FedRAMP

美国联邦政府制定了联邦风险和授权管理计划 (FedRAMP),这是一项全政府范围的计划,它为云端产品及服务的安全评估、授权和持续监控提供了一种标准化方法。美国国会于 2022 年通过法案将 FedRAMP 描述为“一项政府级计划,针对处理各机构所用的未分类信息的云计算产品和服务提供标准化且可重复使用的安全评估和授权方法。”

除某些本地私有云外,所有联邦机构的云部署和服务模型都必须符合 FedRAMP 相应风险影响级别(低、中或高)的要求。

Google Cloud 的 FedRAMP 合规性

FedRAMP 委员会(以前称为“联合授权委员会”)是 FedRAMP 的主要管理机构。该机构包括美国国防部 (DoD)、国土安全部 (DHS) 和总服务管理部 (GSA),以及由 GSA 管理员和 FedRAMP 总监确定的其他机构。

FedRAMP 委员会已向 Google Cloud 和底层基础设施颁发了 FedRAMP 高风险级别临时运营授权 (P-ATO)。Google Cloud 会定期向委员会提交其他服务以获得 FedRAMP 高风险级别授权。

如果您有兴趣使用 Google Cloud 服务来履行 FedRAMP 高风险级别合规义务,则必须使用适用于 FedRAMP 高风险级别的 Assured Workloads 数据边界和安心支持服务。FedRAMP 中等风险级别控制基准是 FedRAMP 高风险级别控制基准的一部分。因此,如果您要为 Google Cloud 上部署的解决方案申请 FedRAMP 中风险级别 ATO,则可以在 FedRAMP 中风险级别授权范围内使用任何 FedRAMP 高风险级别授权的 Google Cloud 服务。

Google 可根据保密协议 (NDA) 向您提供以下 Google Cloud FedRAMP 合规性文档:

  • 客户责任矩阵 (CRM)
  • 系统安全计划 (SSP)

我们的销售团队或您的 Google Cloud 代表可以为您提供此文档的访问权限。政府客户还可以使用其文件包申请表单,通过 FedRAMP 计划管理办公室索取 Google 的 FedRAMP 文件包。

如果您通过 Google 合作伙伴购买 Google Cloud 服务,购买条款及条件由我们的合作伙伴提供。

Google Workspace 的 FedRAMP 合规性

使用 Google Workspace 时,您能够满足各种美国联邦政府要求和全球云安全和隐私权标准。除了保持 FedRAMP 高风险级别 P-ATO 外,Google Workspace 还通过了 ISO 270172701827001 认证,并依据美国注册会计师协会 (AICPA) 系统与组织控制 (SOC) 标准接受审计。如需了解详情,请参阅 Google Cloud 符合的法规和标准

整个授权的 Google Workspace 安全边界都已根据 FedRAMP 高风险级别的安全和隐私控制基准进行记录、评估和管理。FedRAMP 中风险级别控制基准是 FedRAMP 高风险级别控制基准的一部分。因此,如果您要为 Google Workspace 实现申请 FedRAMP 中风险级别 ATO,则任何获得 FedRAMP 高风险级别授权的 Google Workspace 服务都可以纳入您的 FedRAMP 中风险级别授权范围。如需了解详情,请参阅 Google Workspace FedRAMP 配置指南

Google Cloud VMware Engine (GCVE) FedRAMP 高风险级别就绪性

2023 年,FedRAMP 项目管理办公室 (PMO) 完成了对由 FedRAMP 认可的第三方评估组织 (3PAO) 提供的 Google Cloud VMware Engine (GCVE) 高风险级别就绪性评估报告 (RAR) 的审核。审核结果是正面的,且未发现明显的功能缺陷,因此 GCVE 被认可为 FedRAMP 高风险级别就绪产品(FedRAMP 文件包 ID FR2405153785)。

通过 FedRAMP 高风险级别就绪审核即向美国联邦政府表明 GCVE 很有可能获得 FedRAMP 授权。GCVE 还通过了 ISO 270172701827001PCI DSS 认证,并依据美国注册会计师协会 (AICPA) 的系统与组织控制 (SOC) 标准接受审计。

