美國國防聯邦採購法規補充條款 (DFARS)

假如有人使用雲端解決方案代表 DoD 處理資料，或是 DoD 與 CSP 簽訂合約以便在雲端託管或處理資料，國防承包商必須遵守 DFARS 252.239-7010《雲端運算服務》的規範。DFARS 252.239-7010 要求雲端服務供應商遵守《DoD 雲端運算安全性要求指南》。

Google Cloud 和 Google Workspace 可以協助客戶遵守《DoD 雲端運算安全性要求指南》。Google Cloud 服務在 IL2、IL4 和 IL5 層級獲得授權，而 Google Workspace 服務在 IL2 和 IL4 獲得授權，正在取得 IL5 授權。如要進一步瞭解支援的服務，請參閱「DISA 法規遵循」頁面。

負責資訊系統處理、儲存或傳輸「涵蓋國防資訊」(CDI) 的國防承包商必須遵守 DFARS 第 252.204-7012 條，該條款規定雲端服務供應商要根據 NIST SP 800-171 實施保護「受控非列密資訊」(CUI) 和網路事件回報義務，以及其他注意事項。

客戶可以透過 Google Cloud 和 Google Workspace，實施我們定義的 FedRAMP 中度和 FedRAMP 高度風險控管措施，以遵守 CSP 適用的 DFARS 252.239-7010 和 252.204-7012 條款。

Google Cloud 和 Google Workspace 皆針對定義服務維護 FedRAMP 中等風險和 FedRAMP 高等風險執行授權 (ATO)所有 FedRAMP 中等風險和 FedRAMP 高等風險服務均符合 NIST 800-171 規定。客戶設定系統時，必須使用 Google 在 FedRAMP 系統安全性計畫 (SSP) 中的 FedRAMP 客戶責任表 (CRM)，以符合 FedRAMP 法規遵循要求。我們的銷售團隊或 Google Cloud 代表可協助您取得這類文件。

針對所有 FedRAMP 服務，Google 一律採用其 FedRAMP 事件應變計畫 (IRP)，這是 Google FedRAMP 系統安全性計畫 (SSP) 的一部分，授權為 FedRAMP ATO 的一部分。根據其事件應變標準程序，Google 會保留並保護在調查過程中任何適用的惡意軟體、媒體、鑑識分析和完成的損害評估。

如果客戶要求只將資料儲存在美國，必須使用 FedRAMP 高等風險服務 (已設定 Assured Workloads 或安全控管) 和 FedRAMP 客戶責任表。這可確保資料儲存在美國境內的 Google 資料中心區域。客戶也可以選擇使用 IL2、IL4 或 IL5 層級的 Google 解決方案，確保客戶資料落地。

Google Cloud 和 Google Workspace 的產品與服務可協助 DoD 承包商和 DIB 客戶遵守 DFARS 252.204-7012 的規定。這些機構只要啟用 Assured Workloads 或安全控管，就能在 Google Cloud 環境中建立符合規定的界線或系統安全區。如下所述，Google 致力於接受 (CSP) 適用於 FedRAMP 中等風險和 FedRAMP 高等風險服務的 DFARS 252.204-7012 一系列規定。

客戶必須選擇 FedRAMP 中等風險或 FedRAMP 高等風險法規控制套件，才能在軟體定義邊界內進行部署。如上方所述，客戶設定系統以遵循 FedRAMP 法規時，應使用屬於 Google FedRAMP SSP 中的 FedRAMP 客戶責任表。

Google Workspace 客戶必須確保自己僅使用符合 DFARS 252.204-7012 規範的 FedRAMP 中等風險或 FedRAMP 高等服務。如有需要，客戶可以關閉尚未獲得 FedRAMP 授權的服務。Google 建議客戶遵守 Google Workspace FedRAMP 設定指南，以符合 DFARS 252.204-7012 規範。請注意，雖然資料位置與安全控管並未明確要求符合 DFARS 252.204-7012 規定，但客戶若需要更嚴格的控管機制，也可自行選擇加購。

如上方所述，適用 FedRAMP 授權的 Google 產品遵守 CSP 的 DFARS 252.204-7012 規範，因而能協助承包商遵守 DFARS 252.204-7012 所規定的義務。