Autorizzazione provvisoria della Defense Information Systems Agency degli Stati Uniti

La DISA (Defense Information Systems Agency) è un ente statunitense che gestisce la valutazione e l'autorizzazione dei servizi cloud per il Dipartimento di difesa (DoD) degli Stati Uniti. L'assistenza per i servizi cloud di DISA ha concesso a Google Cloud un'autorizzazione provvisoria (PA) di tipo Impact Level 5 (IL5) dal DoD. Un'autorizzazione a impatto IL5 consente l'elaborazione e l'archiviazione di informazioni non classificate controllate e informazioni del sistema di sicurezza nazionale (NSS) utilizzando prodotti specifici di Google Cloud.

Le PA DISA IL2, IL4 e IL5 di Google Cloud richiedono ai clienti di utilizzare Assered Workloads e l'Assistenza Enhanced o Premium. La PA DISA IL4 di Google Workspace richiede ai clienti di utilizzare Assured Controls e l'Assistenza di Assured. Per ulteriori informazioni sul processo di configurazione, contatta il nostro team di vendita.

Conformità con DISA IL di Google Cloud

DISA è un'agenzia del Dipartimento della Difesa (DoD) responsabile dello sviluppo e della gestione della Guida ai requisiti di sicurezza per il cloud computing del DoD (SRG, DoD Cloud Computing Security Requirements Guide). L'SRG sul Cloud Computing definisce i requisiti di sicurezza di base utilizzati dal Dipartimento della difesa per valutare la security posture di un'offerta di servizi cloud (CSO, cloud service offering), supportando la decisione di concedere un'autorizzazione provvisoria del DoD che consenta a un provider di servizi cloud (CSP, cloud service provider) di ospitare missioni del Dipartimento della Difesa. Incorpora, prevale su e annulla il DoD Cloud Security Model (CSM) pubblicato in precedenza e si associa al DoD Risk Management Framework (RMF).

DISA guida le agenzie e i dipartimenti del Dipartimento della difesa nella pianificazione e autorizzazione all'uso di un'offerta di servizi cloud. Inoltre, valuta la conformità delle offerte di servizi cloud alla SRG, una procedura di autorizzazione in base alla quale i CSP possono fornire documentazione che ne illustri la conformità agli standard DoD. Emette autorizzazioni provvisorie di DoD quando appropriato, in modo che le agenzie del Dipartimento della difesa e le organizzazioni di supporto possano utilizzare i servizi cloud senza dover affrontare in modo autonomo un processo di approvazione completo, risparmiando tempo e fatica.

Nel 2022, Google Cloud ha ricevuto un'autorizzazione provvisoria IL5, diventando così uno dei primi hyperscaler a ricevere l'approvazione DISA per un community cloud software-defined. Un approccio di isolamento software-defined si traduce in maggiore flessibilità rispetto ai cloud governativi tradizionali in termini di deployment, scalabilità e costi per regione.

Richieste di pacchetti ILx I pacchetti DoD ILx si basano su pacchetti FedRAMP High con controlli aggiuntivi specifici per DoD. I pacchetti ILx non sono autorizzati a essere condivisi da Google e devono essere forniti da DISA ad altre parti. Se un ente governativo sta cercando informazioni sul pacchetto di autorizzazione provvisoria DoD riguardo ciò che è compreso nel pacchetto FedRAMP P-ATO, può contattare la Cloud Assessment Division (Divisione di valutazione cloud) al seguente indirizzo: DISA Ft Meade RE Mailbox Cloud Team: disa.meade.re.mbx.cloud-team@mail.mil

Google Cloud e IL2

I dati di IL2 includono informazioni non classificate non controllate, ovvero tutti i dati cancellati per la release pubblica e alcune informazioni non classificate a bassa riservatezza che non sono designate come informazioni non classificate controllate (CUI, controlled unclassified information). Questo livello di impatto consente una classificazione non-CUI basata su CNSSI 1253 Security Categorization and Control Selection for National Security Systems (Categorizzazione di sicurezza e selezione dei controlli per i sistemi di sicurezza nazionale) fino a un valore basso di riservatezza e di integrità moderata (LMx).

La nota del CIO DoD del 15 dicembre 2014 relativa all'aggiornamento delle linee guida sull'acquisizione e l'uso di servizi di cloud computing commerciali afferma che, "FedRAMP will serve as the minimum security baseline for all DoD cloud services (FedRAMP fungerà da base di sicurezza minima per tutti i servizi cloud DoD)." L'SRG utilizza la base di riferimento FedRAMP Moderate come livello di impatto IL per tutte le informazioni e considera parzialmente la base di riferimento High.

