刑事司法情報サービス（CJIS）
米国連邦捜査局（FBI）の刑事司法情報サービス（CJIS）部門は、Google Cloud のようなクラウド サービス プロバイダ（CSP）を使用する際に刑事司法情報（CJI）を保護する方法について、連邦、州、地方の機関に提供しています。
Google Cloud は、Google Cloud の Assured Workloads、Google Workspace の Assured Controls を介して CJI を保護および保管するためのセキュリティ制御を提供します。法執行機関は、対象範囲内の Google Cloud サービスに対してこれらの制御を実装することで、CJIS セキュリティ ポリシーを遵守できます。
Google の CJIS コンプライアンス
FBI CJIS プログラム担当オフィスは、CJI の保護に関するガイダンスを提供する数多くのアーティファクトを公開しています。主要ドキュメントである FBI CJIS セキュリティ ポリシーには、CJI を保護するために満たす必要のある最低限のセキュリティ要件が詳述されています。FBI は、NIST SP 800-53 で見つかったセキュリティ管理への CJIS 要件のマッピングも提供しています。
Google Cloud Platform と Google Workspace のお客様は、Assured Workloads と Assured Controls を使用して、CJIS セキュリティ ポリシーへの準拠を実現できます。Google の CJIS コンプライアンスの詳細については、お問い合わせフォームから Google Cloud セールスチームにお問い合わせください。
Google Cloud での CJIS ワークロードのホスティング
Google Cloud は、インフラストラクチャについてデフォルトで提供されるセキュリティに投資しています。これにより、セキュリティ コントロールがあらかじめ構成された状態で組み込まれるため、お客様は従来の分離された政府クラウド アーキテクチャを使用せずに、さまざまなコンプライアンス レベルを達成できるようになります。
Google Cloud を使用して CJIS ソリューションをデプロイすることを検討しているお客様は、Assured Workloads を使用して CJIS セキュリティ ポリシーへの準拠を実現できます。Assured Workloads により、Google Cloudサービスを使用して、コンプライアンスとセキュリティの要件をサポートするために、機密性の高いワークロードを確実に保護し、構成することができます。Assured Workloads は、パブリック クラウド データセンターと異なる物理インフラストラクチャには依存せず、費用、スピード、イノベーションの利点を備えたソフトウェア定義コミュニティ クラウドを提供します。
Assured Workloads では、Assured Workloads モニタリングを使用して CJIS ワークロードのコンプライアンス状態を可視化することもできます。このツールにより、コンプライアンス違反を特定して修正し、コンプライアンス状態の管理証明書を監査人に提供することができます。
Google Cloud インフラストラクチャによって提供されるコントロールに加えて、州政府、地方自治体、連邦の法執行機関や刑事司法機関（およびその請負業者）は、Assured Workloads を使用して次のことを達成できます。
- CJIS ワークロードが米国内に保存されるよう制限するためのガードレールを設定する、
- 担当者のセキュリティおよびアクセス制御を実装し、米国在住の米国人で、FBI の州による指紋ベースのバックグラウンド チェックと犯罪歴チェックを完了している人に CJI によるアクセスを制限する、
- FIPS-140-2 の暗号化を保存時と転送時に暗号化する、
- 顧客管理の暗号鍵（CMEK）を使用する。
- ネットワークとユーザーを対象範囲内のセンシティブ データなどからセグメント化する論理制御を実装する。
Workspace での CJIS ワークロードのホスティング
Google Workspace の Assured Controls により、組織は Google 社員による顧客データへのアクセスを制限したり、顧客データの保存場所を指示したりするなど、組織とコンプライアンスの要件を満たすことができます。
Google Workspace を使用して CJIS ソリューションをデプロイすることを検討しているお客様は、Assured Controls を使用して、CJIS セキュリティ ポリシーに沿ったポリシーを設定できます。Google Workspace での CJIS ソリューションの設定ガイドについては、こちらをご覧ください。
Google Workspace インフラストラクチャによって提供されるコントロールに加えて、州政府、地方自治体、連邦政府の法執行機関や刑事司法機関（およびその請負業者）は、Assured Controls を使用して次のことを達成できます。
- CJIS ワークロードが米国内に保存されるよう制限するためのガードレールを設定する、
- 担当者のセキュリティおよびアクセス制御を実装し、米国在住の米国人で、FBI の州による指紋ベースのバックグラウンド チェックと犯罪歴チェックを完了している人に CJI によるアクセスを制限する。
- 保存時と転送時などに FIPS-140-2 の暗号化を適用する。
CJIS の対象となる Google Cloud サービス
