Servicios de Información de la Justicia Criminal (CJIS)

La División de Servicios de Información de la Justicia Criminal (CJIS) de la Oficina Federal de Investigación (FBI) de EE.UU. proporciona a agencias federales, estatales y locales información sobre cómo proteger la información de la justicia penal (CJI) cuando usan proveedores de servicios en la nube (CSP), como Google Cloud.

Google Cloud ofrece controles de seguridad para proteger y almacenar CJI a través de Assured Workloads para Google Cloud y Assured Controls para Google Workspace. Las agencias de orden público pueden lograr el cumplimiento de la Política de seguridad de CJIS implementando estos controles para los servicios de Google Cloud que se encuentran dentro del alcance.

Cumplimiento de CJIS de Google

La Oficina del Programa de CJIS del FBI publicó varios artefactos que proporcionan una guía para proteger el CJI. El documento principal, la Política de Seguridad del CJIS del FBI, detalla un conjunto mínimo de requisitos de seguridad que deben cumplirse para proteger y salvaguardar el CJI. El FBI también proporciona una asignación de los requisitos de CJIS a los controles de seguridad que se encuentran en el NIST SP 800-53.

Los clientes de Google Cloud Platform y Google Workspace pueden usar Assured Workloads y Assured Controls para cumplir con la política de seguridad de CJIS. Comunícate con el equipo de Ventas de Google Cloud mediante nuestro formulario de contacto para obtener más información sobre el cumplimiento de CJIS de Google.

Aloja cargas de trabajo de CJIS en Google Cloud

La inversión de Google Cloud en seguridad de forma predeterminada para nuestra infraestructura garantiza que los controles de seguridad estén integrados y preconfigurados para permitir que los clientes alcancen varios niveles de cumplimiento sin una arquitectura de nube gubernamental aislada tradicional.

Los clientes que deseen implementar soluciones de CJIS con Google Cloud pueden usar Assured Workloads para cumplir con la política de seguridad de CJIS. Assured Workloads permite a los clientes proteger y configurar con confianza cargas de trabajo sensibles para satisfacer los requisitos de cumplimiento y seguridad usando los servicios de Google Cloud. No depende de una infraestructura física distinta de sus centros de datos en la nube pública, sino que ofrece una nube comunitaria definida por software con ventajas de costo, innovación y velocidad.

Assured Workloads también proporciona visibilidad del estado de cumplimiento de las cargas de trabajo de CJIS a través de Assured Workloads Monitoring. Esta herramienta puede ayudarte a detectar y solucionar los incumplimientos, y proporcionar certificaciones de control a los auditores de tu estado de cumplimiento.

Además de los controles que satisface la infraestructura de Google Cloud, las agencias de orden público y de justicia penal estatales, locales y federales (y sus contratistas) pueden usar Assured Workloads para lo siguiente:

Establecer barreras de seguridad para restringir las cargas de trabajo de CJIS que se almacenarán en EE.UU.,
Implementar controles de seguridad y acceso para el personal a fin de restringir el acceso a la CJI a las personas físicas o jurídicas de EE.UU. que hayan completado la verificación de antecedentes del FBI con las huellas digitales del estado y la verificación de antecedentes penales,
Aplicar la encriptación de FIPS-140-2 en reposo y en tránsito
Usar claves de encriptación administradas por el cliente (CMEK)
Implementar controles lógicos que segmenten redes y usuarios a partir de datos sensibles dentro del alcance y mucho más.

Aloja cargas de trabajo de CJIS en Workspace

Assured Controls para Google Workspace permite que las organizaciones cumplan con los requisitos organizacionales y de cumplimiento, ya sea que impliquen limitar el acceso del personal de Google a los datos del cliente o determinar dónde se ubican los datos del cliente en reposo.

Los clientes que deseen implementar soluciones de CJIS con Google Workspace pueden utilizar Assured Controls para establecer políticas en consonancia con la Política de Seguridad de CJIS. Aquí puedes encontrar una guía de configuración para las soluciones de CJIS en Google Workspace.

Además de los controles que satisface la infraestructura de Google Workspace, las agencias de orden público y justicia penal estatales, locales y federales (y sus contratistas) pueden usar Assured Controls para hacer lo siguiente:

Establecer barreras de seguridad para restringir las cargas de trabajo de CJIS que se almacenarán en EE.UU.,
Implementar controles de seguridad y acceso para el personal a fin de restringir el acceso a la CJI a las personas físicas o jurídicas de EE.UU. que hayan completado la verificación de antecedentes del FBI con las huellas digitales del estado y la verificación de antecedentes penales
Aplicar de manera forzosa la encriptación FIPS-140-2 en reposo y en tránsito, y mucho más.

