米国国防情報システム局(DISA)は、米国防衛局(DoD)のクラウド サービスの評価と承認を管理しています。DISA Cloud サービス サポートは、Google Cloud に DoD 影響レベル 5(IL5)の暫定認証(PA)を付与しました。IL5 で認証されると、Google Cloud 固有のプロダクトを使用した、管理対象の非機密情報と国家安全保障システム(NSS)情報の処理と保存が可能になります。
Google Cloud の DISA IL2、IL4、IL5 の各 PA では、お客様が Assured Workloads と、エンハンスト サポートまたはプレミアム サポートを使用する必要があります。Google Workspace の DISA IL4 PA では、お客様が Assured Controls と Assured Support を使用する必要があります。構成プロセスの詳細については、セールスチームにお問い合わせください。
DISA は DoD の機関の 1 つであり、DoD クラウド コンピューティング セキュリティ要件ガイド(SRG)の策定と管理を担当しています。クラウド コンピューティング SRG は、DoD がクラウド サービス(CSO)のセキュリティ ポスチャーを評価するために使用するベースライン セキュリティ要件を定義し、DoD PA を付与する決定をサポートすることで、クラウド サービス プロバイダ(CSP)が DoD のミッションをホストできるようするものです。SRG は、以前に公開された DoD クラウド セキュリティ モデル(CSM)を組み込み、置き換え、取り消して、DoD リスク管理フレームワーク(RMF)にマッピングします。
DISA は、DoDの機関や部門による CSO の使用の計画と承認を支援します。CSO が SRG に準拠しているかどうかの評価も行います。これは、CSP が DoD 標準に準拠していることを示すドキュメントを提供できるようにする承認プロセスです。DISA は DoD PA を適宜発行することにより、DoD の機関と下位組織が、独自の完全な承認プロセスを経ることなくクラウド サービスを使用し、時間と労力を節約できるようにしています。
2022 年、Google Cloud は IL5 暫定認証を付与され、ソフトウェア定義コミュニティ クラウド向け DISA 承認を取得した初のハイパースケーラーの 1 つとなりました。ソフトウェア定義の分離アプローチは、リージョンのデプロイ、拡張性、費用の点で、従来の行政機関のクラウドよりも柔軟性が高いことを意味します。
ILx パッケージのリクエスト DoD ILx パッケージは、FedRAMP High パッケージをベースとし、DoD 固有のコントロールが追加されています。ILx パッケージを共有する権限は Google になく、DISA から第三者に提供する必要があります。FedRAMP P-ATO パッケージの対象範囲を超える DoD PA パッケージの詳細を必要としている政府機関は、クラウド評価部門(DISA Ft Meade RE Mailbox Cloud Team)にメール(disa.meade.re.mbx.cloud-team@mail.mil)で問い合わせることができます。
IL2 データには、管理対象外の非機密情報、つまり、一般公開が許可されたすべてのデータに加え、管理対象の非機密情報(CUI)には指定されていない機密性の低い重要情報が含まれます。この影響レベルは、CNSSI 1253 の国家安全保障システムのセキュリティ分類とセキュリティ コントロールに基づく、機密性が低で完全性が中程度(L-M-x)までの非 CUI 分類に対応します。
商用クラウド コンピューティング サービスの取得と使用に関する最新ガイダンスについての 2014 年 12 月 15 日付けの DoD CIO 覚書には、「FedRAMP をすべての DoD クラウド サービスの最低限のセキュリティ ベースラインとして使用する」旨の記載があります。SRG は、すべての情報 IL として FedRAMP Moderate ベースラインを使用し、一部の情報 IL では High ベースラインの使用を検討します。
クラウド・コンピューティング SRG のセクション 5.1.1、FedRAMP セキュリティ・コントロールのDoD 使用には、FedRAMP Moderate または High の暫定認可を最低限保持している CSO で IL2 情報をホストすることができると規定されています。DoD IL2 PA については、FedRAMP Moderate または High ベースラインのコントロールのみが評価されます。IL2 PA については、DoD は FedRAMP 共同認可委員会(JAB)が発行する FedRAMP Moderate または High の暫定運用認証(P-ATO)との完全な互恵関係を認めています。Google Cloud の FedRAMP コンプライアンスについて詳しくは、FedRAMP のページをご覧ください。
IL4 と IL5 のワークロードは、Assured Workloads を介してデプロイできます。これにより、高度なデータ所在地とサポート要件を満たすセキュリティ管理が可能になります。Assured Workloads は、大規模な組織がコンプライアンスを維持できるようにデベロッパー向けガードレールも適用します。