La Sezione 5.1.1, DoD use of FedRAMP Security Controls (Utilizzo dei controlli di sicurezza FedRAMP in DoD) di Cloud Computing SRG, descrive che le informazioni di IL2 possono essere ospitate in un CSO che possieda almeno un'autorizzazione provvisoria FedRAMP Moderate o High. Per le autorizzazioni provvisorie DoD IL2, verranno valutati solo i controlli FedRAMP con base di riferimento Moderate o High. Per un'autorizzazione provvisoria IL2, il DoD consente la piena reciprocità con l'autorizzazione provvisoria FedRAMP Moderate o High (P-ATO) rilasciata dalla Joint Authorization Board (JAB) della FedRAMP. Per saperne di più sulla conformità di Google Cloud a FedRAMP, consulta la nostra pagina FedRAMP

Hosting di carichi di lavoro IL4 o IL5 su Google Cloud

È possibile eseguire il deployment dei carichi di lavoro IL4 e IL5 tramite Assured Workloads, che abilita controlli di sicurezza che soddisfano i requisiti di residenza e supporto dei dati elevati. Assured Workloads applica inoltre in modo forzato sistemi di protezione per gli sviluppatori che aiutano le organizzazioni di grandi dimensioni a mantenere la conformità. 

Dopo che avrai selezionato i servizi autorizzati IL4 o IL5, Google può aiutarti a configurare la tua soluzione tramite guide di configurazione specifiche per i servizi quando interagisci direttamente con la nostra organizzazione di servizi professionali. Inoltre, Google fornisce ai clienti una guida al deployment del lancio di IL4 con codice Terraform.

I clienti che vogliono eseguire il deployment delle proprie soluzioni utilizzando Google Cloud nei propri ambienti IL4 e IL5 devono utilizzare Assured Workloads. Assured Workloads consente ai clienti di proteggere e configurare in modo sicuro carichi di lavoro sensibili per supportare i requisiti di conformità e sicurezza utilizzando i servizi Google Cloud. Assured Workloads non si basa su un'infrastruttura fisica distinta dai data center nel cloud pubblico. Al contrario, offre una Community Cloud software-defined che offre vantaggi in termini di costi, velocità e innovazione. 

I servizi autorizzati IL4 e IL5 resi disponibili tramite Assured Workloads implementano i controlli di sicurezza IL4 e IL5 e consentono ai clienti di utilizzare le funzionalità di Google Cloud per soddisfare le esigenze della propria organizzazione. Assured Workloads offre inoltre visibilità sullo stato di conformità dei carichi di lavoro IL4 e IL5 tramite monitoraggio di Assured Workloads. Questo strumento può aiutarti a individuare e risolvere le violazioni della conformità e a fornire attestati di controllo ai revisori del tuo stato di conformità.

In aggiunta ai controlli con requisiti soddisfatti dall'autorizzazione provvisoria IL5 dell'infrastruttura Google Cloud, Assured Workloads implementa per impostazione predefinita i seguenti controlli chiave IL4 e IL5 per i clienti che gestiscono dati governativi IL4 e IL5: 

  1. Imposta sistemi di protezione per limitare la località dei dati dei clienti IL4 e IL5 agli Stati Uniti
  2. Limita il personale di assistenza tecnica alpersonale con assegnazione di livello IL4 e IL5 con sede negli Stati Uniti
  3. Applica la crittografia at-rest e in transito conforme allo standard FIPS-140-2.
  4. Implementa i controlli di accesso del personale necessari per IL4 e IL5, per chi ha accesso di routine ai dati dei clienti.
  5. Limita l'utilizzo degli sviluppatori ai soli prodotti e servizi conformi a IL4 e IL5.
  6. Segmentazione logica del limite di conformità nell'ambito, per supportare i requisiti IL4 e IL5.

Google Workspace e IL4

La versione Google Workspace Enterprise Plus ha ottenuto l'autorizzazione Impact Level 4 del Dipartimento della difesa (DOD) degli Stati Uniti. I clienti che vogliono eseguire il deployment di Google Workspace per la loro soluzione di produttività e collaborazione devono utilizzare la funzionalità aggiuntiva del prodotto Assured Controls che consentirà alle organizzazioni di controllare con precisione l'accesso dei provider di servizi cloud.

