FedRAMP

O FedRAMP Board (anteriormente conhecido como Conselho de Autorização Conjunto) é o principal órgão de administração do FedRAMP e inclui o Departamento de Defesa (DoD), o Departamento de Segurança Interna (DHS), a Administração de Serviços Gerais (GSA) e outras agências, conforme determinado pelo administrador da GSA e pelo diretor do FedRAMP.

O Conselho do FedRAMP emitiu uma Autoridade Provisória para Operar (P-ATO) de nível alto para o Google Cloud e a infraestrutura subjacente. O Google Cloud envia periodicamente serviços adicionais ao Conselho para autorização do FedRAMP High.

Se você tiver interesse em usar os serviços do Google Cloud para cumprir as obrigações de compliance do FedRAMP High, será necessário usar o Assured Workloads Data Boundary para o FedRAMP High e o Suporte Assured. O valor de referência de controle do FedRAMP de nível médio é um subconjunto do valor de referência de controle do FedRAMP de nível alto. Portanto, se você estiver buscando uma ATO de nível médio do FedRAMP para sua solução implantada no Google Cloud, poderá usar qualquer serviço do Google Cloud autorizado pelo FedRAMP de nível alto no limite de autorização de nível médio do FedRAMP.

O Google pode fornecer a seguinte documentação de conformidade do FedRAMP do Google Cloud sob um contrato de confidencialidade (NDA):

• Matriz de responsabilidade do cliente (CRM)
• Plano de segurança do sistema (SSP)

Nossa equipe de vendas ou seu representante do Google Cloud pode ajudar a fornecer acesso à essa documentação. Clientes governamentais também podem solicitar o pacote FedRAMP do Google por meio do Escritório de Gerenciamento do Programa FedRAMP usando o formulário de solicitação de pacote. 

Se você comprar serviços do Google Cloud com um parceiro do Google, os Termos e Condições de compra serão transmitidos dos nossos parceiros.

Você pode usar o Google Workspace em conformidade com vários padrões globais e do governo federal dos EUA para segurança e privacidade na nuvem. Além de manter uma P-ATO FedRAMP de nível alto, o Google Workspace também é certificado de acordo com ISO 27017, 27018, 27001, e é auditado de acordo com os padrões de Controles de Organização de Serviço (SOC) do Instituto Americano de Contadores Públicos Certificados (AICPA). Para mais informações, consulte as soluções de compliance do Google Cloud.

Todo o limite de segurança autorizado do Google Workspace é documentado, avaliado e gerenciado em relação à linha de base de controles de segurança e privacidade do FedRAMP High. O valor de referência de controle do FedRAMP de nível médio é um subconjunto do valor de referência de controle do FedRAMP de nível alto. Portanto, se você estiver buscando uma ATO FedRAMP Moderate para sua implementação do Google Workspace, qualquer serviço do Google Workspace autorizado pelo FedRAMP High poderá ser incluído no limite de autorização do FedRAMP Moderate. Para mais informações, consulte o Guia de configuração do FedRAMP do Google Workspace.

Em 2023, o Escritório de Gerenciamento de Programa (PMO) do FedRAMP concluiu a análise do Relatório de avaliação de alta prontidão (RAR, na sigla em inglês) do Google Cloud VMware Engine (GCVE) fornecido por uma organização de avaliação terceirizada (3PAO) credenciada pelo FedRAMP. Com base nos resultados positivos da revisão, sem pontos fracos de recursos encontrados, o GCVE foi aceito como uma oferta FedRAMP de alta prontidão (ID do pacote FedRAMP FR2405153785).

Atingir o FedRAMP de alta prontidão indica ao governo federal dos EUA que o GCVE tem alta probabilidade de conseguir uma autorização do FedRAMP. O GCVE também é certificado de acordo com as normas 27017, 27018, 27001, PCI-DSS e é auditado de acordo com os padrões do Sistema e Controles de Organização (SOC, na sigla em inglês) do Instituto Americano de Contadores Públicos Certificados (AICPA).