在 Google Cloud 上托管 FedRAMP 中风险级别和高风险级别工作负载

Google Cloud 对默认安全基础设施的持续投入,确保安全控制措施已内置且预配置,使您无需依赖传统的隔离式政府云基础设施,也能实现多种合规等级。

如前所述,如果您希望在自己的 FedRAMP 中风险级别和高风险级别环境中使用 Google Cloud 部署解决方案,则必须使用 Assured Workloads。借助 Assured Workloads,您可以使用 Google Cloud 服务放心地保护和配置敏感工作负载,以满足合规性和安全要求。Assured Workloads 不依赖于区别于现有 Google Cloud 公共基础设施的独立物理基础设施。而是提供一个软件定义的社区云,在费用、速度和创新方面具有优势。

通过 Assured Workloads 提供的 FedRAMP 授权服务实施 FedRAMP 安全控制措施,并允许您利用 Google Cloud 的功能满足您的组织需求。借助 Assured Workloads,您还可以通过 Assured Workloads Monitoring 了解 FedRAMP 工作负载的合规状态。此工具可帮助您发现并解决违规问题,并向审核人员提供控制证明。

除了 Google Cloud FedRAMP 高风险级别 P-ATO 控制措施之外,Assured Workloads 还会默认实施以下关键的 FedRAMP 高风险级别控制措施:

  1. 设定安全措施,将 FedRAMP 高风险级别客户数据位置限制为美国
  2. 仅限由美国境内经 FedRAMP 认定的人员担任技术支持人员
  3. 通过 FIPS-140 验证的静态加密和传输加密
  4. 对客户数据具有临时访问权限的人员实施人员访问权限控制机制
  5. 仅允许符合 FedRAMP 要求的产品和服务
  6. 对范围内合规性边界进行逻辑细分,以支持 FedRAMP 高风险级别要求

在 Google Workspace 上托管 FedRAMP 中风险级别数据和高风险级别数据

Google Workspace 拥有 FedRAMP 高风险级别 P-ATO,您可以利用该 ATO 托管 FedRAMP 中风险级别和高风险级别数据。如果您想要在自己的 FedRAMP 中风险级别和高风险级别环境中部署 Google Workspace,应启用 FedRAMP 高风险级别授权的服务。了解如何为 Google Workspace 用户启用或停用服务

此外,Google Workspace 商务版和企业版还具备内置的安全控制措施和功能集,可帮助您满足 FedRAMP 高风险级别合规要求,并配合完成您自己的 ATO(运营授权)流程。作为 Google Workspace 用户,您可以使用数据区域政策来配置自己的环境,以满足 FedRAMP 数据驻留控制措施的要求。

获得 FedRAMP 运营授权 (ATO) 的流程

如果您有兴趣在 Google Cloud 上托管政府数据,则可能也有兴趣申请自己的运营授权 (ATO)。您在为 Google Cloud 上的服务申请 ATO 时,应考虑以下里程碑:

  • 确定范围内的数据是需要满足 FedRAMP 中风险级别还是 FedRAMP 高风险级别授权要求。
  • 范围内的 Google Cloud 服务选择 Assured Workloads。免费层级提供 FedRAMP 中风险级别,而 FedRAMP 高风险级别需要付费订阅。
  • 确定您在 Google Cloud 中的 FedRAMP 边界。
  • 根据共担责任模型、客户责任矩阵、范围内的 Google Cloud 服务和 FedRAMP 准则配置工作负载。
  • 接受由 FedRAMP 认可的第三方评估组织 (3PAO) 执行的审计
  • 将您的文件包提交给联邦机构进行审核和授权。

如需详细了解 ATO 流程,请参考 FedRAMP 网站。如需从 Google Cloud 获得额外 FedRAMP ATO 支持,请访问我们的 Google Cloud 咨询服务页面。

常见问题解答

美国管理与预算办公室最新的 FedRAMP 草稿备忘录(其中认可了基于逻辑的现代化云方法以及使用基于软件的隔离来代替物理隔离)是朝着正确方向迈出的坚实一步。Google Cloud 率先采用这种方法,坚信它可以帮助客户安全地进行扩缩和创新