IL4 または IL5 の承認済みサービスを選択すると、Google の Professional Services Organization に直接問い合わせる際に、サービス固有の構成ガイドに沿ってソリューションの構成を支援できます。また、Terraform コードを含む IL4 Springboard デプロイガイドも提供しています。
Google Cloud を使用して IL4 および IL5 環境にソリューションをデプロイすることを検討しているお客様は、Assured Workloads を使用する必要があります。Assured Workloads により、Google Cloudサービスを使用して、コンプライアンスとセキュリティの要件をサポートするために、機密性の高いワークロードを確実に保護し、構成することができます。Assured Workloads は、パブリック クラウド データセンターと異なる物理インフラストラクチャには依存しません。代わりに、コスト、スピード、イノベーションの面でメリットのあるソフトウェア定義コミュニティ クラウドを提供します。
Assured Workloads を通じて利用可能になる IL4 および IL5 認可サービスでは、IL4 および IL5 セキュリティ コントロールを実装して、顧客が組織のニーズに合わせて Google Cloud の機能を使用できます。Assured Workloads では、Assured Workloads モニタリングを使用して IL4 および IL5 ワークロードのコンプライアンス状態を可視化することもできます。このツールにより、コンプライアンス違反を特定して修正し、コンプライアンス状態の管理証明書を監査人に提供することができます。
Assured Workloads は、Google Cloud インフラストラクチャの IL5 暫定認証を活用したコントロールに加えて、IL4 および IL5 の政府データを扱うお客様向けに、次の主要な IL4 および IL5 コントロールもデフォルトで実装しています。
Google Workspace Enterprise Plus エディションは、米国国防総省(DOD)の影響レベル 4 の認証を取得しています。仕事効率化とコラボレーションのソリューションとして Google Workspace をデプロイすることを検討しているお客様は、組織がクラウド サービス プロバイダのアクセスをきめ細かく制御できるようにするアドオン機能である Assured Controls を使用する必要があります。
Assured Controls が有効になった Google Workspace Enterprise Plus には、DoD のお客様が IL4 準拠を達成し、独自の運用認証(ATO)を発行できるようにする組み込みのセキュリティ コントロールと機能セットが含まれています。IL4 コンプライアンスをサポートする Google Workspace の主な機能は次のとおりです。
国防総省のお客様は、eMASS または DISA リエゾンを通じて Google Workspace IL4 ドキュメントをリクエストできます。Google Workspace がこのドキュメントをお客様に直接提供することはできません。
Google Chat(Google ドライブ Bot、Meet Bot を含む)
お客様は、実装ガイドラインを参照して、IL4 で承認された Workspace サービスのリストを取得できます。
政府関連のワークロードに Google Cloud を使用するメリットの 1 つは、必要な多くのコントロールが、Google の基盤となるインフラストラクチャと Assured Workloads にすでに組み込まれていることです。そのため、認証のために IL4 または IL5 パッケージを提出するときは、Google によって管理されているコントロールの概要を示した Google の SSP も含める必要があります。セールスチームに連絡して、Google Cloud の SSP を入手してください(NDA が必要)。
Google Cloud では通常、お客様がアクションをほとんどまたはまったく実行せずに、認証済みプロダクトにすでに備わっている暗号化機能を関連データ(保存データと使用データの両方)で使用できます。Google Cloud のストレージ システムとネットワークはいずれも IL4 および IL5 PA を取得しているため、Google Cloud のお客様が管理する必要のある責任の量が軽減されます。
認証済みシステムに保存されるデータは、FIPS 140-2 認定ライブラリ(認定 #3678、#3383、#3384)を使用して自動的に暗号化されます。このシステムで使用される暗号鍵も NIST 800-57 に従って保存および保護され、Google 独自の KMS システム内に安全に保管されます。お客様は Cloud KMS を介してこのシステムを制御できます。
Google Cloud VPC 内でのデータ転送も IL4 と IL5 で認証されており、暗号化、認証、認可で自動的に保護されます。VPC 内の接続には、これ以上の対応は必要となりません。Google API への接続では、トラフィックの暗号化に TLS 1.2 以降が使用されます。お客様は、ご自身が管理するリソースを経由する、環境内外(レイヤ 3 または 7 のいずれか)へのその他の接続に責任を負います(例えば、クラウド ロードバランサ、Cloud VPN など)
Google は、商用パブリック クラウド サービスで IL4 および IL5 を達成した最初のハイパースケールの商用クラウド プロバイダの一つであり、IL4 および IL5 サービスを提供する最大規模のプロバイダの一つでもあります。