米国国防省調達規則（DFARS）

クラウド ソリューションが国防総省に代わってデータを処理するために使用されている場合、または国防総省がクラウドでデータをホストまたは処理するために　CSP と契約している場合、防衛請負業者は製品番号：252.239-7010 （Cloud Computing Services）に準拠する必要があります。DFARS 252.239-7010 では、クラウドサービスプロバイダは国防総省のクラウドコンピューティングセキュリティ要件ガイドに準拠する必要があります。

Google Cloud と Google Workspace は、DoD クラウドコンピューティング セキュリティ要件ガイド に準拠し、Google Cloud サービスは IL2、IL4、IL5 レベルです。Google Workspace サービスは IL2、IL4 レベルで認可されており、IL5 レベルも認可を目指しています。サポートされているサービスについて詳しくは、DISA 準拠に関するページをご覧ください。

対象防衛情報（CDI）を処理、保存、または送信する情報システムを運用する防衛請負業者は、252.204-7012 のNIST SP 800-171、サイバー インシデント報告義務、およびクラウド サービス プロバイダに関するその他の考慮事項に従って、管理された非機密情報(CUI)の保護に関する要件が規定されています。

お客様は Google Cloud と Google Workspace を使用することで、Google が定義した FedRAMP Moderate および FedRAMP Highの規制を使用して、CSP で適用される DFARS 252.239-7010 および 252.204-7012 条項に準拠できます。

Google Cloud と Google Workspace は、定義済みサービスについて FedRAMP Moderate と FedRAMP High Authority to Operate（ATO）の両方を維持しています。すべての FedRAMP Moderate および FedRAMP High サービスは、NIST 800-171 に準拠しています。お客様は、FedRAMP コンプライアンスをサポートするようにシステムを構成する際に、Google の FedRAMP システム セキュリティ プランの一部である FedRAMP Customer Responsibility Matrix（CRM）を使用する必要があります。Google のセールスチームまたは Google Cloud の営業担当者が、該当するドキュメントへのアクセス方法をご案内します。

すべての FedRAMP サービスについて、Google は FedRAMP Incident Response Plan（IRP）に依存しています。IRP は、FedRAMP ATO の一環として承認された Google の FedRAMP System Security Plan（SSP）の一部です。Google は、インシデント対応標準手順に従い、調査の一環として完了した該当する不正なソフトウェア、メディア、フォレンジック分析、被害評価を保存し、保護しています。

データを米国内のみに保存する必要があるお客様は、FedRAMP High サービス（Assured Workloads または Assured Controls で構成）と FedRAMP CRM を利用する必要があります。これにより、データは米国内の Google データセンター リージョンに保存されます。IL2、IL4、IL5 の Google ソリューションを使用して、顧客データのデータ所在地を確保することもできます。

DoD の請負業者と DIB のお客様は、Google Cloud と Google Workspace を使用して、DFARS 252.204-7012 の要件を満たすことができます。これらの組織は、Assured Workloads または Assured Controls を有効にすることで、Google Cloud 環境内にコンプライアンスを遵守した境界やシステム エンクレーブの作成を促進できます。以下に概説するように、Google は FedRAMP Moderate および FedRAMP High サービスの（CSP）に適用される DFARS 252.204-7012 フローダウン要件を受け入れることを約束します。

お客様は、ソフトウェアで定義された境界内でデプロイするために FedRAMP Moderate または FedRAMP High の規制管理パッケージを選択する必要があります。前述のとおり、FedRAMP コンプライアンスをサポートするようにシステムを設定する際は、Google の FedRAMP SSP の一部である FedRAMP CRM を使用する必要があります。

Google Workspace のお客様は、DFARS 252.204-7012 を遵守する範囲内で、FedRAMP Moderate または FedRAMP High のサービスのみを使用するようにする必要があります。お客様は必要に応じて、まだ FedRAMP 認証を受けていないサービスを無効にすることができます。Google Workspace FedRAMP 設定ガイドに沿って、DFARS 252.204-7012 への準拠をサポートすることをおすすめします。データの場所および Assured Controls は明示的に要求されるものではありませんが、より制限の厳しい要件を持つお客様に対しては、オプションのアドオンと見なされます。

前述したように、FedRAMP 認可の対象となる Google 製品は CSP に適用される DCMRS 252.204-7012 の要件に準拠しており、防衛請負業者は、この要件に従って、これらの要件を満たすことができます。