FedRAMP 允许云服务产品通过不同级别的继承使用 FedRAMP 授权的基础设施、平台和服务。对控制措施和继承权限的初步分析将最终决定,您作为在 Google Cloud 上部署应用的客户,需要承担多少合规责任。

例如,如果您的组织更倾向于自行构建整个应用堆栈,那么在授权官员进行评估时,您将需要承担更多的客户责任/义务。如果您使用平台即服务或软件即服务,则需要承担的合规责任可能会减轻。

在您选择 FedRAMP 授权的服务后,Google 可以通过服务特定配置指南或直接与我们的 Google Cloud 咨询组织中的 FedRAMP 专家联系,帮助您配置解决方案。

Google 是首批在商业公有云产品上获得 FedRAMP 高风险级别授权的超大规模商业云服务提供商之一,也是目前市场上规模最大的 FedRAMP 服务提供商之一。在过去,超大规模提供商将其“govcloud”与商业云产品分开以满足 FedRAMP 高风险级别的要求。这种方法可以实现合规性,但这些分隔开的环境往往无法具备 Google Cloud 基础设施可以提供的所有优势。

Google Cloud 的 FedRAMP 高风险级别授权使处理高影响级工作负载的政府机构能够以更快的转化速度、与商业客户相同的规模采用技术,同时充分利用 Google 独有的公有云基础设施,包括其强大功能与资源容量。借助 Assured Workloads 或 Assured Controls,客户可以放心地保护和配置敏感的工作负载,以便在云端满足其合规性和安全性要求。您只需选择安全设置,Google 即会将必要的云控制措施落实到位。

下面列出了获得 FedRAMP 授权的 Google Workspace 版本。请参阅配置指南,了解如何部署 Google Workspace,以支持符合 FedRAMP 高风险级别安全控制措施的要求。

是的,需要 Assured Workloads 才能实现 FedRAMP 中风险级别或 FedRAMP 高风险级别 ATO。借助 Assured Workloads,Google Cloud 能够识别客户的联邦工作负载,并施加技术保护措施,以应对联邦法规的变化。Google Cloud 致力于持续支持 FedRAMP 合规要求,包括 NIST 800-53 修订版 5 中引入的要求,以及未来针对在 Assured Workloads 中运行工作负载的相关版本。

此外,Assured Workloads 是 Google Cloud 满足 FedRAMP 高风险级别的强化支持和数据驻留要求的唯一途径。Assured Workloads 不适用于 Google Workspace,后者有自己的安全管控。


使用 Google Cloud 处理政府工作负载的好处之一是,我们的底层基础设施和 Assured Workloads 中已经自带一些必需的控制措施。因此,当您将 FedRAMP 文件包提交给联邦机构以申请授权时,您还需要添加 Google 的 SSP,其中概述了由 Google Cloud 管理的控制措施。如需获取 Google Cloud 的 SSP(需要签署保密协议),请与您的销售团队联系。

StateRAMP 是于 2021 年推出的一项网络安全计划,旨在满足美国州和地方政府中采购与安全官员的需求。与 FedRAMP 一样,它建立在 NIST 800-53 框架之上,并在一定程度上借鉴了 FedRAMP 的模式。StateRAMP 也依赖 FedRAMP 认可的第三方评估机构 3PAO 开展评估工作。Google Cloud 已准备就绪,可通过 Assured Workloads 以增强的数据驻留和支持功能为 StateRAMP 政府客户提供支持。

FedRAMP Marketplace 中维护着一份已认可的 3PAO 列表。

Google Cloud 的 SSP 涵盖 Google 自有资源以进行渗透测试,并且您使用 Google Cloud 可以继承此控制措施。在 3PAO 评估期间,还需要对您自己使用 Google Cloud 构建的 FedRAMP 环境进行渗透测试。

是。FedRAMP 允许云服务产品通过不同级别的继承使用 FedRAMP 授权的基础设施、平台和服务。对控制措施和继承权限的初步分析将最终决定,您作为在 Google Cloud 上部署应用的客户,需要承担多少合规责任。

