FedRAMP

Le récent brouillon de protocole d'accord FedRAMP du Bureau de la gestion et du budget, qui approuve une approche cloud moderne basée sur la séparation logique et logicielle au lieu d'une séparation physique, est un grand pas dans la bonne direction. À l'avant-garde de cette approche, Google Cloud pense qu'elle permet à ses clients d'évoluer et d'innover en toute sécurité.

Le programme FedRAMP permet plusieurs niveaux d'héritage pour les fournisseurs de services cloud utilisant une infrastructure, des plates-formes et des services couverts par l'autorisation FedRAMP. Cette analyse initiale du contrôle et de l'héritage permettra de déterminer votre degré de responsabilité en matière de conformité en tant que fournisseur de service cloud. 

Par exemple, si votre organisation préfère créer l'ensemble de sa pile d'application, vos responsabilités/obligations envers le client seront plus grandes lors de l'évaluation par le responsable en charge des autorisations. Si vous utilisez une infrastructure Platform as a Service (PaaS) ou Software as a Service (SaaS), vous rencontrerez probablement moins de difficultés liées à la conformité.

Une fois que vous avez sélectionné les services pour lesquels vous souhaitez obtenir une autorisation FedRAMP, Google peut vous aider à configurer votre solution au moyen de guides de configuration spécifiques ou d'un contact direct avec des experts FedRAMP au sein de nos services de conseil Google Cloud.

Google est l'un des premiers fournisseurs cloud hyperscale grand public à avoir obtenu l'autorisation à niveau d'impact élevé du FedRAMP pour une offre commerciale de cloud public. C'est à l'heure actuelle l'un des plus grands fournisseurs de services certifiés FedRAMP sur le marché. Dans le passé, pour répondre aux exigences élevées du FedRAMP, les fournisseurs hyperscale séparaient leurs offres cloud destinées aux administrations de celles proposées au grand public. Bien que cette approche permette d'assurer la conformité, ces environnements distincts ne présentent souvent pas tous les avantages de l'infrastructure Google Cloud.

L'autorisation à niveau d'impact élevé du FedRAMP pour Google Cloud permet aux autorités administratives traitant des charges de travail à niveau d'impact élevé d'adopter beaucoup plus rapidement les technologies et de bénéficier de la même échelle que la clientèle grand public, ainsi que d'exploiter l'infrastructure cloud publique unique de Google, aussi bien ses fonctionnalités que sa capacité. Avec Assured Workloads ou Assured Controls, les clients peuvent sécuriser et configurer des charges de travail sensibles en toute confiance de façon à répondre à leurs exigences de conformité et de sécurité dans le cloud. Choisissez vos paramètres de sécurité et Google se chargera de mettre en place les contrôles cloud nécessaires.

Vous trouverez ci-dessous la liste des éditions de Google Workspace autorisées par le FedRAMP. Voici le guide de configuration pour déployer Google Workspace afin d'assurer la conformité avec les contrôles de sécurité au niveau d'impact élevé du FedRAMP.

Oui, Assured Workloads est requis pour obtenir une ATO à niveau d'impact modéré ou élevé du FedRAMP. Assured Workloads permet à Google Cloud d'identifier les charges de travail fédérales des clients et d'appliquer des garde-fous techniques pour se conformer aux modifications des réglementations fédérales. Google Cloud s'engage à maintenir les exigences de conformité FedRAMP, y compris celles introduites dans les contrôles NIST 800-53 Rév. 5 et les futures versions pour les charges de travail exécutées dans Assured Workloads.

De plus, Assured Workloads est le seul moyen pour Google Cloud de répondre aux exigences élevées du programme FedRAMP en matière d'assistance et de résidence des données. Assured Workloads ne s'applique pas à Google Workspace, qui dispose de ses propres contrôles.

L'un des avantages de Google Cloud pour vos charges de travail en lien avec des administrations publiques est qu'un certain nombre de contrôles requis sont déjà en place dans notre infrastructure sous-jacente et dans Assured Workloads. Ainsi, lorsque vous soumettez votre package FedRAMP pour autorisation à la commission FedRAMP, vous devez également inclure le plan de sécurité système (SSP ; System Security Plan) de Google, qui décrit les contrôles gérés par Google Cloud. Veuillez contacter votre équipe commerciale pour obtenir une copie du plan de sécurité système de Google Cloud (nécessite un NDA).