O investimento do Google Cloud em segurança por padrão para nossa infraestrutura garante que os controles de segurança sejam integrados e pré-configurados para permitir que você alcance vários níveis de conformidade sem uma infraestrutura de nuvem governamental isolada tradicional. 

Como mencionado anteriormente, você precisa usar o Assured Workloads se quiser implantar sua solução usando o Google Cloud nos ambientes FedRAMP de nível médio e alto. O Assured Workloads permite que você proteja e configure cargas de trabalho confidenciais com segurança para atender aos requisitos de conformidade e segurança usando os serviços do Google Cloud. O Assured Workloads não depende de uma infraestrutura física diferente da infraestrutura pública do Google Cloud. Em vez disso, ele oferece uma nuvem de comunidade definida por software que oferece vantagens de custo, velocidade e inovação.

Os serviços autorizados pelo FedRAMP, disponibilizados por meio do Assured Workloads, implementam controles de segurança do FedRAMP e permitem que você use os recursos do Google Cloud para atender às próprias necessidades organizacionais. O Assured Workloads também oferece visibilidade do estado de conformidade das cargas de trabalho do FedRAMP por meio do Assured Workloads Monitoring. Essa ferramenta pode ajudar você a identificar e corrigir violações de conformidade, além de fornecer atestados de controle aos auditores.

Além dos controles da P-ATO do FedRAMP de nível alto do Google Cloud, o Assured Workloads implementa os seguintes controles essenciais do FedRAMP de nível alto por padrão: 

1. Proteções para restringir a localização dos dados do cliente com FedRAMP de nível alto nos EUA
2. Equipe de suporte técnico limitada ao pessoal autorizado pelo FedRAMP localizado nos EUA
3. Criptografia com validação FIPS-140 em repouso e em trânsito
4. Controles de acesso de pessoal para aqueles com privilégios de acesso temporário aos dados do cliente 
5. Somente produtos e serviços compatíveis com FedRAMP são permitidos
6. Segmentação lógica do limite de conformidade no escopo para atender aos requisitos do FedRAMP de nível alto

O Google Workspace mantém uma P-ATO do FedRAMP de nível alto, que você pode usar para hospedar dados do FedRAMP de nível médio e alto. Se você quer implantar o Google Workspace nos ambientes de FedRAMP de nível médio e alto, precisa ativar os serviços autorizados pelo FedRAMP High. Saiba como ativar ou desativar um serviço para o Google Workspace. 

Além disso, as edições Business e Enterprise do Google Workspace têm controles de segurança e conjuntos de atributos integrados que permitem atender aos requisitos de compliance do FedRAMP de nível alto e alinhar a própria ATO. Como usuário do Google Workspace, você pode configurar seu ambiente para atender aos controles de residência de dados do FedRAMP usando uma política de região de dados.

Se você tiver interesse em hospedar dados governamentais no Google Cloud, também pode ter interesse em buscar a própria Authority to Operate (ATO). Você precisa considerar os seguintes marcos para alcançar uma ATO no Google Cloud:

• Determinar se os dados no escopo exigem autorização do FedRAMP de nível médio ou alto
• Selecione o Assured Workloads para os serviços do Google Cloud no escopo. O FedRAMP Moderate está incluído no Nível gratuito, enquanto o FedRAMP High exige uma assinatura Premium.
• Decida os limites do FedRAMP no Google Cloud.
• Configurar suas cargas de trabalho de acordo com o modelo de responsabilidade compartilhada, a matriz de responsabilidade do cliente, os serviços do Google Cloud no escopoe as diretrizes do FedRAMP
• Realizar uma auditoria com uma organização terceirizada de avaliação (3PAO, na sigla em inglês) credenciada pelo FedRAMP
• Envie o pacote para a Agência Federal para análise e autorização.

Para mais informações sobre o processo da ATO, consulte o site do FedRAMP. Para receber mais suporte do Google Cloud para ATO do FedRAMP, acesse nossa página de Consultoria do Google Cloud. 

Os serviços do Google Cloud e do Google Workspace no escopo do FedRAMP de nível alto estão listados em Escopo de conformidade com o FedRAMP e o DoD.