例如,如果您的组织更倾向于自行构建整个应用堆栈,那么在授权官员进行评估时,您将需要承担更多的客户责任/义务。如果您使用平台即服务或软件即服务,则需要承担的合规责任可能会减轻。

在您选择 FedRAMP 授权的服务后,Google 可以通过服务特定配置指南或直接与我们的 Google Cloud 咨询组织中的 FedRAMP 专家联系,帮助您配置解决方案。

Assured Workloads 是获得 FedRAMP 高风险级别认证的 Google Cloud 服务,您可以借助该服务启用特定项目配置,以符合您的合规性制度。您也可以自行设置组织政策以满足合规性要求,而无需使用 Assured Workloads。产品与 Assured Workloads 进行独立集成,并强制执行组织政策。

Google Cloud 控制台是一项获得 FedRAMP 高风险级别认证的服务,提供基于 Web 的简洁界面,包含可协助客户进行部署的功能。Google Cloud 控制台无需设置或安装,您可以直接在浏览器中访问它。Cloud 控制台客户直接与各个 GCP 服务的 API 进行交互,并使用服务的 API 来呈现界面。Cloud 控制台本身不提供可供客户交互的 API。相反,客户会直接与各个 GCP 服务的 API 进行交互。

根据 NIST SP 800-131A 修订版 2《加密算法和密钥长度使用转换指南》,客户正寻求弃用 3DES。Google Cloud 不使用 3DES,但为了支持我们的所有客户,它在 Google 端点上仍然可用。在我们的 Assured Workloads 组织政策中,TLS 版本限制组织政策现在通过减少使用安全性较低的 3DES 加密套件,为 Google Cloud 客户提供更强大的安全保障。在客户工作负载上启用此政策后,使用基于 3DES 加密的加密套件的请求将被拒绝访问 Google Cloud 资源。默认情况下,FedRAMP Assured Workloads 会强制执行 TLS 版本限制组织政策。

范围内的服务

FedRAMP 软件包 ID FR1805751477

* 请注意,通过 FedRAMP 高风险级别认证的所有 Google Cloud 服务也通过了 FedRAMP 中风险级别认证

* 请注意:FedRAMP 中风险级别和 FedRAMP 高风险级别平台实施了控制措施,限制网域级 TLS 1.1/1.0 连接。

Access Approval

Access Context Manager

Access Transparency

管理控制台(包括 Admin SDK、Directory Sync)

Agent Assist

Agentspace(作为 Vertex AI Search 的一部分)

AI Platform Data Labeling

AI Platform 神经架构搜索 (NAS)

AI Platform Training and Prediction(原称 Cloud Machine Learning Engine)

AlloyDB

Anthos Config Management (ACM)(GKE Enterprise 的功能)

API 密钥

Apigee

不包含捆绑服务的 App Engine 标准环境

Application Integration

Artifact Analysis

Artifact Registry

有保障的开源软件 (AOSS)

Assured Workloads

AutoML Natural Language

AutoML Tables

AutoML Translation

AutoML Video

AutoML Vision

Backup for GKE

Batch

BeyondCorp Enterprise

BigQuery

BigQuery Data Transfer Service

Bigtable

Binary Authorization

Care Studio

Certificate Authority Service

Certificate Manager

Cloud Armor(基本)

Cloud Asset Inventory

Cloud Billing

Cloud Build

Cloud CDN

Cloud Composer

Cloud Console

Cloud Console 应用

Cloud Data Fusion

Cloud Deploy

Cloud Deployment Manager

Cloud DNS

Cloud Endpoints

Cloud Error Reporting

Cloud External Key Manager (EKM)

Cloud Functions for Firebase

Cloud Healthcare API

Cloud HSM

Cloud Identity

Cloud IDS

Cloud Interconnect

Cloud Key Management Service

Cloud Life Sciences(原称 Google Genomics)

Cloud Load Balancing (L4 ILB)

Cloud Load Balancing(L7 ILB / 区域级 XLB)

Cloud Load Balancing(网络负载均衡)

Cloud Logging(包括 Error Reporting)