Le groupe StateRAMP (State Risk and Authorization Management Program) est une organisation à but non lucratif qui a créé la certification StateRAMP. Tout comme le programme FedRAMP, il repose sur le framework NIST 800-53 et est en partie modélisé d'après le FedRAMP. Le StateRAMP s'appuie également sur les organismes 3PAO autorisés par le FedRAMP pour effectuer des évaluations. Google Cloud est prêt à accompagner les clients StateRAMP du secteur public en leur offrant une résidence des données améliorée et des fonctionnalités d'assistance via Assured Workloads.

FedRAMP Marketplace gère une liste des organismes 3PAO qualifiés.

Le SSP de Google Cloud couvre les ressources appartenant à Google pour les tests d'intrusion. Les clients peuvent hériter de ce contrôle en utilisant Google Cloud. Lors de l'évaluation par le 3PAO, un test d'intrusion doit également être effectué dans l'environnement FedRAMP du client créé à l'aide de Google Cloud.

Le programme FedRAMP permet plusieurs niveaux d'héritage pour les fournisseurs de services cloud utilisant une infrastructure, des plates-formes et des services couverts par l'autorisation FedRAMP. Cette analyse initiale du contrôle et de l'héritage permettra de déterminer votre degré de responsabilité en matière de conformité en tant que fournisseur de service cloud.

Par exemple, si votre organisation préfère créer l'ensemble de sa pile d'application, vos responsabilités/obligations envers le client seront plus grandes lors de l'évaluation par le responsable en charge des autorisations. Si vous utilisez une infrastructure Platform as a Service (PaaS) ou Software as a Service (SaaS), vous rencontrerez probablement moins de difficultés liées à la conformité.

Une fois que vous avez sélectionné les services pour lesquels vous souhaitez obtenir une autorisation FedRAMP, Google peut vous aider à configurer votre solution au moyen de guides de configuration spécifiques ou d'un contact direct avec des experts FedRAMP au sein de nos services de conseil Google Cloud.

Assured Workloads est une fonctionnalité Google Cloud permettant aux clients d'activer des configurations de projet spécifiques afin de respecter leurs régimes de conformité. Les clients peuvent définir eux-mêmes des règles d'administration pour répondre aux exigences de conformité sans avoir besoin d'utiliser Assured Workloads. Les produits s'intègrent discrètement à Assured Workloads et appliquent eux-mêmes les règles d'administration.

La console Google Cloud est une interface utilisateur Web simple qui propose des fonctionnalités pour aider les clients dans leur déploiement. Il s'agit d'un framework (et non d'un service) basé sur l'infrastructure Google Cloud. Elle fournit aux clients une interface pour gérer leurs éléments Google Cloud. Les clients de la console Cloud interagissent directement avec les API des services Google Cloud individuels et utilisent les API des services pour afficher l'UI. La console Cloud ne dispose pas en elle-même d'une API avec laquelle les clients peuvent interagir. Au lieu de cela, les clients interagissent directement avec les API des services Google Cloud individuels. La console Cloud utilise ces API de service pour afficher l'UI.

Conformément à la norme NIST SP 800-131A Rev. 2, intitulée "Transitioning the Use of Crypto Algorithms and Key Lengths" (Transition vers l'utilisation des algorithmes de chiffrement et des longueurs de clé), les clients souhaitent abandonner l'utilisation de 3DES. Google Cloud n'utilise pas 3DES, mais il est toujours disponible sur les points de terminaison Google pour répondre aux besoins de tous nos clients. Si votre solution FedRAMP nécessite la suppression de 3DES, veuillez contacter l'assistance pour qu'elle vous aide à la supprimer de votre environnement Assured Workloads.

ID de package FedRAMP FR1805751477

* Veuillez noter que tous les services Google Cloud couverts par le programme FedRAMP au niveau d'impact élevé sont également couverts par le programme FedRAMP au niveau d'impact modéré.

* Veuillez noter que les plates-formes FedRAMP au niveau d'impact modéré ou élevé implémentent des contrôles limitant les connexions TLS 1.1/1.0 au niveau du domaine.

