Vorläufige Zulassung der U.S. Defense Information Systems Agency

DISA ist eine Agentur des DoD, die für die Entwicklung und Pflege des Leitfadens für Sicherheitsanforderungen (SRG) an Cloud Computing für DoD verantwortlich ist. Die Cloud Computing SRG definiert die grundlegenden Sicherheitsanforderungen, die vom DoD verwendet werden, um den Sicherheitsstatus eines Cloud-Dienstangebots (CSO) zu bewerten, und unterstützt die Entscheidung, eine DoD-PA zu gewähren, die einem Cloud-Dienstanbieter (CSP) das Hosten von DoD-Missionen erlaubt. Sie enthält, ersetzt und hebt das zuvor veröffentlichte DoD Cloud Security Model (CSM) auf und bildet das DoD Risk Management Framework (RMF) ab.

DISA leitet die DoD-Behörden und -Abteilungen bei der Planung und Autorisierung der Verwendung eines CSO an. Außerdem werden die CSOs auf die Einhaltung der SRG geprüft – ein Genehmigungsverfahren, bei dem CSPs Unterlagen vorlegen können, aus denen hervorgeht, dass sie die DoD-Standards einhalten. Sie gibt bei Bedarf DoD-PAs aus, damit DoD-Behörden und unterstützende Organisationen Cloud-Dienste nutzen können, ohne selbst einen vollständigen Genehmigungsprozess durchlaufen zu müssen. Das spart Zeit und Aufwand.

Im Jahr 2022 erhielt Google Cloud eine vorläufige Befugnis gemäß IL5 und war damit einer der ersten Hyperscaler, die die DISA-Genehmigung für eine softwarebasierte Community-Cloud erhielten. Ein softwarebasierter Isolationsansatz bietet im Vergleich zu herkömmlichen staatlichen Clouds mehr Flexibilität in puncto Bereitstellung, Skalierbarkeit und Kosten in Regionen.

ILx-Paketanfragen (DoD-ILx-Pakete) basieren auf FedRAMP High-Paketen mit zusätzlichen DoD-spezifischen Kontrollen. ILx-Pakete sind nicht für die Freigabe durch Google autorisiert und müssen anderen Parteien von DISA bereitgestellt werden. Wenn eine Behörde Details zum DoD-PA-Paket benötigt, die über das FedRAMP-P-ATO-Paket hinausgehen, kann sie sich unter DISA Ft Meade RE Mailbox Cloud-Team: disa.meade.re.mbx.cloud-team@mail.mil an die Cloud Assessment Division wenden.

IL2-Daten umfassen nicht kontrollierte, nicht klassifizierte Informationen, d. h. alle Daten, die für die Veröffentlichung freigegeben wurden, sowie einige nicht klassifizierte Informationen mit niedriger Vertraulichkeit, die nicht als kontrollierte, nicht klassifizierte Informationen (controlled unclassified information, CUI) gelten. Diese Auswirkungsstufe ermöglicht eine Nicht-CUI-Kategorisierung basierend auf CNSSI 1253 Sicherheitskategorisierung und -steuerungsauswahl für National Security Systems bis zu niedriger Vertraulichkeit und moderater Integrität (L-M-x).

Im Memo des DoD CIO vom 15. Dezember 2014 zu den aktualisierten Richtlinien für die Beschaffung und Nutzung kommerzieller Cloud Computing-Dienste heißt es: „FedRAMP dient als minimale Sicherheitsgrundlage für alle Cloud-Dienste des DoD.“ Die SRG verwendet die FedRAMP Moderate Baseline für alle IL-Informationen und zieht die High Baseline bei einigen in Betracht.

Paragraf 5.1.1, Verwendung der FedRAMP Security Controls durch den DoD der Cloud Computing SRG, beschreibt, dass IL2-Informationen in einem CSO gehostet werden können, der über mindestens eine vorläufige FedRAMP-Autorisierung (Moderate oder High) verfügt. Nur FedRAMP-Kontrollen mit moderatem oder hohem Baseline-Wert werden auf DoD-IL2-PAs geprüft. Bei einer IL2-PA erlaubt das DoD die vollständige Gegenseitigkeit mit einer vom FedRAMP Joint Authorization Board (JAB) ausgestellten vorläufigen Betriebserlaubnis (P-ATO) der Stufen FedRAMP-Moderat oder -Hoch. Weitere Informationen zur FedRAMP-Compliance von Google Cloud finden Sie auf unserer FedRAMP-Seite. 

IL4- und IL5-Arbeitslasten können über Assured Workloads bereitgestellt werden. Dies ermöglicht Sicherheitskontrollen, die die erhöhten Anforderungen an Datenstandort und Support erfüllen. Assured Workloads erzwingt außerdem Sicherheitsvorkehrungen für Entwickler, die großen Organisationen dabei helfen, Compliance-Vorgaben einzuhalten. 

Nachdem Sie Ihre IL4- oder IL5-autorisierten Dienste ausgewählt haben, kann Google Sie mithilfe dienstspezifischer Konfigurationsanleitungen durch direkten Kontakt mit unserer Professional Services-Organisation bei der Konfiguration Ihrer Lösung unterstützen. Darüber hinaus stellt Google Kunden einen IL4-Springboard-Bereitstellungsleitfaden mit Terraform-Code zur Verfügung.

