刑事司法資訊服務 (CJIS)

美國聯邦調查局 (FBI) 刑事司法資訊服務 (CJIS) 部門為聯邦、州政府、當地和部落機構提供指引，說明如何在使用 Google Cloud 等雲端服務供應商 (CSP) 時，保護刑事司法相關資訊 (CJI)。

Google Cloud 客戶可使用 Google Cloud 的 Assured Workloads 和 Google Workspace 安全控管，達到遵循 v5.9.5 版《CJIS 安全性政策》的目標。

CJIS 簡介

FBI 的 CJIS 部門會監督全國刑事司法機關 (CJA) 都會使用的許多國家資料庫。這些資料庫中保存的資料大多屬於刑事司法資訊 (CJI)，且受到保護，以防未經授權的使用及發布行為。FBI 的 CJIS 部門發布的《CJIS 安全性政策》(簡稱「CJISSECPOL」) 提供一套保護 CJI 的基本安全性規範。

FBI 也提供《規定附屬文件》，列出《CJIS 安全性政策》近期有哪些異動，同時幫大家釐清存取 CJI 的實體所扮演的安全防護角色及應承擔的責任。雖然存取 CJI 的 CJA 最終都必須負責確保符合 CJIS 規定，但《規定附屬文件》能引導 CJA 判斷哪一方 (例如：FBI CJIS 部門、CJA、服務供應商等) 具備確保相關單位達到特定要求的技術能力。

Google Cloud Platform 和 Google Workspace 客戶可使用 Assured Workloads 和安全控管，達到遵循 v5.9.5 版《CJIS 安全性政策》的目標。獨立第三方評估機構最近評估 Google Cloud 的 CJIS 安全控管機制後，發現 Google Cloud 能讓機構符合 CJIS 法規。我們也可以應要求提供額外的法規遵循資訊，說明 Google Cloud 如何達到雲端服務供應商適用的 CJISSECPOL 規定。

Google Cloud 也會出席 CJIS 諮詢政策委員會的會議，並查看新版的《CJIS 安全性政策》和《規定附屬文件》，確保我們的政策和程序符合任何變更。

在 Google Cloud Platform 中託管 CJIS 工作負載

CJIS 適用的 Assured Workloads 可協助客戶遵循《CJIS 安全性政策》。Google Cloud Platform 的 Assured Workloads 是 Google Cloud 的監管雲端，可協助客戶遵循 CJIS、FedRAMP 高等風險和美國國防部 IL2/IL4/IL5 等架構的規範。

Assured Workloads 採用零信任、軟體導向的法規遵循做法，能讓客戶達到嚴格的政府雲端法規遵循要求，同時提供效能、規模、服務可用性、成本和可靠性方面的優勢。客戶如果使用實體位置各異的雲端架構，根法無法享有這些優勢。

Assured Workloads 能為州級、地方、部落和聯邦執法機關 (以及任何其他刑事司法或非刑事司法 CJI 使用者) 簡化安全防護與法規遵循作業，具體做法如下：

設定資料位置控管機制，將 CJIS 工作負載限定為只能在美國的區域 (「資料落地」)
實施人員安全防護和存取控管機制，限定只有符合以下條件的對象能在無人陪同時存取未加密的 CJI：屬於美國自然人/法人、位於美國境內，且已完成以指紋為基礎的 FBI 背景調查
讓機構組織能夠使用客戶自行管理的加密金鑰 (CMEK)，該金鑰可託管於 Google Cloud 或透過外部金鑰管理工具使用。
讓客戶控管管理員權限及掌握該權限的使用情況
持續監控客戶環境，以防違規事件發生

在 Google Workspace 託管 CJIS 工作負載

Google Workspace 安全控管能協助您達到組織和法規遵循需求，包括限制 Google 員工存取客戶資料，或確保客戶資料位置僅限於美國。

如果客戶想要使用 Google Workspace 部署 CJIS 解決方案，可以運用安全控管功能，根據 CJIS 安全性政策設定政策。如需 Google Workspace 的 CJIS 解決方案設定指南，請按這裡。

屬於 CJIS 適用範圍的 Google Cloud 服務

Google Cloud Platform

Google Workspace

常見問題

Google 如何證明其雲端服務確實符合 CJIS 安全性政策？

獨立第三方評估機構最近評估 Google Cloud 的 CJIS 安全控管機制後，發現 Google Cloud 能成功地讓機構符合 CJIS 法規。Google 預定在《CJIS 安全性政策》v6.0 發布後，再重新接受這項評估。

如果客戶或州級 CJIS 系統局 (CSA) 提出要求，Google Cloud 就會執行《管理協議》，向客戶詳細說明 Google Cloud 如何協助組織遵守《CJIS 安全性政策》規定、各方的責任、涵蓋的雲端服務，以及許多其他重要條款。如要索取《Google Cloud CJIS 管理協議》的副本，請傳送電子郵件至 cjis@google.com。