Access Approval

Access Context Manager

Access Transparency

Console d'administration (y compris SDK Admin, Directory Sync)

Étiquetage de données AI Platform

AI Platform Neural Architecture Search (NAS)

AI Platform Training and Prediction (anciennement Cloud Machine Learning Engine)

Anthos Config Management (ACM)

Anthos Identity Service (AIS)

Anthos Service Mesh

Apigee

App Engine

Artifact Registry

Assured Workloads

AutoML Natural Language

AutoML Tables

AutoML Translation

AutoML Video

AutoML Vision

BeyondCorp Enterprise

BigQuery

Service de transfert de données BigQuery

Bigtable

Autorisation binaire

Care Studio

CCAI Insights

Certificate Authority Service

Inventaire des éléments cloud

Cloud Billing

Cloud Build

Cloud CDN

Cloud Composer

Console Cloud

Application Cloud Console

Cloud Data Fusion

Cloud Deployment Manager

Cloud DNS

Cloud Endpoints

Cloud Error Reporting

Cloud External Key Manager (Cloud EKM)

Cloud Functions

Cloud Functions for Firebase

API Cloud Healthcare

Cloud HSM

Cloud Identity

Cloud IDS

Cloud Interconnect

Cloud Key Management Service

Cloud Life Sciences (anciennement Google Genomics)

Cloud Load Balancing (L4 ILB)

Cloud Load Balancing (L7 ILB/XLB)

Cloud Load Balancing (équilibrage de la charge réseau)

Cloud Logging (inclut Error Reporting)

Cloud Monitoring

Cloud NAT (traduction d'adresse réseau)

API Cloud Natural Language

Cloud Profiler (anciennement Stackdriver Profiler)

Cloud Router

Cloud Run (entièrement géré)

Cloud Run for Anthos

Cloud Scheduler

SDK Cloud

Cloud Shell

Cloud Source Repositories

Cloud SQL

Cloud Storage

Cloud Storage for Firebase

Cloud Tasks

Cloud Trace (anciennement Stackdriver Trace)

Cloud Translation

API Cloud Vision

Cloud VPN

Cloud Workstations

Compute Engine

Connect

Contact Center AI (CCAI)

Container Registry

Data Catalog

Database Migration Service

Dataflow

Dataproc

Datastore

DataStream

DialogFlow

Document AI

Earth Engine

Eventarc

Filestore (niveaux HDD de base et SSD de base)

Firebase Authentication

Firestore

GCP Marketplace

GKE Hub

Google Cloud Armor

Google Cloud Identity-Aware Proxy

Google Kubernetes Engine

Google Security Operations

Google Security Operations SOAR

Identity and Access Management (IAM)

Identity Platform

Key Access Justifications (KAJ)

Looker Studio (y compris Pro, anciennement Google Data Studio)

Memorystore for Memcached

Memorystore pour Redis

Network Connectivity Center

Network Intelligence Center

Niveaux de service réseau

Persistent Disk

Pub/Sub

reCAPTCHA Enterprise

API Resource Manager

Secret Manager

Security Command Center Premium

Sensitive Data Protection (y compris Cloud Data Loss Prevention)

Annuaire des services

Service Infrastructure (anciennement Service Control ; inclut les API Service Management et Service Consumer Management)

Spanner

Speech-to-Text

Service de transfert de stockage

Talent Solution

Text-to-Speech

Traffic Director

Vertex AI Forecast

Vertex AI Model Registry

Notebooks Vertex AI Workbench gérés par l'utilisateur (anciennement AI Platform Notebooks)

Vertex Batch Predictions

Vertex ML Metadata

Vertex Model Monitoring

Vertex Online Predictions

Vertex Pipelines

Vertex Training

API Video Intelligence

Cloud privé virtuel

VPC Service Controls

API Web Risk

Workflows

Fédération des identités des employés

Solution SIEM pour les opérations de sécurité Google

AlloyDB

ID de package FedRAMP FR1805751477

* Veuillez noter que tous les services Google Cloud couverts par le programme FedRAMP au niveau d'impact élevé sont également couverts par le programme FedRAMP au niveau d'impact modéré.