Google Workspace Enterprise Plus con Assured Controls include controlli di sicurezza e set di funzionalità integrati che consentono ai clienti del Dipartimento della difesa (DoD) di ottenere la conformità a IL4 e rilasciare la propria Authority to Operate (ATO). Le principali funzionalità di Google Workspace che supportano la conformità IL4 includono:

  • La possibilità di limitare i dati alle regioni degli Stati Uniti solo utilizzando le regioni di dati
  • La possibilità di limitare le azioni dell'assistenza del personale Google ai soli soggetti statunitensi utilizzando Assured Controls Access Management
  • Crittografia avanzata dei dati inattivi e at-rest per soddisfare le esigenze di crittografia dei dati sensibili. Scopri di più nel nostro articolo sulla crittografia di Google Workspace.
  • Centro sicurezza Google Workspace, che fornisce informazioni e dati analitici avanzati sulla sicurezza per i problemi di sicurezza che interessano il dominio. 

I clienti del Dipartimento della Difesa possono richiedere la documentazione IL4 relativa a Google Workspace tramite eMASS o tramite il referente DISA. Tieni presente che Google Workspace non può fornire questa documentazione direttamente ai clienti.

Servizi inclusi nell'ambito

Calendar

Documenti

Drive

Moduli

Gmail

Google Chat (inclusi i bot di Google Drive e Meet)

Google Meet

Fogli

Presentazioni

I clienti possono consultare le linee guida per l'implementazione per ottenere un elenco dei servizi Workspace approvati per IL4. 

Domande frequenti

Uno dei vantaggi dell'utilizzo di Google Cloud per i carichi di lavoro governativi è che vengono già gestiti una serie di controlli obbligatori dalla nostra infrastruttura sottostante e da Assured Workloads. Di conseguenza, quando invii il tuo pacchetto IL4 o IL5 per l'autorizzazione, includi anche l'SSP di Google, che delinea i controlli di cui si occupa Google. Contatta il tuo team di vendita per ottenere una copia della SSP di Google Cloud (è necessario un NDA).

In Google Cloud, i clienti possono sfruttare le funzionalità di crittografia già presenti nei prodotti autorizzati per i dati associati, sia at rest che in uso, con una minima o nessuna azione richiesta per l'implementazione nella maggior parte casi specifici. La rete e il sistema di archiviazione di Google Cloud comprendono entrambi una PA IL4 e IL5, il che riduce la quantità di responsabilità che i clienti Google Cloud devono gestire.

I dati at rest archiviati nei sistemi autorizzati vengono criptati automaticamente mediante librerie certificate FIPS 140-2 (ovvero con i certificati n. 3678, #3383, #3384). Anche le chiavi di crittografia utilizzate in questo sistema sono archiviate e protette in base allo standard NIST 800-57 e hanno mantenuto la sicurezza all'interno del sistema KMS proprietario di Google. I clienti possono controllare questo sistema tramite Cloud KMS.

Anche la trasmissione dei dati all'interno di un VPC di Google Cloud è autorizzata per IL4 e IL5 ed è protetta automaticamente tramite crittografia, autenticazione e autorizzazione. Non sono necessarie ulteriori azioni per le connessioni all'interno di un VPC. Le connessioni alle API di Google utilizzano TLS 1.2 o versioni successive per la crittografia del traffico. I clienti sono responsabili delle altre connessioni all'interno e all'esterno dell'ambiente (di livello 3 o 7) che passano attraverso risorse controllate dal cliente (ad esempio Bilanciatore del carico Cloud o Cloud VPN).

Google è uno dei primi provider di cloud commerciali hyperscale a ottenere IL4 e IL5 su un'offerta commerciale di cloud pubblico ed è uno dei maggiori provider di servizi IL4 e IL5.

Fai il prossimo passo

Inizia a creare su Google Cloud con 300 $ di crediti gratuiti e oltre 20 prodotti Always Free.

Google Cloud
  • ‪English‬
  • ‪Deutsch‬
  • ‪Español‬
  • ‪Español (Latinoamérica)‬
  • ‪Français‬
  • ‪Indonesia‬
  • ‪Italiano‬
  • ‪Português (Brasil)‬
  • ‪简体中文‬
  • ‪繁體中文‬
  • ‪日本語‬
  • ‪한국어‬
Console
Google Cloud