Google Cloud 法規遵循團隊也能提供詳細的法規遵循資訊，說明 Google Cloud 如何達到雲端服務供應商適用的 CJISSECPOL 規定。

Google Cloud Platform 能否將 CJIS 工作負載的資料位置設為僅限美國的資料中心？

可以，Google Cloud 能讓客戶透過 Assured Workloads 和安全控管，將 CJIS 工作負載的資料位置設為僅限美國區域。Google 會依據《服務專屬條款》儲存您的靜態資料。

Google 如何確保只有獲得授權的人員支援 CJI？

在 Google 員工可能在無人陪同下存取未加密 CJI 的州，Google 會與CSA (或地方機關) 合作，確保可能在無人陪同下存取該州未加密 CJI 的人員接受以指紋為基礎的 FBI 背景調查。符合資格的 Google 人員會將 FD-258 指紋卡及任何必要文件提交給各 CSA。

此流程可確保獲得授權的人員只有在完成背景調查和 CJIS 安全意識訓練後，才會授予無人陪同的存取權。

Google 如何確保我的資料安全無虞？

Google 在服務和營運的核心環節中導入零信任模式，因此系統不會假設在 Google 基礎架構上運作的服務之間有任何信任關係。換句話說，系統會將所有資源存取要求都視為來自於不受信任的網路，然後加以檢查、驗證及確認。

Google Cloud 中的客戶環境也會以邏輯性的方式加以區隔，防止使用者和客戶存取未指派給他們的資源。客戶資料 (包括 CJI) 會依網域套用邏輯區隔，讓系統能針對單一租戶產生資料。Google Cloud 不僅能以這種方式保護客戶資料，還能加快功能開發速度，並為客戶帶來成本效益，是政府客戶的絕佳選擇。

最後，所有客戶傳輸中的資料都會加密，而且根據預設，所有客戶的靜態資料也都會加密。這可確保多租戶雲端架構中有多層防禦機制，並為所有客戶提供嚴密的隔離措施。

CJIS 是否需要機密運算？

Google 提供客戶自行管理的加密金鑰和人員資料存取權控管功能，藉此限制 CJI 存取權，因此對 Google Cloud 中的 CJIS 來說，並不需要使用機密運算。不過，客戶還是可以使用機密運算在 Google 為 CJIS 客戶提供的安全受限制環境中，做為補充安全性控管機制。

Google 是否符合《CJIS 安全性政策》的加密規定？

是，Google Cloud 在正式環境中使用通過 FIPS 140-3 驗證的加密模組，名為 BoringCrypto (認證編號 4735)。也就是說，系統預設會以通過 FIPS 140-3 驗證的加密技術，為傳輸中的資料 (無論是傳輸至用戶端或在資料中心之間傳輸) 和靜態資料加密。

客戶可以透過各種 Cloud Key Management 服務 (例如 Google 代管的金鑰、客戶自行管理的加密金鑰與外部金鑰管理) 持續符合 FIPS 的規範。由於 Google Cloud 預設會對靜態資料和傳輸中的資料套用這層加密機制，因此客戶可以沿用 FIPS 140-3 加密，不必在 FIPS 模式下執行產品和服務。

為什麼 Google 不需要 Government Cloud？

CJIS 安全性政策並未規定必須使用政府雲端 (簡稱「GovCloud」)，且並無通用的定義或標準來界定 GovCloud 的構成要素。Google Cloud 能協助機構符合 CJIS 安全性政策的 CJIS 規定，並已向獨立第三方評估機構和多個州級 CJIS 證明我們符合相關規定。

Google 投資了其公有雲基礎架構的分層式安全防護機制，提供加密功能和強大的人員資料存取權控管等功能。這項措施再加上先前提到的採用零信任機制，就能提供符合 CJIS 安全性政策嚴格規定所需的強大安全防護機制，同時讓客戶得以利用公有雲的持續產品創新。

Google 實作上述控管機制 (以及許多其他控管機制) 均符合 FedRAMP 中等風險和 FedRAMP 高等風險規範，並已獲得聯合授權委員會 (JAB) 認可。

美國行政管理與預算局 (OMB) 的 M-24-15 備忘錄 (「翻新聯邦風險與授權管理計畫 (FedRAMP)」) 中建議聯邦機構擺脫獨立不相通的 GovCloud 架構，由此可見我們的做法是正確的：

「FedRAMP 不應鼓勵或要求商業雲端服務供應商打造獨立的專屬產品/服務供聯邦政府使用，無論是透過聯邦安全架構或其他計畫作業的應用管道，都是如此。商業雲端服務供應商為了在市場上獲致成功，會在核心產品上投入資源、確保一切安全無虞並快速開發功能，而聯邦政府也能從中受惠。同樣地，商業服務供應商也能透過與 FedRAMP 的互動找出更完善的安全防護做法，然後將這些做法整合至核心服務，為所有客戶創造效益。」