* Veuillez noter que les plates-formes FedRAMP au niveau d'impact modéré ou élevé implémentent des contrôles limitant les connexions TLS 1.1/1.0 au niveau du domaine.

Access Context Manager

Access Transparency

AI Platform Training and Prediction (anciennement Cloud Machine Learning Engine)

Anthos Identity Service

Apigee

App Engine

Artifact Registry

AutoML Natural Language

AutoML Tables

AutoML Translation

AutoML Video Intelligence

AutoML Vision

Beyondcorp Enterprise

BigQuery

Service de transfert de données BigQuery

Autorisation binaire

Care Studio (Cloud Healthcare Search)

CCAI Insights

Certificate Authority Service

API Cloud Billing

Cloud Build

Cloud CDN

Cloud Composer

Cloud Data Fusion

Cloud Deployment Manager

Cloud DNS

Cloud Endpoints

Cloud Error Reporting

Cloud External Key Manager

Cloud Functions

Cloud Functions for Firebase

API Cloud Healthcare

Cloud Identity

Cloud IDS

Cloud Interconnect

Cloud Life Sciences (anciennement Google Genomics)

Cloud Load Balancing

Cloud Logging

Cloud Key Management Service

Cloud Monitoring

Cloud NAT (traduction d'adresse réseau)

API Cloud Natural Language

Cloud Profiler

Cloud Router

Cloud Run (entièrement géré)

Cloud Run for Anthos

Cloud Scheduler

SDK Cloud

Cloud Shell

Cloud Source Repositories

Cloud SQL

Cloud Storage

Cloud Storage for Firebase

Cloud Tasks

Cloud Trace (anciennement Stackdriver Trace)

Cloud Translation

API Cloud Vision

Cloud VPN

Cloud Workstations

Compute Engine

Config Management

Connect

Container Registry

Contact Center AI (CCAI)

Data Catalog

Database Migration Service

Datalab

Dataproc

Datastore

Datastream

Dialogflow

Document AI

Earth Engine

Eventarc

Filestore (niveaux HDD de base et SSD de base)

Firestore

Game Servers

GKE Hub

Application Google Cloud

Google Cloud Armor

Google Cloud CLI

Google Cloud Console

Google Cloud Marketplace

Google Cloud Identity-Aware Proxy

Solution SIEM pour les opérations de sécurité Google

Google Security Operations SOAR

Identity and Access Management (IAM)

Identity Platform

IoT Core

Key Access Justifications (KAJ)

Looker Studio (y compris Pro, anciennement Google Data Studio)

Memorystore

Network Connectivity Center

Network Intelligence Center

Niveaux de service réseau

Persistent Disk

Pub/Sub

reCAPTCHA Enterprise

API Resource Manager

Secret Manager

Security Command Center (y compris Web Security Scanner) (anciennement Cloud Security Scanner)

Sensitive Data Protection (y compris Cloud Data Loss Prevention)

Annuaire des services

Service Infrastructure (anciennement Service Control ; inclut les API Service Management et Service Consumer Management)

Maillage de services

Spanner

Speech-to-Text

Service de transfert de stockage

Talent Solution

Text-to-Speech

Traffic Director

Vertex AI Forecast

Vertex AI Model Registry

Vertex AI Neural Architecture Search

Notebooks Vertex AI Workbench gérés par l'utilisateur (anciennement AI Platform Notebooks)

Vertex Batch Predictions

Vertex ML Metadata

Vertex Model Monitoring

Vertex Online Predictions

Vertex Pipelines

Vertex Training

API Video Intelligence

Cloud privé virtuel

VM Manager

VPC Service Controls

API Web Risk

Workflows

Fédération des identités des employés

Google Security Operations SOAR

Looker (Google Cloud Core)

* Veuillez noter que les plates-formes FedRAMP au niveau d'impact modéré ou élevé implémentent des contrôles limitant les connexions TLS 1.1/1.0 au niveau du domaine.

Google Workspace Business Plus

Google Workspace Business Standard

Google Workspace Enterprise Plus

Google Workspace Enterprise Standard

* Veuillez noter que les plates-formes FedRAMP au niveau d'impact modéré ou élevé implémentent des contrôles limitant les connexions TLS 1.1/1.0 au niveau du domaine.

