Autorisation provisoire du Département de la Défense des États-Unis

La DISA est chargée de développer et de maintenir le Guide des exigences de sécurité (SRG) du DoD destiné aux fournisseurs de services cloud. Le SRG définit les exigences de sécurité de base utilisées par le DoD pour évaluer la stratégie de sécurité d'une offre de services cloud (CSO, cloud service offering), ce qui soutient la décision d'accorder une autorisation provisoire (AP) du DoD qui autorise un fournisseur de services cloud (CSP, cloud service provider) à héberger des missions du DoD. Il s'inscrit dans le cadre du framework de gestion des risques (RMF) du DoD et intègre, remplace et annule le modèle de sécurité cloud (CSM) du DoD précédemment publié.

Les niveaux IL2, IL4, IL5 et IL6 du DoD acceptent différentes catégorisations des données basées sur la norme CNSSI 1253 "Classification et contrôle de sécurité pour les systèmes de sécurité nationaux". La norme CNSSI 1253 définit explicitement l'association de trois niveaux d'impact possibles (faible, modéré ou élevé) avec trois objectifs de sécurité (confidentialité, intégrité et disponibilité). La CNSSI 1253 fournit ensuite les bases de référence de sécurité appropriées pour chacune des catégorisations de systèmes possibles, en utilisant les contrôles de la NIST SP 800-53. Le responsable de la mission du DoD doit aborder la question de la disponibilité dans le contrat.

En 2022, Google Cloud a reçu l'autorisation provisoire IL5 du Ministère américain de la Défense, ce qui en fait le premier hyperscaler à recevoir une autorisation provisoire IL5 du Ministère américain de la Défense pour un cloud communautaire défini par logiciel. Une approche d'isolation définie par logiciel offre plus de flexibilité que les architectures cloud traditionnelles physiquement séparées (communément appelées "clouds gouvernementaux") en termes de déploiement régional, de disponibilité des services, d'évolutivité et de coût.

Demandes de packages DoD ILx : les packages d'autorisation DoD ILx sont basés sur des packages FedRAMP à niveau d'impact élevé avec des contrôles supplémentaires spécifiques au DoD. Google n'est pas autorisé à partager les packages DoD ILx. Ceux-ci doivent être transmis directement par la DISA aux autres parties. Si vous êtes un organisme gouvernemental et que vous souhaitez obtenir plus d'informations sur le package AP DoD au-delà de ce qui est couvert par le package P-ATO FedRAMP, vous pouvez contacter la division d'évaluation cloud de la DISA.

Pour accéder au package IL des services Google, envoyez une demande via le référentiel d'informations sur la cybersécurité et l'autorisation du service eMASS (DoD Enterprise Mission Assurance Support Service) du ministère de la Défense.

Les données IL2 du DoD comprennent toutes les données autorisées en vue d'une diffusion publique, ainsi que certaines informations non classifiées de faible confidentialité qui ne sont pas désignées comme informations non classifiées contrôlées (CUI). Ce niveau d'impact accepte une catégorisation non-CUI basée sur la norme CNSSI 1253 jusqu'à une confidentialité faible, une intégrité modérée et une disponibilité définie par le client (L-M-x).

Pour l'autorisation IL2, le DoD autorise la réciprocité totale avec l'agrément provisoire d'exploitation (P-ATO) à niveau d'impact modéré ou élevé du FedRAMP. Pour en savoir plus sur la conformité de Google Cloud avec FedRAMP, consultez notre page FedRAMP.

Selon la DISA, les données IL2 ne sont autorisées que dans les centres de données américains autorisés pour les offres de services cloud. Les régions Google Cloud autorisées par le FedRAMP situées en dehors des États-Unis ne sont pas couvertes par la réciprocité et doivent être explicitement autorisées par le responsable en charge des autorisations de la DISA. Les charges de travail DoD IL2 doivent être déployées sur Google Cloud à l'aide du périmètre de données d'Assured Workloads.

Les niveaux IL4 et IL5 acceptent les catégorisations d'informations non classifiées contrôlées (CUI) présentant un niveau de confidentialité et d'intégrité modéré, ainsi qu'une disponibilité définie par le client (M-M-x), conformément à la norme CNSSI 1253. Une fois que vous avez sélectionné les services IL4 ou IL5 autorisés, vous devez les déployer en utilisant le périmètre de données avec Assured Workloads.

