Divisão de Serviços de Informações da Justiça Criminal (CJIS, na sigla em inglês) dos EUA

Access Context Manager

AlloyDB para PostgreSQL

Apigee

Artifact Registry

BigQuery

Certificate Authority Service

Cloud Build

Cloud Composer

Cloud Data Fusion

Cloud DNS

Gerenciador de chaves externas do Cloud (Cloud EKM)

Cloud HSM

Cloud Identity

Cloud Interconnect

Cloud Key Management Service

Cloud Load Balancing

Cloud Logging

Cloud Monitoring

Cloud NAT (conversão de endereços de rede)

Cloud Router

Cloud Run

Cloud SQL

Cloud Storage

API Cloud Vision

Cloud VPN

Compute Engine

Connect

Dataflow

Dataproc

Filestore

Firestore

Hub GKE

Serviço de identidade do GKE

Google Admin Console

Google Kubernetes Engine

Identity and Access Management

Identity-Aware Proxy

Memorystore para Redis

Network Connectivity Center

Persistent Disk

Pub/Sub

Resource Manager

Secret Manager

Proteção de Dados Sensíveis

Malha de serviço

Spanner

Speech-to-Text

Text-to-Speech

Vertex AI para Pesquisa

Vertex AI Workbench

Nuvem privada virtual

VPC Service Controls

Agenda

Documentos

Drive

Formulários

Gmail

Google Chat

Google Meet

Novo Google Sites

Planilhas

Apresentações

Recentemente, uma organização de avaliação independente avaliou os controles de segurança do Google Cloud para CJIS e concluiu que o Google Cloud permite conformidade com o CJIS. O Google planeja atualizar essa avaliação assim que a versão 6.0 da Política de segurança da CJIS for publicada. 

Se solicitado por um cliente ou pela Agência de sistemas (CSA, na sigla em inglês) do CJIS, o Google Cloud assinará um contrato de gerenciamento que fornece aos clientes informações detalhadas sobre como o Google Cloud permite a conformidade com a política de segurança da CJIS, as responsabilidades de cada parte, quais serviços de nuvem são cobertos e muitas outras disposições importantes. É possível solicitar uma cópia do Contrato de gerenciamento do Google Cloud com CJIS enviando um e-mail para cjis@google.com.

A equipe de compliance do Google Cloud também pode fornecer narrativas detalhadas de compliance que demonstram como o Google Cloud atende aos requisitos da CJISSECPOL aplicáveis aos provedores de serviços de nuvem.

Sim. O Google Cloud permite que os clientes restrinjam as cargas de trabalho do CJIS a regiões apenas dos EUA usando o Assured Workloads e o Assured Controls. O Google vai armazenar seus dados em repouso de acordo com os Termos de serviço específicos.

Nos estados em que os funcionários do Google podem ter acesso sem escolta a CJI não criptografada, o Google trabalha com a CSA (ou uma agência local) para garantir que os funcionários que podem ter acesso sem escolta a CJI não criptografada de um estado passem por verificações de antecedentes criminais com base em impressões digitais do FBI. Os funcionários qualificados do Google enviarão cartões de impressão digital FD-258, junto com a documentação necessária, para cada CSA.

Esse processo garante que o pessoal autorizado só tenha acesso sem acompanhamento depois de concluir a investigação de histórico para contratação e o treinamento de conscientização de segurança da CJIS.

O Google implementou a confiança zero no núcleo dos nossos serviços e operações. Nossa infraestrutura não pressupõe confiança entre os serviços em execução nela. Em outras palavras, cada solicitação de acesso a recursos é inspecionada, autenticada e verificada como se viesse de uma rede não confiável.

Os ambientes do cliente no Google Cloud também são segregados logicamente para impedir que usuários e clientes acessem recursos não atribuídos a eles. Os dados do cliente (incluindo CJI) são separados logicamente por domínio para permitir a produção de dados para um único locatário. A capacidade do Google Cloud de proteger os dados do cliente dessa maneira, além de permitir o desenvolvimento mais rápido de recursos e benefícios de custo para o cliente, faz dele a melhor escolha para clientes do governo. 

