Criminal Justice Information Services (CJIS)

Gestore contesto accesso

AlloyDB per PostgreSQL

Apigee

Artifact Registry

BigQuery

Certificate Authority Service

Cloud Build

Cloud Composer

Cloud Data Fusion

Cloud DNS

Cloud External Key Manager (Cloud EKM)

Cloud HSM

Cloud Identity

Cloud Interconnect

Cloud Key Management Service

Cloud Load Balancing

Cloud Logging

Cloud Monitoring

Cloud NAT (Network Address Translation)

Cloud Router

Cloud Run

Cloud SQL

Cloud Storage

API Cloud Vision

Cloud VPN

Compute Engine

Connect

Dataflow

Dataproc

Filestore

Firestore

GKE Hub

Servizio di identità GKE

Console di amministrazione Google

Google Kubernetes Engine

Identity and Access Management

Identity-Aware Proxy

Memorystore for Redis

Network Connectivity Center

Persistent Disk

Pub/Sub

Resource Manager

Secret Manager

Sensitive Data Protection

Mesh di servizi

Spanner

Speech-to-Text

Text-to-Speech

Vertex AI Search

Workbench Vertex AI

Virtual Private Cloud

Controlli di servizio VPC

Calendar

Documenti

Drive

Moduli

Gmail

Google Chat

Google Meet

Nuova versione di Sites

Fogli

Presentazioni

Recentemente un'organizzazione di test indipendente di terze parti ha valutato i controlli di sicurezza del CJIS di Google Cloud e ha rilevato che Google Cloud consente la conformità al CJIS. Google prevede di aggiornare questa valutazione una volta pubblicata la versione 6.0 delle norme sulla sicurezza CJIS. 

Se richiesto da un cliente o dall'agenzia per i sistemi CJIS (CSA) di uno stato, Google Cloud stipulerà un contratto di gestione che fornisce ai clienti informazioni dettagliate su come Google Cloud consente la conformità ai criteri di sicurezza CJIS, sulle responsabilità di ogni parte, sui servizi cloud coperti e su molte altre disposizioni importanti. Puoi richiedere una copia del contratto di gestione CJIS di Google Cloud inviando un'email all'indirizzo cjis@google.com.

Il team per la conformità di Google Cloud può anche fornire relazioni dettagliate sulla conformità che dimostrano come Google Cloud soddisfi i requisiti CJISSECPOL applicabili ai fornitori di servizi cloud.

Sì. Google Cloud consente ai clienti di limitare i carichi di lavoro CJIS a regioni solo degli Stati Uniti tramite Assured Workloads e Assured Controls. Google archivia i dati at-rest in conformità con i nostri Termini di servizio specifici.

Negli stati in cui i dipendenti di Google potrebbero avere accesso senza scorta ai dati CJI non criptati, Google collabora con il CSA (o un'agenzia locale) per garantire che il personale che può avere accesso senza scorta ai dati CJI non criptati di uno stato sia sottoposto a controlli dei precedenti dell'FBI basati sulle impronte digitali. Il personale Google idoneo invierà a ciascuna CSA le carte delle impronte FD-258, insieme alla documentazione richiesta.

Questo processo garantisce che al personale autorizzato venga concesso l'accesso senza scorta solo dopo aver completato il controllo dei precedenti e la formazione per la consapevolezza della sicurezza di CJIS.

Google ha implementato il principio di Zero Trust al centro dei suoi servizi e delle sue operazioni; la nostra infrastruttura non presuppone alcuna relazione di attendibilità tra i servizi in esecuzione. In altre parole, ogni richiesta di accesso alle risorse viene ispezionata, autenticata e verificata come se provenisse da una rete non attendibile.

Gli ambienti dei clienti all'interno di Google Cloud sono inoltre logicamente segregati per impedire agli utenti e ai clienti di accedere alle risorse che non sono loro assegnate. I dati dei clienti (incluse le CJI) sono logicamente segregati per dominio per consentire la produzione di dati per un singolo tenant. La capacità di Google Cloud di proteggere i dati dei clienti in questo modo, consentendo allo stesso tempo uno sviluppo più rapido delle funzionalità e vantaggi economici per i clienti, lo rende la scelta migliore per i clienti del settore pubblico. 

Infine, tutti i dati dei clienti in transito sono criptati e i dati sono criptati at-rest, per impostazione predefinita, per TUTTI i clienti. In questo modo, in un'architettura cloud multi-tenant sono presenti più livelli di difesa e viene garantito un isolamento efficace per tutti i clienti.