Kunden, die ihre Lösungen mit Google Cloud in ihren IL4- und IL5-Umgebungen bereitstellen möchten, müssen Assured Workloads verwenden. Mit Assured Workloads können Kunden sensible Arbeitslasten mit Google Cloud-Diensten souverän schützen und konfigurieren, damit sie Compliance- und Sicherheitsanforderungen erfüllen. Assured Workloads stützt sich anders als seine öffentlichen Cloud-Rechenzentren nicht auf eine physische Infrastruktur. Stattdessen wird eine Software Defined Community Cloud bereitgestellt, die Kosten-, Geschwindigkeits- und Innovationsvorteile bietet. 

IL4- und IL5-autorisierte Dienste, die über Assured Workloads zur Verfügung gestellt werden, implementieren IL4- und IL5-Sicherheitskontrollen und ermöglichen es Kunden, die Funktionen von Google Cloud zu nutzen, um ihre organisatorischen Anforderungen zu erfüllen. Assured Workloads bietet über das Assured Workloads-Monitoring außerdem Einblick in den Compliancestatus von IL4- und IL5-Arbeitslasten. Mit diesem Tool können Sie Complianceverstöße leichter erkennen und beheben und Auditoren Ihres Compliancestatus Kontroll-Attestierungen zur Verfügung stellen.

Zusätzlich zu den Kontrollen, die durch die vorläufige IL5-Befugnis der Google Cloud-Infrastruktur erfüllt werden, implementiert Assured Workloads standardmäßig die folgenden wichtigen IL4- und IL5-Kontrollen für Kunden, die mit IL4- und IL5-Regierungsdaten arbeiten: 

1. Leitlinien festlegen, um den Speicherort von IL4- und IL5-Kundendaten auf die USA zu beschränken
2. Beschränkung der Mitarbeiter des technischen Supports auf Mitarbeiter, die für IL4 und IL5 zugelassen sind und sich in den USA befinden.
3. Verwendung einer FIPS-140-2-kompatiblen Verschlüsselung für ruhende Daten und Daten bei der Übertragung erzwingen.
4. Implementierung von für IL4 und IL5 erforderlichen Mitarbeiterzugriffskontrollen für diejenigen, die routinemäßig Zugriff auf Kundendaten haben.
5. Entwickler dürfen nur IL4- und IL5-konforme Produkte und Dienste verwenden.
6. Logische Segmentierung der Grenzen des Geltungsbereichs zur Unterstützung der IL4- und IL5-Anforderungen.

Google Workspace Enterprise Plus hat das Impact Level 4-Framework des US-Verteidigungsministeriums (DOD) erhalten. Kunden, die Google Workspace als Lösung für Produktivität und Zusammenarbeit bereitstellen möchten, sollten das Add-on-Produktfeature Assured Controls, mit denen Organisationen den Zugriff von Cloud-Dienstanbietern präzise steuern können, verwenden.

Google Workspace Enterprise Plus mit Assured Controls enthält integrierte Sicherheitskontrollen und Funktionspakete, mit denen DoD-Kunden IL4-Compliance erreichen und eine eigene Betriebszulassung (ATO, Authority to Operate) erteilen können. Zu den wichtigsten Google Workspace-Funktionen, die die IL4-Compliance unterstützen, gehören:

• Die Möglichkeit, Daten mithilfe von Speicherorten für Daten auf US-Regionen zu beschränken
• Die Möglichkeit, Supportaktionen von Google-Mitarbeitern auf Personen in den USA zu beschränken, die Assured Controls Access Management verwenden
• Erweiterte Verschlüsselung von ruhenden Daten und Daten bei der Übertragung, um die Anforderungen an die Verschlüsselung sensibler Daten zu erfüllen. Weitere Informationen finden Sie in unserem Whitepaper zur Verschlüsselung von Google Workspace.
• Das Google Workspace-Sicherheitscenter bietet erweiterte Sicherheitsinformationen und -analysen für Sicherheitsprobleme in Ihrer Domain. 

Kunden des Verteidigungsministeriums können Google Workspace-IL4-Dokumentationen über eMASS oder über ihren DISA-Ansprechpartner anfordern. Hinweis: Google Workspace kann Kunden diese Dokumente nicht direkt zur Verfügung stellen.

• Assured Workloads-Übersicht
• Anleitung und Terraform zum Bereitstellen einer IL4-Assured Workloads-Umgebung
• NIST Cybersecurity Framework & Google Cloud
• Google Cloud Deployment Guide
• Google Cloud Security Model
• DoD-Anleitung 8510.01 DoD Risk Management Framework (RMF) für DoD Informationstechnik (IT)
• Registry zu kontrollierten nicht klassifizierten Informationen (CUI) und CUI-Kategorieliste
• NIST SP 800-37 Risk Management Framework für Informationssysteme und Organisationen: Ein Systemlebenszyklus-Ansatz für Sicherheit und Datenschutz
• NIST SP 800-53 Sicherheits- und Datenschutzkontrollen für Informationssysteme und Organisationen
• NIST SP 800-59 Richtlinie zur Identifizierung eines Informationssystems als nationales Sicherheitssystem
• NIST SP 800-171 Schutz von kontrollierten, nicht klassifizierten Informationen in nicht-bundesstaatlichen Systemen und Organisationen
• CNSSI 1253 Sicherheitskategorisierung und Steuerungsauswahl für nationale Sicherheitssysteme