Assured Workloads offre également une visibilité sur l'état de conformité des charges de travail DoD IL4 et IL5 via la surveillance Assured Workloads. Cet outil peut vous aider à détecter et à corriger les cas de non-conformité, et à fournir des attestations aux auditeurs qui vérifient votre conformité aux exigences de sécurité IL4 et IL5.

Le périmètre de données avec Assured Workloads implémente également par défaut les principaux contrôles DoD IL4 et IL5 suivants pour les clients qui gèrent des données gouvernementales DoD IL4 ou IL5 :

1. Définition de garde-fous pour restreindre l'emplacement de vos données DoD IL4 et IL5 aux États-Unis
2. Limitation de l'assistance technique au personnel DoD IL4 et IL5 habilité et basé aux États-Unis
3. Application du chiffrement certifié FIPS 140 au repos et en transit
4. Implémentation des contrôles d'accès requis par les niveaux IL4 et IL5 du DoD pour le personnel susceptible d'accéder aux données client
5. Restriction des développeurs à l'utilisation exclusive des produits et services conformes au DoD IL4 et IL5
6. Segmentation logique des limites de conformité couvertes pour répondre aux exigences des niveaux IL4 et IL5 du DoD

Le Naval Nuclear Propulsion Program, créé en vertu du décret 12344, est une organisation conjointe du Département de l'Énergie et du Département de la Marine chargée de superviser tous les aspects de la propulsion nucléaire navale. Le programme regroupe du personnel militaire et civil qui conçoit, construit, exploite, entretient et gère les navires à propulsion nucléaire de l'US Navy, ainsi que les nombreuses installations qui soutiennent la flotte navale nucléaire.

Le Naval Reactors Program Cloud Authorization Framework publié en mai 2019 (NR Framework) fournit des directives aux organisations qui souhaitent obtenir l'autorisation d'utiliser des systèmes cloud pour stocker ou traiter des informations sur la propulsion nucléaire navale (NNPI, Naval Nuclear Propulsion Information). Le tableau 7-2 du NR Framework présente 17 contrôles de sécurité supplémentaires applicables aux informations non classifiées sur la propulsion nucléaire navale (U-NNPI) qui ne font pas partie de la base de contrôles DoD IL5. Ces contrôles doivent être évalués pour les systèmes cloud qui traitent des U-NNPI.

Un organisme d'évaluation tiers accrédité (3PAO) a examiné les preuves de contrôle de Google Cloud pour l'ensemble des 17 contrôles de sécurité U-NNPI et a confirmé, par une lettre d'attestation, que Google Cloud respecte toutes les exigences de sécurité U-NNPI.

Google Cloud peut vous aider à respecter les exigences de conformité relatives aux U-NNPI dans les conditions suivantes :

• Vous devez contacter Naval Reactors (Naval Nuclear Propulsion Program) pour obtenir une autorisation avant de stocker ou de traiter des U-NNPI sur Google Cloud.
• Vous devez recourir au périmètre de données Assured Workloads pour DoD IL5 afin de limiter, dans le cadre des scénarios d'assistance initiés par le client, l'accès potentiel aux U-NNPI au personnel Google composé de ressortissants américains résidant aux États-Unis et ayant fait l'objet d'une vérification d'antécédents approfondie.

Les NNPI sont classées comme des informations non classifiées contrôlées. De plus, le tableau 1 et l'annexe 1 de l'OPNAVINST N9210.3 Safeguarding of Naval Nuclear Propulsion Information (NNPI) du 7 juin 2010 définissent les différents niveaux de classification et les contrôles de traitement applicables aux NNPI, y compris les exigences d'accès aux U-NNPI.

Les U-NNPI marquées et traitées comme "Non Releasable to Foreign Nationals" (NOFORN, non communicables aux ressortissants étrangers) sont soumises aux restrictions d'accès suivantes :

• Citoyenneté américaine
• Besoin de connaître

Il vous incombe de veiller à ce que seuls les citoyens américains qui ont besoin de les connaître aient accès aux U-NNPI stockées ou traitées dans vos services Google Cloud. Les employés de Google n'accèdent pas à vos données client IL5, et vous seul contrôlez les clés de chiffrement.

