access Management

Identity-Aware Proxy

Memorystore for Redis

Network Connectivity Center

Persistent Disk

Pub/Sub

Resource Manager

Secret Manager

Sensitive Data Protection

Service Mesh

Spanner

Speech-to-Text

Text-to-Speech

Vertex AI Search

Vertex AI Workbench

Virtual Private Cloud

VPC Service Controls

Kalender

Google Docs

Drive

Google Formulare

Gmail

Google Chat

Google Meet

Neues Google Sites

Google Sheets

Google Präsentationen

Eine unabhängige Drittpartei hat die CJIS-Sicherheitskontrollen von Google Cloud kürzlich bewertet und festgestellt, dass Google Cloud erfolgreich die CJIS-Compliance ermöglicht. Google plant, diese Bewertung zu aktualisieren, sobald die CJIS-Sicherheitsrichtlinie 6.0 veröffentlicht wurde. 

Auf Anfrage eines Kunden oder einer staatlichen CJIS Systems Agency (CSA) schließt Google Cloud eine Verwaltungsvereinbarung ab, die den Kunden detaillierte Informationen dazu gibt, wie Google Cloud die CJIS-Sicherheitsrichtlinie erfüllt, welche Verantwortlichkeiten der einzelnen Parteien bestehen, welche Cloud-Dienste abgedeckt sind und viele andere wichtige Bestimmungen. Sie können eine Kopie der Google Cloud CJIS-Informationsmanagementvereinbarung anfordern, indem Sie eine E-Mail an cjis@google.com senden.

Das Google Cloud-Compliance-Team kann auch detaillierte Compliance-Berichte bereitstellen, die zeigen, wie Google Cloud die für Cloud-Dienstanbieter geltenden CJ ISPA-Anforderungen erfüllt.

Ja. Google Cloud ermöglicht es Kunden, CJIS-Arbeitslasten mithilfe von Assured Workloads und Assured Controls auf Regionen in den USA zu beschränken. Google speichert Ihre Daten in Übereinstimmung mit den servicespezifischen Nutzungsbedingungen.

In Bundesstaaten, in denen Google-Mitarbeiter unbeaufsichtigten Zugriff auf unverschlüsselte CJI-Daten haben, arbeitet Google mit dem CSA (oder einer lokalen Behörde) zusammen, um sicherzustellen, dass Mitarbeiter, die unbeaufsichtigten Zugriff auf unverschlüsselte CJI-Daten eines Bundesstaats haben, einer fingerabdruckbasierten FBI-Zuverlässigkeitsüberprüfung unterzogen werden. Berechtigte Google-Mitarbeiter reichen die Fingerabdruckkarten FD-258 zusammen mit den erforderlichen Unterlagen bei jedem CSA ein.

Dadurch wird sichergestellt, dass autorisiertes Personal erst nach Abschluss der Zuverlässigkeitsüberprüfung und der CJIS-Schulung zum Sicherheitsbewusstsein unbegleiteten Zugang erhält.

Google hat Zero-Trust-Sicherheit in den Kern unserer Dienste und Abläufe implementiert. In unserer Infrastruktur wird kein Vertrauensverhältnis zwischen den darauf ausgeführten Diensten vorausgesetzt. Mit anderen Worten: Jede Anfrage für den Zugriff auf Ressourcen wird so geprüft, authentifiziert und verifiziert, als würde sie von einem nicht vertrauenswürdigen Netzwerk stammen.

Die Kundenumgebungen in Google Cloud sind auch logisch voneinander getrennt, damit Nutzer und Kunden nicht auf Ressourcen zugreifen können, die ihnen nicht zugewiesen sind. Kundendaten (einschließlich vertraulicher personenbezogener Daten) werden logisch nach Domains getrennt, damit Daten für einen einzelnen Tenant generiert werden können. Die Fähigkeit von Google Cloud, Kundendaten auf diese Weise zu schützen und gleichzeitig eine schnellere Funktionsentwicklung und Kostenvorteile für Kunden zu ermöglichen, macht es zur besseren Wahl für Behördenkunden. 

Außerdem werden alle Kundendaten während der Übertragung standardmäßig und auch bei Inaktivität verschlüsselt. So gibt es in einer Multi-Tenant-Cloud-Architektur mehrere Schutzebenen und eine starke Isolation für alle Kunden.

Nein. Da Google vom Kunden verwaltete Verschlüsselungsschlüssel und Zugriffssteuerungen für Datenzugriff durch Mitarbeiter bereitstellt, die den CJI-Zugriff einschränken, ist Confidential Computing für CJIS in Google Cloud nicht erforderlich. Allerdings können Kunden zusätzlich zur sicheren und eingeschränkten Umgebung, die Google für CJIS-Kunden bietet, auch Confidential Computing als zusätzliche Sicherheitskontrolle nutzen.