Preguntas frecuentes

¿Cómo puedo iniciar el proceso del Anexo de Seguridad de CJIS en mi estado?

Las entidades que administran CJI (como Google Cloud) deben ejecutar un Anexo de Seguridad de CJIS con estados que deseen usar los servicios de la entidad para protegerlos. El Anexo es un acuerdo modelo aprobado por el Fiscal General de EE.UU. que proporciona a los clientes información detallada sobre cómo Google Cloud cumple con la Política de Seguridad de CJIS, las responsabilidades de cada parte, los servicios en la nube que se abarcan y muchas otras disposiciones importantes.

Comunícate con el equipo de Ventas de Google Cloud Platform de tu estado a través de nuestro formulario de contacto para iniciar el proceso y obtener acceso a un Anexo de seguridad de CJIS de Google Cloud.

¿Cómo demuestra Google que sus servicios en la nube permiten cumplir con los requisitos de mi estado?

Google firma un Anexo de Seguridad de CJIS ante una Agencia de Sistemas de CJIS (CSA) o un Oficial de Seguridad de la CJIS (CSO) puedes solicitar una copia de Google o del CSA o CSO de tu estado.

Además, Google proporciona a los clientes de CJIS narrativas de control integrales que describen cómo Google Cloud permite a los clientes cumplir con los controles técnicos asignados por el FBI que son necesarios para el cumplimiento de CJIS.

Para obtener una copia de la asignación de CJIS de Google, comunícate con cjis@google.com.

¿Cómo se asegura Google de que solo el personal autorizado pueda brindar asistencia a la CJI?

En los estados en los que los empleados de Google pueden tener acceso sin escolta a CJI no encriptado, Google trabaja con cada autoridad estatal para garantizar que el personal que tenga acceso sin escolta al CJI no encriptado de un estado se someta a las verificaciones de antecedentes del CJIS en ese estado (además del informe nacional de antecedentes penales del FBI). El personal de Google calificado enviará las tarjetas de huella digital FD-258, junto con la documentación requerida, a cada autoridad.

Este proceso garantiza que el personal autorizado obtenga acceso sin escolta solo después de completar la verificación de antecedentes y la capacitación de sensibilización sobre la seguridad de CJIS.

¿Se requiere procesamiento confidencial para CJIS?

No, dado que Google proporciona claves de encriptación administradas por el cliente y controles de acceso a los datos del personal que restringen el acceso a CJI, no se requiere computación confidencial para CJIS en Google Cloud.

Sin embargo, los clientes aún pueden utilizar la computación confidencial como un control de seguridad complementario, además del entorno seguro y restringido que ofrece Google a los clientes de CJIS

¿Google Cloud Platform puede almacenar datos en los Estados Unidos?

Sí. Los clientes pueden configurar recursos en ubicaciones de EE.UU., para nuestros servicios clave, y Google almacenará tus datos en reposo solo en la región seleccionada, según nuestras Condiciones específicas del Servicio.

¿Google usa la encriptación validada por FIPS 140-2?

Google Cloud usa un estándar FIPS 140-2 (Consulta la página de cumplimiento de FIPS 140-2 ) módulo de encriptación validado llamadoBoringCrypto (certificado 3678) en nuestro entorno de producción. Esto significa que los datos en tránsito (al cliente y entre centros de datos) y los datos en reposo se encriptan de forma predeterminada con encriptación validada por FIPS 140-2.

El módulo que consiguió la validación con FIPS 140-2 forma parte de nuestra biblioteca BoringSSL. Esto permite a los clientes mantener el cumplimiento con FIPS y elegir entre una variedad de ofertas de Cloud Key Management, como claves administradas por Google, claves de encriptación administradas por el cliente, y la Administración de claves externa. Dado que Google Cloud usa este nivel de encriptación de forma predeterminada para los datos en reposo y en tránsito, los clientes pueden heredar la encriptación FIPS 140-2 y eliminar el requisito de ejecutar productos y servicios en modo FIPS. de Google.

¿Por qué Google no necesita una nube gubernamental?

Google invirtió en un enfoque de seguridad en capas para su infraestructura de nube pública, que proporciona funciones como la encriptación y controles sólidos de acceso a datos de personal. Esto proporciona la fuerte postura de seguridad necesaria para cumplir con los estrictos requisitos de la política de seguridad de CJIS y, al mismo tiempo, permite que los clientes aprovechen las innovaciones continuas de los productos de la nube pública.

La implementación de los controles mencionados arriba (y muchos otros) por parte de Google cumple con los requisitos del FedRAMP Moderate y de FedRAMP High, y ha sido reconocido por la Junta de Autorización conjunta (JAB).