FedRAMP

La commission FedRAMP (anciennement "Commission mixte d'autorisation" [JAB ; Joint Authorization Board]) est l'organisme gouvernemental principal du programme FedRAMP. Elle comprend le département de la Défense (DoD), le département de la Sécurité intérieure (DHS), l'Administration générale des services (GSA) et d'autres agences, tel que déterminé par l'administrateur GSA et le responsable FedRAMP.

La commission FedRAMP a attribué un agrément provisoire d'exploitation (P-ATO) au niveau d'impact élevé à Google Cloud et à l'infrastructure sous-jacente. Google Cloud soumet régulièrement à la commission FedRAMP des services supplémentaires en vue d'obtenir l'autorisation au niveau d'impact élevé.

Si vous souhaitez utiliser les services Google Cloud pour respecter vos obligations de conformité FedRAMP au niveau d'impact élevé, vous devez utiliser Assured Workloads Data Boundary pour FedRAMP au niveau d'impact élevé et l'assistance Assured. Le modèle de référence modéré du programme FedRAMP est un sous-ensemble du modèle de référence élevé. Par conséquent, si vous demandez une autorisation d'exploitation FedRAMP au niveau d'impact modéré pour votre solution déployée sur Google Cloud, vous pouvez utiliser n'importe quel service Google Cloud ayant reçu l'autorisation d'exploitation au niveau d'impact élevé du FedRAMP dans les limites de votre autorisation FedRAMP au niveau d'impact modéré.

Google peut vous fournir les documents de conformité FedRAMP Google Cloud suivants dans le cadre d'un accord de non-divulgation (NDA) :

• Matrice de responsabilités du client (CRM)
• Plan de sécurité système (SSP)

Notre équipe commerciale ou votre représentant Google Cloud peuvent vous aider à accéder à notre documentation. Les administrations peuvent également demander le package FedRAMP de Google via le bureau de gestion du programme FedRAMP à l'aide de son formulaire de demande. 

Si vous achetez des services Google Cloud par le biais d'un partenaire Google, les conditions d'utilisation de ces achats sont transmises par nos partenaires.

Vous pouvez utiliser Google Workspace en conformité avec diverses normes de sécurité et de confidentialité dans le cloud, établies par le gouvernement fédéral des États-Unis et les normes internationales. En plus de disposer d'un agrément provisoire d'exploitation FedRAMP au niveau d'impact élevé, Google Workspace est également certifié conforme aux normes ISO 27017, 27018, 27001 et fait l'objet d'un audit selon les normes SOC (System and Organization Controls) de l'American Institute of Certified Public Accountants (AICPA). Pour en savoir plus, consultez les offres de conformité de Google Cloud.

Toutes les limites de sécurité autorisées de Google Workspace sont documentées, évaluées et gérées conformément aux exigences de sécurité et de confidentialité du modèle de référence pour le niveau élevé du programme FedRAMP. Le modèle de référence modéré du programme FedRAMP est un sous-ensemble du modèle de référence élevé. Par conséquent, si vous demandez une ATO FedRAMP au niveau d'impact modéré pour votre implémentation Google Workspace, tout service Google Workspace ayant reçu l'autorisation d'exploitation au niveau d'impact élevé du FedRAMP peut être inclus dans les limites de votre autorisation FedRAMP au niveau d'impact modéré. Pour en savoir plus, consultez le guide de configuration FedRAMP pour Google Workspace.

En 2023, le Bureau de la gestion du programme FedRAMP (PMO) a terminé l'examen du rapport d'évaluation de haute préparation (RAR) de Google Cloud VMware Engine (GCVE) fourni par un organisme d'évaluation tiers (3PAO) accrédité par FedRAMP. Au vu des résultats positifs de l'examen et sans aucune faille notable détectée, GCVE a été acceptée en tant qu'offre FedRAMP de haute préparation (ID de package FedRAMP FR2405153785).

Ce niveau de préparation indique au gouvernement fédéral américain que GCVE a de fortes chances d'obtenir une autorisation FedRAMP. GCVE est également certifié ISO 27017, 27018, 27001 et PCI DSS, et a fait l'objet d'un audit selon les normes SOC (System and Organization Control)s de l'American Institute of Certified Public Accountants (AICPA).

L'investissement de Google Cloud dans l'infrastructure sécurisée par défaut garantit l'intégration et la préconfiguration de contrôles de sécurité pour vous permettre d'atteindre différents niveaux de conformité, sans avoir recours à une infrastructure cloud d'administration traditionnelle isolée. 