Google Workspace Business Starter

Google Workspace Enterprise Essentials

Google Workspace Enterprise Plus

Google Workspace for Education

Google Workspace for Education Fundamentals

Google Workspace for Education Plus

Google Workspace for Education Standard

Google Workspace pour les administrations

Google Workspace for Nonprofits

Édition Google Workspace Frontline

Teaching and Learning Upgrade

ID de package FedRAMP F1206081364

* Veuillez noter que la console d'administration et Cloud Identity font désormais partie du package de services Google (FR1805751477).

* Veuillez noter que les plates-formes FedRAMP au niveau d'impact modéré ou élevé implémentent des contrôles limitant les connexions TLS 1.1/1.0 au niveau du domaine.

Agenda

Docs

Drive

Forms

Gmail

Google Chat

Google Meet

Keep

Nouvelle version de Sites

Sheets

Slides

Vault

Drawings

Services Google Workspace (niveau d'impact modéré du FedRAMP)

ID de package FedRAMP F1206081364

* Veuillez noter que la console d'administration et Cloud Identity font désormais partie du package de services Google (FR1805751477).

* Veuillez noter que les plates-formes FedRAMP au niveau d'impact modéré ou élevé implémentent des contrôles limitant les connexions TLS 1.1/1.0 au niveau du domaine.

Gestion des appareils Chrome et Android

API Apps Activity

Synchronisation Chrome (pour Google Workspace for Education uniquement)

Classroom

Cloud Search (y compris 3P)

Contacts

API Calendar

API Contacts

API Docs

Drawings

API Drive REST (remplaçant l'API Documents List)

API Gmail REST (remplaçant l'API Email Migration)

Diffusion en direct Google Meet

Google Tasks

Google Voice

Google Workspace Migrate

Centre de sécurité Google Workspace (pour les domaines Enterprise Plus et Google Workspace for Education Plus uniquement)

Groups for Business

Jamboard

API People

LDAP sécurisé

API Sheets

API Sites

API Tasks

AppSheet (hors tables)

Toutes les régions Google Cloud couvertes par le programme FedRAMP au niveau d'impact élevé le sont également par le programme FedRAMP au niveau d'impact modéré.

Oregon (us-west1) – FedRAMP au niveau d'impact élevé

Los Angeles (us-west2) – FedRAMP au niveau d'impact élevé

Salt Lake City (us-west3) – FedRAMP au niveau d'impact élevé

Las Vegas (us-west4) – FedRAMP au niveau d'impact élevé

Iowa (us-central1) – FedRAMP au niveau d'impact élevé

Oklahoma (us-central2) - FedRAMP au niveau d'impact élevé

Caroline du Sud (us-east1) – FedRAMP au niveau d'impact élevé

Virginie du Nord (us-east4) – FedRAMP au niveau d'impact élevé

Columbus (us-east5) – FedRAMP au niveau d'impact élevé

Dallas (us-south1) – FedRAMP au niveau d'impact élevé

Montréal (northamerica-northeast1) – FedRAMP au niveau d'impact modéré

São Paulo (southamerica-east1) – FedRAMP au niveau d'impact modéré

Belgique (europe-west1) – FedRAMP au niveau d'impact modéré

Londres (europe-west2) – FedRAMP au niveau d'impact modéré

Francfort (europe-west3) – FedRAMP au niveau d'impact modéré

Pays-Bas (europe-west4) – FedRAMP au niveau d'impact modéré

Finlande (europe-north1) – FedRAMP au niveau d'impact modéré

Mumbai (asia-south1) – FedRAMP au niveau d'impact modéré

Singapour (asia-southeast1) – FedRAMP au niveau d'impact modéré

Taïwan (asia-east1) – FedRAMP au niveau d'impact modéré

Tokyo (asia-northeast1) – FedRAMP au niveau d'impact modéré

Sydney (australia-southeast1) – FedRAMP au niveau d'impact modéré

Zurich (europe-west6) – FedRAMP au niveau d'impact modéré

Varsovie (europe-central2) – FedRAMP au niveau d'impact modéré

Jakarta (asia-south2) – FedRAMP au niveau d'impact modéré

Osaka (asia-northeast2) – FedRAMP au niveau d'impact modéré

Séoul (asia-northeast3) – FedRAMP au niveau d'impact modéré