Ja – Google Cloud verwendet in der Produktionsumgebung das gemäß FIPS 140-3 validierte Modul BoringCrypto (Zertifikat 4735). Das bedeutet, dass sowohl die Daten bei der Übertragung (an den Kunden und zwischen Rechenzentren) als auch die ruhenden Daten standardmäßig mit FIPS 140-3-validierter Verschlüsselung verschlüsselt werden.

So können Kunden die FIPS-Compliance wahren und gleichzeitig aus einer Vielzahl von Angeboten für das Cloud Schlüsselverwaltung auswählen, z. B. von Google verwaltete Schlüssel, vom Kunden verwaltete Verschlüsselungsschlüssel und die externe Schlüsselverwaltung. Da Google Cloud dieses Maß an Verschlüsselung standardmäßig für ruhende Daten und Daten bei der Übertragung verwendet, können Kunden die FIPS-140-3-Verschlüsselung übernehmen und können die Anforderungen zum Ausführen von Produkte und Dienste im FIPS-Modus eliminieren.

Die CJIS-Sicherheitsrichtlinie schreibt nicht die Verwendung einer Government Cloud (GovCloud) vor und es gibt keine allgemeine Definition oder Norm dafür, was eine GovCloud ist. Google Cloud kann die CJIS-Compliance gemäß der CJIS-Sicherheitsrichtlinie ermöglichen und hat seine Compliance gegenüber einer unabhängigen Bewertungsorganisation und zahlreichen staatlichen CSAs nachgewiesen. 

Google hat bei seiner öffentlichen Cloud-Infrastruktur in einen mehrstufigen Sicherheitsansatz investiert, der Features wie Verschlüsselung und starke Mitarbeiter-Datenzugriffskontrollen bietet. Zusammen mit der oben beschriebenen Zero-Trust-Implementierung bietet dies einen starken Sicherheitsstatus, der nötig ist, um den strengen Anforderungen der CJIS-Sicherheitsrichtlinie zu entsprechen, und der es Kunden gleichzeitig ermöglicht, die kontinuierlichen Produktinnovationen öffentlicher Clouds zu nutzen.

Die Implementierung von Google der zuvor genannten Kontrollen (und vieler anderer) entsprechen den Anforderungen von FedRAMP Moderate und FedRAMP High und wurden vom Joint Authorization Board (JAB) anerkannt.

Unsere Herangehensweise wird in dem Memo M-24-15 des Office of Management and Budget (OMB) bestätigt, in dem empfohlen wird, dass Bundesbehörden von isolierten GovCloud-Architekturen absehen sollten:

„FedRAMP sollte kommerzielle Cloud-Anbieter nicht dazu anregen oder verpflichten, separate, dedizierte Angebote für den Einsatz durch Bundesbehörden zu erstellen, sei es durch die Anwendung von Sicherheitsrahmenwerken des Bundes oder andere Programmabläufe. Die Bundesregierung profitiert von den Investitionen, der Sicherheitspflege und der schnellen Funktionsentwicklung, die kommerzielle Cloud-Anbieter in ihre Kernprodukte stecken, um auf dem Markt erfolgreich zu sein. Auch kommerzielle Anbieter werden so dazu motiviert, die verbesserten Sicherheitspraktiken, die sich aus ihrer Zusammenarbeit mit FedRAMP ergeben, in ihre Kerndienste einzubinden, was allen Kunden zugutekommt.“

Wir bei Google Cloud glauben, dass Vertrauen durch Transparenz geschaffen wird. Wir möchten nicht nur transparent sein, was unsere Verpflichtungen betrifft, sondern auch bezüglich dessen, was Sie erwarten können, wenn es um die gemeinsame Verantwortung für den Schutz und die Verwaltung Ihrer Daten in der Cloud geht.

Wenn Sie Google Workspace oder die Google Cloud Platform verwenden:

1. Eigentümer der Daten sind Sie, nicht Google.
2. Google verkauft Ihre Daten nicht an Dritte.
3. Google Cloud verwendet Kundendaten nicht zu Werbezwecken
4. Alle Kundendaten sind standardmäßig verschlüsselt.
5. Wir schützen Sie vor Insiderzugriffen auf Ihre Daten.
6. Wir gewähren keiner Behörde „Backdoor”-Zugriff.
7. Unser Umgang mit dem Datenschutz wird anhand internationaler Standards geprüft

Weitere Informationen zu unseren Verpflichtungen bei der Datenverarbeitung finden Sie im Zusatz zur Verarbeitung von Cloud-Daten.