Criminal Justice Information Services (CJIS)

Administrador de contextos de acceso

AlloyDB for PostgreSQL

Apigee

Artifact Registry

BigQuery

Servicio de Autoridades de Certificación

Cloud Build

Cloud Composer

Cloud Data Fusion

Cloud DNS

Cloud External Key Manager (Cloud EKM)

Cloud HSM

Cloud Identity

Cloud Interconnect

Cloud Key Management Service

Cloud Load Balancing

Cloud Logging

Cloud Monitoring

Cloud NAT (Traducción de direcciones de red)

Cloud Router

Cloud Run

Cloud SQL

Cloud Storage

API de Cloud Vision

Cloud VPN

Compute Engine

Connect

Dataflow

Dataproc

Filestore

Firestore

Hub de GKE

Servicio de identidad de GKE

Consola de administración de Google

Google Kubernetes Engine

Gestión de Identidades y Accesos

Identity-Aware Proxy

Memorystore para Redis

Network Connectivity Center

Persistent Disk

Pub/Sub

Resource Manager

Secret Manager

Protección de Datos Sensibles

Service Mesh

Spanner

Speech-to-Text

Text-to-Speech

Vertex AI Search

Vertex AI Workbench

Nube privada virtual

Controles de Servicio de VPC

Calendar

Documentos

Drive

Formularios

Gmail

Google Chat

Google Meet

Versión nueva de Sites

Hojas de cálculo

Presentaciones

Recientemente, una organización de evaluación externa independiente ha evaluado los controles de seguridad de CJIS de Google Cloud y ha determinado que Google Cloud cumple los requisitos de CJIS. Google tiene previsto actualizar esta evaluación una vez que se haya publicado la versión 6.0 de la política de seguridad del CJIS.

Si un cliente o una agencia de sistemas del CJIS de un estado lo solicita, Google Cloud firmará un acuerdo de gestión que proporcionará a los clientes información detallada sobre cómo cumple Google Cloud la política de seguridad del CJIS, cuáles son las responsabilidades de cada una de las partes, qué servicios en la nube están cubiertos y muchas otras disposiciones importantes. Puedes solicitar una copia del Acuerdo de Gestión de CJIS de Google Cloud enviando un correo a cjis@google.com.

El equipo de cumplimiento de Google Cloud también puede proporcionar argumentarios de cumplimiento detallados que demuestren cómo cumple Google Cloud los requisitos de CJISSECPOL aplicables a los proveedores de servicios en la nube.

Sí. Google Cloud permite a los clientes limitar las cargas de trabajo de CJIS a determinadas regiones de EE. UU. mediante Assured Workloads y Assured Controls. Google almacenará tus datos en reposo de acuerdo con nuestros Términos del Servicio específicos.

En los estados en los que los empleados de Google pueden acceder sin supervisión a datos CJI no encriptados, Google colabora con el CSA (o una agencia local) para que dicho personal se someta a comprobaciones de antecedentes del FBI basadas en la huella digital. El personal cualificado de Google enviará a cada CSA las tarjetas de huella digital FD-258, junto con toda la documentación requerida.

Con este proceso se asegura que se concederá acceso sin autorización al personal autorizado únicamente después de completar la comprobación de antecedentes y la formación de concienciación sobre seguridad del CJIS.

Google ha implementado la confianza cero en el núcleo de nuestros servicios y operaciones. Esto significa que nuestra infraestructura no presupone el nivel de confianza entre los servicios que se ejecutan en ella. Es decir, cada solicitud de acceso a recursos se inspecciona, se autentica y se verifica como si procediera de una red que no es de confianza.

Los entornos de los clientes en Google Cloud también están segregados de forma lógica para evitar que los usuarios y los clientes accedan a recursos que no se les han asignado. Los datos de los clientes (incluidos los datos de carácter personal identificativo) se segregan de forma lógica por dominio para que se puedan generar datos de un solo cliente. La capacidad de Google Cloud para proteger los datos de los clientes de esta forma, a la vez que permite desarrollar funciones más rápidamente y ofrece ventajas en cuanto a costes para los clientes, lo convierte en la mejor opción para los clientes del sector público. 

Por último, todos los datos de los clientes en tránsito se encriptan. El encriptado se lleva a cabo en reposo de forma predeterminada para TODOS los clientes. De esta forma, se garantiza que haya varias capas de defensa en una arquitectura de nube multiarrendatario y se proporciona un aislamiento sólido para todos los clientes.