La désignation IL6 s'applique au stockage et au traitement d'informations classifiées jusqu'au niveau SECRET du gouvernement américain.

Pour répondre aux exigences du niveau IL6 du DoD, Google propose Google Distributed Cloud sous air gap et l'appareil Google Distributed Cloud sous air gap, qui vous permettent d'héberger, de contrôler et de gérer l'infrastructure et les services directement sur site. Aucune de ces options ne nécessite de connexion à Google Cloud, et les deux sont fournies de manière sécurisée dans vos locaux. Google Distributed Cloud sous air gap est une solution basée sur des racks, tandis que l'appareil Google Distributed Cloud sous air gap est un appareil portable autonome.

L'environnement isolé et l'appareil Google Distributed Cloud sous air gap disposent d'une autorisation provisoire DoD IL6 pour la catégorisation des informations présentant un niveau élevé de confidentialité et d'intégrité, ainsi qu'une disponibilité définie par le client (H-H-x), conformément à la norme CNSSI 1253. Les deux solutions permettent une connectivité directe au réseau SIPRNet (Secret Internet Protocol Router Network) du DoD. Toute connectivité en dehors des connexions SIPRNet doit être approuvée par l'autorité d'habilitation cloud du DoD. Vous pouvez contacter la DISA pour en savoir plus sur l'autorisation provisoire DoD IL6 pour Google Distributed Cloud sous air gap (appareil et environnement isolé), y compris sur les services cloud couverts par le niveau d'audit DoD IL6.

L'édition Google Workspace Enterprise Plus prend en charge les charges de travail DoD IL2 et a obtenu une autorisation provisoire DoD IL4. Vous devez utiliser Assured Controls Plus si vous souhaitez déployer Google Workspace pour une solution de productivité et de collaboration qui nécessite la conformité DoD IL4.

Google Workspace Enterprise Plus avec Assured Controls Plus inclut des contrôles de sécurité intégrés et des ensembles de fonctionnalités qui vous aident à respecter les exigences de conformité DoD IL4 et à obtenir votre propre agrément d'exploitation (ATO). Voici les principales fonctionnalités de Google Workspace compatibles avec le niveau IL4 du DoD :

• Possibilité de limiter les données aux régions des États-Unis uniquement à l'aide de régions de données.
• Possibilité de limiter les actions d'assistance du personnel Google aux seuls résidents des États-Unis qui utilisent Assured Controls Access Management.
• Chiffrement avancé des données au repos et en transit pour répondre aux besoins de chiffrement des données sensibles. Pour en savoir plus, consultez notre article sur le chiffrement dans Google Workspace.
• Centre de sécurité Google Workspace, qui fournit des informations et des données analytiques avancées concernant la sécurité pour résoudre les problèmes de sécurité affectant votre domaine.

Si vous êtes client du DoD, vous pouvez accéder à la documentation Google Workspace DoD IL4 via eMASS ou la demander à votre agent DISA. Google n'est pas en mesure de fournir ces documents directement aux clients.

Les services Google Cloud et Google Workspace couverts par les niveaux IL4 et IL5 sont listés dans les services soumis aux programmes de conformité FedRAMP et DoD.

• Présentation de Assured Workloads
• Cybersecurity Framework du National Institute of Standards and Technology (NIST) et Google Cloud
• Guide de déploiement de Google Cloud
• Modèle de sécurité de Google Cloud
• Instructions du DoD 8510.01 Framework de gestion des risques (RMF) pour les technologies de l'information du ministère de la Défense(DoD)
• Informations non classifiées contrôlées (CUI) Registre et liste de catégories CUI
• NIST SP 800-37 Framework de gestion des risques pour les systèmes d'information et les organisations : une approche du cycle de vie du système pour la sécurité et la protection de la vie privée
• NIST SP 800-53 Contrôles de sécurité et de confidentialité pour les organisations et les systèmes d'information
• NIST SP 800-59 Directive pour l'identification d'un système d'information en tant que système de sécurité nationale
• NIST SP 800-171 Protéger les informations non classifiées contrôlées dans les organisations et les systèmes non fédérés
• CNSSI 1253 Classification et contrôle de sécurité pour les systèmes de sécurité nationaux