Por fim, todos os dados do cliente em trânsito e em repouso são criptografados por padrão para TODOS os clientes. Isso garante que haja várias camadas de defesa em uma arquitetura de nuvem multilocatário e oferece isolamento forte para todos os clientes.

Não. Como o Google fornece chaves de criptografia gerenciadas pelo cliente e controles de acesso aos dados da equipe que restringem o acesso a CJI, a computação confidencial não é necessária para a CJIS no Google Cloud. No entanto, os clientes ainda podem utilizar a Computação confidencial como um controle de segurança complementar sobre o ambiente seguro e restrito que o Google oferece aos clientes da CJIS.

Sim. O Google Cloud usa um módulo de criptografia com validação FIPS 140-3 chamado BoringCrypto (certificado 4735) no ambiente de produção. Isso significa que os dados em trânsito (para o cliente e entre os data centers) e os dados em repouso são criptografados por padrão usando a criptografia validada pelo FIPS 140-3. 

Isso permite que os clientes mantenham a conformidade com o FIPS enquanto escolhem uma das várias ofertas do Cloud Key Management, como as chaves gerenciadas pelo Google, as chaves de criptografia gerenciadas pelo cliente e o gerenciamento de chaves externas. Como o Google Cloud usa esse nível de criptografia para dados em repouso e em trânsito por padrão, os clientes podem herdar a criptografia do FIPS 140-3 e eliminar o requisito de executar produtos e serviços no modo FIPS.

A política de segurança do CJIS não exige o uso de uma Nuvem de governo (GovCloud), e não há uma definição ou padrão universal sobre o que constitui uma GovCloud. O Google Cloud pode garantir a conformidade com a política de segurança da CJIS e já demonstrou isso para uma organização de avaliação independente e várias CSAs estaduais. 

O Google investiu em uma abordagem de segurança em camadas para sua infraestrutura de nuvem pública, fornecendo recursos como criptografia e controles rígidos de acesso a dados de pessoal. Isso, junto com a implementação de confiança zero descrita acima, proporciona uma postura de segurança forte necessária para atender aos requisitos rigorosos da Política de segurança da CJIS, além de permitir que os clientes aproveitem as inovações contínuas de produtos da nuvem pública.

A implementação do Google dos controles mencionados acima (e muitos outros) obedece aos requisitos moderados e altos do FedRAMP e foi reconhecida pelo Conselho de autorização conjunta (JAB, na sigla em inglês). 

Nossa abordagem é validada no memorando M-24-15 ("Modernizing the Federal Risk and Authorization Management Program (FedRAMP)") do Escritório de Gestão e Orçamento (OMB, na sigla em inglês), que recomenda que as agências federais deixem de usar arquiteturas isoladas de GovCloud:

"O FedRAMP não deve incentivar nem exigir que provedores de nuvem comerciais criem ofertas separadas e dedicadas para uso federal, seja pela aplicação de estruturas de segurança federais ou por outras operações do programa. O governo federal se beneficia do investimento, da manutenção de segurança e do rápido desenvolvimento de recursos que os provedores de nuvem comerciais oferecem aos produtos principais para ter sucesso no mercado. Os provedores comerciais também são incentivados a integrar práticas de segurança aprimoradas que surgem do engajamento com o FedRAMP aos serviços principais, beneficiando todos os clientes.”

No Google Cloud, acreditamos que a confiança é criada por meio da transparência, por isso, queremos ser transparentes sobre nossos compromissos e o que você pode esperar quando se trata da nossa responsabilidade em comum de proteger e gerenciar seus dados na nuvem.

Quando você usa o Google Workspace ou o Google Cloud:

1. Os dados são seus, não do Google.
2. O Google não vende os dados do cliente a terceiros
3. O Google Cloud não usa dados do cliente para publicidade
4. Todos os dados dos clientes são criptografados por padrão
5. Oferecemos proteção contra o acesso interno aos seus dados
6. Nunca concedemos acesso "backdoor" a qualquer entidade governamental
7. Nossas práticas de privacidade são auditadas com base em padrões internacionais

Consulte o Adendo sobre processamento de dados do Cloud (CDPA) para mais detalhes sobre nossos compromissos com o processamento de dados.