Comme indiqué précédemment, vous devez utiliser Assured Workloads si vous souhaitez déployer votre solution à l'aide de Google Cloud dans vos environnements FedRAMP au niveau d'impact modéré et élevé. Assured Workloads vous permet de sécuriser et de configurer en toute confiance des charges de travail sensibles pour répondre aux exigences de conformité et de sécurité à l'aide des services Google Cloud. Assured Workloads ne s'appuie pas sur une infrastructure physique distincte de l'infrastructure publique Google Cloud existante. Au lieu de cela, ce produit fournit un cloud communautaire défini par logiciel qui offre des avantages en termes de coût, de rapidité et d'innovation.

Les services couverts par l'autorisation FedRAMP et accessibles via Assured Workloads implémentent les contrôles de sécurité du FedRAMP et vous permettent d'utiliser les fonctionnalités de Google Cloud pour répondre aux besoins de votre organisation. Assured Workloads offre également une visibilité sur l'état de conformité au FedRAMP des charges de travail via la surveillance Assured Workloads. Cet outil peut vous aider à détecter et à corriger les cas de non-conformité, et à fournir des attestations de contrôle à vos auditeurs.

En plus des contrôles effectués par les services Google Cloud bénéficiant de l'agrément provisoire d'exploitation (P-ATO) au niveau d'impact élevé du FedRAMP, Assured Workloads implémente par défaut les contrôles clés suivants au niveau d'impact élevé du FedRAMP : 

1. Des garde-fous pour restreindre l'emplacement des données client aux États-Unis, lorsqu'elles correspondent au niveau d'impact élevé du FedRAMP  ;
2. Personnel d'assistance technique limité au personnel admissible au programme FedRAMP et basé aux États-Unis ;
3. Chiffrement certifié FIPS-140 au repos et en transit
4. Contrôles d'accès du personnel pour les personnes ayant des droits d'accès temporaires aux données des clients 
5. Seuls les produits et services conformes au programme FedRAMP sont autorisés ;
6. Segmentation logique des limites de conformité couvertes pour répondre aux exigences du FedRAMP correspondant au niveau d'impact élevé

Google Workspace dispose d'un agrément provisoire d'exploitation (P-ATO) au niveau d'impact élevé du FedRAMP que vous pouvez exploiter pour héberger des données au niveau d'impact modéré et élevé du FedRAMP. Si vous souhaitez déployer Google Workspace dans vos environnements FedRAMP au niveau d'impact modéré et élevé, vous devez activer les services couverts par l'autorisation FedRAMP au niveau d'impact élevé. Découvrez comment activer ou désactiver un service pour Google Workspace.

De plus, les éditions Business et Enterprise de Google Workspace intègrent des contrôles de sécurité et des ensembles de fonctionnalités qui vous permettent de respecter les exigences de conformité FedRAMP au niveau d'impact élevé et d'aligner votre propre ATO. En tant qu'utilisateur Google Workspace, vous pouvez configurer votre environnement pour qu'il respecte les contrôles de résidence des données du programme FedRAMP à l'aide d'une règle de région de données.

Si vous voulez héberger des données gouvernementales sur Google Cloud, vous pouvez également souhaiter disposer de votre propre autorisation d'exploitation (ATO). Vous devez prendre en compte les étapes suivantes pour obtenir une ATO sur Google Cloud :

• Déterminez si les données couvertes nécessitent un niveau d'autorisation modéré ou élevé du FedRAMP.
• Sélectionnez Assured Workloads pour les services Google Cloud couverts. Le niveau d'impact modéré du FedRAMP est inclus dans la version sans frais, tandis que le niveau d'impact élevé nécessite un abonnement premium.
• Décidez des limites à imposer au sein de Google Cloud conformément au FedRAMP.
• Configurez vos charges de travail conformément au modèle de responsabilité partagée, à la matrice de responsabilités du client, aux services Google Cloud couverts et aux consignes du FedRAMP.
• Se soumettre à un audit auprès d'un organisme tiers d'évaluation (3PAO ; Third Party Assessment Organization) accrédité par FedRAMP ;
• Envoyez votre package à l'Agence fédérale pour examen et autorisation.

Pour en savoir plus sur le processus d'obtention d'une ATO, consultez le site Web du FedRAMP. Pour obtenir une aide supplémentaire auprès de Google Cloud concernant les ATO du FedRAMP, consultez notre page Services de conseil Google Cloud. 

Les services Google Cloud et Google Workspace couverts par le niveau d'impact élevé du FedRAMP sont répertoriés dans le Périmètre de conformité FedRAMP et DoD.