No. Poiché Google fornisce chiavi di crittografia gestite dal cliente e controlli dell'accesso ai dati del personale che limitano l'accesso alle CJI, il Confidential Computing non è richiesto per CJIS su Google Cloud. Tuttavia, i clienti possono comunque utilizzare il Confidential Computing come controllo di sicurezza supplementare oltre all'ambiente sicuro e limitato che Google offre ai clienti CJIS.

Sì, Google Cloud utilizza un modulo di crittografia convalidato FIPS 140-3 denominato BoringCrypto (certificato 4735) nel nostro ambiente di produzione. Ciò significa che i dati in transito (verso il cliente e tra i data center) e i dati at-rest sono criptati per impostazione predefinita tramite la crittografia convalidata FIPS 140-3. 

Consente ai clienti di mantenere la conformità FIPS scegliendo tra una vasta gamma di offerte di Cloud Key Management, tra cui chiavi gestite da Google, chiavi di crittografia gestite dal cliente e chiavi gestite esternamente. Poiché Google Cloud utilizza questo livello di crittografia per impostazione predefinita per i dati at-rest e in transito, i clienti possono ereditare la crittografia FIPS 140-3 ed eliminare il requisito per eseguire i prodotti e i servizi in modalità FIPS.

Il documento sulle norme sulla sicurezza CJIS non richiede l'utilizzo di un cloud governativo ("GovCloud") e non esiste una definizione o uno standard universale per ciò che costituisce un GovCloud. Google Cloud può consentire la conformità al CJIS con le norme sulla sicurezza CJIS e ha dimostrato la nostra conformità a un'organizzazione di valutazione indipendente di terze parti e a numerosi CSA statali. 

Google ha investito in un approccio di sicurezza a più livelli per la propria infrastruttura cloud pubblica, fornendo funzionalità quali crittografia e solidi controlli dell'accesso ai dati del personale. Ciò, insieme all'implementazione del modello Zero Trust descritto in precedenza, fornisce la solida security posture necessaria per soddisfare i severi requisiti delle norme sulla sicurezza CJIS e consente inoltre ai clienti di sfruttare le attuali innovazioni del cloud pubblico.

L'implementazione di Google dei suddetti controlli (e di tanti altri) è conforme ai requisiti FedRAMP Moderate e FedRAMP High ed è stata riconosciuta dal Joint Authorization Board (JAB). 

La convalida del nostro approccio è contenuta nel memorandum M-24-15 ("Modernizing the Federal Risk and Authorization Management Program (FedRAMP)") dell'Office of Management and Budget (OMB), che consiglia alle agenzie federali di abbandonare le architetture GovCloud isolate:

"Il FedRAMP non dovrebbe incentivare o richiedere ai fornitori di servizi cloud commerciali di creare offerte separate e dedicate per l'uso federale, sia attraverso l'applicazione di quadri di sicurezza federali che altre operazioni di programma. Il governo federale beneficia degli investimenti, della manutenzione della sicurezza e dello sviluppo rapido delle funzionalità che i fornitori di servizi cloud commerciali offrono ai loro prodotti principali per avere successo sul mercato. Allo stesso modo, i fornitori commerciali sono incentivati a integrare nei loro servizi principali le migliori prassi di sicurezza che emergono dal loro impegno con FedRAMP, a beneficio di tutti i clienti".

In Google Cloud, crediamo che la fiducia si crei attraverso la trasparenza. Vogliamo quindi essere trasparenti riguardo ai nostri impegni e a ciò che puoi aspettarti in relazione alla nostra responsabilità condivisa nei confronti della protezione e della gestione dei dati nella cloud.

Quando utilizzi Google Workspace o Google Cloud:

1. I dati appartengono a te, non a Google
2. Google non vende i tuoi dati a terze parti
3. Google Cloud non utilizza i dati dei clienti per la pubblicità
4. Tutti i dati dei clienti sono criptati per impostazione predefinita
5. Proteggiamo i dati dei clienti dall'accesso di personale interno
6. Non diamo mai ad alcun ente governativo un accesso "backdoor" ai dati
7. Le nostre norme di tutela della privacy sono verificate in base agli standard internazionali

Consulta l'Addendum per il trattamento dei dati Cloud (ATDC) per ulteriori dettagli sul nostro impegno in materia di trattamento dei dati.