No, dado que Google proporciona claves de encriptado gestionadas por el cliente y controles de acceso a los datos del personal que restringen el acceso al CJI, no se requiere la computación confidencial para CJIS en Google Cloud. Sin embargo, los clientes pueden seguir utilizando la informática confidencial como control de seguridad complementario además del entorno seguro y restringido que ofrece Google a los clientes de CJIS.

Sí. En el entorno de producción de Google Cloud se utiliza BoringCrypto (certificado 4735), un módulo de encriptado validado por el estándar FIPS 140-3. Esto significa que los datos en tránsito (al cliente y entre los centros de datos) y los datos en reposo se encriptan de forma predeterminada con el encriptado validado por el estándar FIPS 140‐3.

De este modo, los clientes pueden cumplir el estándar FIPS y elegir entre una amplia gama de gestión de claves de Cloud, como claves gestionadas de Google, claves de encriptado gestionadas por el cliente, y gestión de claves externas. Dado que Google Cloud utiliza este nivel de encriptado de forma predeterminada para los datos en reposo y en tránsito, los clientes pueden heredar el encriptado FIPS 140‐3 y eliminar el requisito de ejecutar productos y servicios en modo FIPS para obtener más información.

La política de seguridad de CJIS no exige el uso de un Gobierno en la nube (GovCloud), y no existe una definición o estándar universal sobre lo que constituye un GovCloud. Google Cloud posibilita el cumplimiento con la política de seguridad del CJIS y ha demostrado nuestro cumplimiento frente a una organización de evaluación externa independiente y numerosas CSAs estatales. 

En Google, hemos invertido en un enfoque de seguridad por capas de nuestra infraestructura en la nube pública que proporciona funciones como el encriptado y controles sólidos de acceso a los datos del personal. Esto, junto con la implementación de confianza cero que se ha descrito anteriormente, proporciona la estrategia de seguridad sólida que se necesita para cumplir los estrictos requisitos de la política de seguridad del CJIS y, al mismo tiempo, permite que los clientes aprovechen las innovaciones en productos de la nube pública.

La implementación por parte de Google de los controles mencionados (y muchos otros) cumple los requisitos de nivel moderado y alto del programa FedRAMP, y ha sido reconocida por la junta de autorización conjunta (JAB).

Nuestro enfoque se ve validado en el memorando M-24-15 de la Oficina de Gestión y Presupuesto de EE. UU. (OMB) sobre la modernización del programa federal de gestión de autorizaciones y riesgo de EE. UU. (FedRAMP), en el que se recomienda que las agencias federales dejen de usar arquitecturas de GovCloud aisladas:

"FedRAMP no debe incentivar ni exigir a los proveedores de servicios en la nube comerciales que creen ofertas independientes y específicas para su uso por parte del Gobierno federal, ya sea mediante la aplicación de marcos de seguridad federales o de otras operaciones del programa. El Gobierno Federal se beneficia de la inversión, el mantenimiento de la seguridad y el desarrollo rápido de funciones que los proveedores de servicios en la nube comerciales ofrecen a sus productos principales para tener éxito en el mercado. De forma similar, los proveedores comerciales tienen incentivos para integrar las prácticas de seguridad mejoradas que surgen de su colaboración con FedRAMP en sus servicios principales, lo que beneficia a todos los clientes".

En Google Cloud tenemos la firme convicción de que la confianza se genera por medio de la transparencia; por esta razón, queremos dejar claros nuestros compromisos y las expectativas que puedes tener al respecto de nuestra responsabilidad compartida a la hora de proteger y administrar tus datos en la nube.

Cuando utilizas Google Workspace o Google Cloud, puedes dar por hecho lo siguiente:

1. Los datos son de tu propiedad, no de Google.
2. Google no vende los datos de clientes a terceros.
3. Google Cloud no utiliza los datos de clientes con fines publicitarios.
4. Todos los datos de clientes se encriptan de forma predeterminada.
5. Protegemos el acceso interno a tus datos.
6. Jamás otorgamos a ninguna entidad pública acceso secreto (backdoor) a tus datos.
7. Nuestras prácticas de privacidad se auditan según los estándares internacionales.

Consulta la Adenda sobre Tratamiento de Datos de Cloud (CDPA) para obtener más información sobre nuestros compromisos con el tratamiento de datos.