Google Cloud Platform
よくある質問
自分の居住地域で CJIS のセキュリティに関する追加条項のプロセスを開始するにはどうすればよいですか？
CJI を取り扱う機関（Google Cloud など）は、CJI を保護するために組織のサービスを使用することを希望する国に対して、CJIS セキュリティ追加条項を締結する必要があります。この追加条項は、米国司法長官の承認を得たテンプレート化された契約で、Google Cloud が CJIS セキュリティ ポリシーをどのように満たしているか、各当事者の責任、対象となるクラウド サービス、その他多くの重要な条項に関する詳細な情報をお客様に提供します。
プロセスを開始して Google Cloud CJIS セキュリティ追加条項にアクセスするには、お問い合わせフォームから居住地域の Google Cloud Platform セールスチームにお問い合わせください。
クラウド サービスによって居住地域の要件の遵守が可能になることを示すにはどうすればよいですか？
Google は、州の CJIS システム庁（CSA）または CJIS のセキュリティ責任者（CSO）との間で CJIS セキュリティ追加条項に署名します。Google、または居住地域の CSA または CSO からのコピーをリクエストすることができます。
さらに、Google は、CJIS のお客様に、FBI でマッピングされた、CJIS のコンプライアンスに必要な技術的なコントロールを、Google Cloud でどのように満たすことができるかを説明する包括的なコントロールのストーリーを提供しています。
Google の CJIS マッピングのコピーを入手するには、cjis@google.com にお問い合わせください。
認定された担当者のみが CJI をサポートできるように、Google はどのように取り組んでいますか？
Google 社員が暗号化されていない CJI に付き添いなしでアクセスできる州では、Google は各国家機関と協力して、州の暗号化されていない CJI に付き添いができない州で、（FBI の国家犯罪歴報告書に加えて）CJIS のバックグラウンド チェックを受けるようにしています。要件を満たす Google 担当者は、FD-258 フィンガープリント カードと必要な書類を各認証機関に提出します。
このプロセスにより、バックグラウンド チェックと CJIS セキュリティ意識向上トレーニングを修了した場合に限り、承認された担当者に付き添いなしでのアクセス権が付与されます。
CJIS に Confidential Computing は必要ですか？
いいえ。Google は顧客管理の暗号鍵と人員データアクセス制御を利用して CJI アクセスを制限するため、Google Cloud の CJIS に対する Confidential Computing は不要です。
ただし、Google が CJIS のお客様に提供する制限された安全な環境に加え、追加のセキュリティ管理として Confidential Computing を引き続きご利用いただけます。
Google Cloud Platform では米国内にデータを保存できますか？
はい。お客様は、米国内で Google の主要サービス用のリソースを構成できます。Google は、サービス固有の規約に従って、選択されたリージョンにのみデータを保存します。
Google は FIPS 140-2 認証取得済みの暗号化を使用していますか？
Google Cloud は、本番環境で BoringCrypto（証明書 3678）と呼ばれる、FIPS 140-2（FIPS 140-2 コンプライアンス ページを参照）の検証済み暗号化モジュールを使用します。これは、お客様への転送中のデータおよびデータセンター間で転送中のデータと、保管中のデータのどちらも、デフォルトで FIPS 140-2 認証取得済みの暗号方式によって暗号化が行われるということを意味します。
FIPS 140-2 認証取得済みのモジュールは Google の BoringSSL ライブラリの一部です。これにより、お客様は Google が管理する鍵、顧客管理の暗号鍵、外部鍵管理など、さまざまな Cloud Key Management オプションを選択しながら、FIPS のコンプライアンスを維持できます。Google Cloud では、保存中および転送中のデータにこのレベルの暗号化をデフォルトで使用しているため、FIPS 140-2 の暗号化を継承し、プロダクトやサービスを FIPS モードで実行する必要はありません。
Google が政府向けのクラウドを必要としないのはなぜですか？
Google は、パブリック クラウド インフラストラクチャに対する多層セキュリティ アプローチに投資し、暗号化や強力な人員データアクセス制御などの機能を提供しています。これにより、CJIS セキュリティ ポリシーの厳しい要件を満たすために必要な強力なセキュリティ ポスチャーが実現されると同時に、お客様はパブリック クラウドの継続的なプロダクト イノベーションを活用できるようになります。
Google は、前述の制御（およびその他多く）の実装で FedRAMP Moderate 要件と FedRAMP High 要件に準拠し、合同承認委員会（JAB）によって承認されています。
セキュリティのベスト プラクティスに関する情報
ベスト プラクティスを見るよくある問題を解決する
セキュリティのユースケース動画を見るパートナーの活用
セキュリティ パートナーを見る