Cloud Monitoring

Cloud 网络地址转换 (NAT)

Cloud Natural Language API

Cloud NGFW (Cloud Firewall)(Standard 和 Essential)

Cloud Profiler (Stackdriver Profiler)

Cloud Resource Manager

Cloud Router

Cloud Run

Cloud Run functions

Cloud Scheduler

Cloud SDK

Cloud Service Mesh

Cloud Shell

Cloud Source Repositories

Cloud SQL

Cloud Storage

Cloud Storage for Firebase

Cloud Tasks

Cloud Trace(原称 Stackdriver Trace)

Cloud Translation

Cloud Vision API

Cloud VPN

Cloud Workstations

Compute Engine

Connect

Container Registry

对话代理 (Dialogflow CX)

对话分析洞见 (CCAI Insights)

Data Catalog

Database Migration Service

Dataform

Dataflow

Dataproc

Datastore

DataStream

Document AI

Earth Engine

Eventarc(标准版)

Filestore(基本 HDD 和基本 SSD 层级)

Firebase Authentication

Firestore

Vertex AI 上的生成式 AI (Gemini)

GKE Hub

GKE Identity Service (Anthos Identity Service)

Google Cloud Identity-Aware Proxy

Google Cloud Marketplace

Google Kubernetes Engine

Google SecOps (Chronicle SIEM)

Google SecOps SOAR

Identity & Access Management (IAM)

Identity Platform

Identity-Aware Proxy (IAP)

Infrastructure Manager

Integration Connectors

Key Access Justifications (KAJ)

Knative Serving (Cloud Run for Anthos)

Looker (Google Cloud Core)

Looker Studio(包括 Pro 版以前的 Google 数据洞察)

Memorystore for Memcache

Memorystore for Redis

Network Connectivity Center

Network Intelligence Center

Network Service Tiers

永久性磁盘

Pub/Sub

reCAPTCHA Enterprise

Secret Manager

Secure Source Manager

安全 Web 代理

Security Command Center(标准方案/高级方案)

Sensitive Data Protection(包括 Cloud Data Loss Prevention)

无服务器 VPC 访问通道

Service Infrastructure(原称 Service Control;包括 Service Management API 和 Service Consumer Management API)

Spanner

Speech-to-Text

Storage Transfer Service

Talent Solution

Text-to-Speech

Traffic Director(Cloud Service Mesh 的一部分)

Vertex AI Forecast

Vertex AI Model Registry

Vertex AI Search

Vertex AI Vector Search

Vertex AI Workbench 实例

Vertex 批量预测

Vertex ML Metadata

Vertex 模型监控

Vertex 在线预测

Vertex Pipelines

Vertex Training

Video Intelligence API

Virtual Private Cloud

VPC Service Controls

Web Risk API

Workflows

员工身份联合 (BYOID)

* 注意:FedRAMP 中风险级别和 FedRAMP 高风险级别平台实施了控制措施,限制网域级 TLS 1.1/1.0 连接。

Google Workspace 商务 Plus 版

Google Workspace 商务标准版

Google Workspace 企业 Plus 版

Google Workspace 企业标准版

FedRAMP 软件包 ID F1206081364

* 请注意,管理控制台和 Cloud Identity 现在属于 Google 服务软件包 (FR1805751477) 的一部分

* 请注意,通过 FedRAMP 高风险级别认证的所有 Google Workspace 服务也通过了 FedRAMP 中风险级别认证。

* 请注意:FedRAMP 中风险级别和 FedRAMP 高风险级别平台实施了控制措施,限制网域级 TLS 1.1/1.0 连接。

Appsheet

Appsheet(排除表)

日历

文档

云端硬盘

表单

Gemini

Gemini(Google Workspace 企业版)

Google 文档中的 Gemini

云端硬盘中的 Gemini

Gmail 中的 Gemini

Meet 中的 Gemini

Meet 中的 Gemini(Meet 背景中的生成式图像)

Meet 中的 Gemini(实时翻译字幕)

Meet 中的 Gemini(摄影棚视效)

Google 表格中的 Gemini

Google 幻灯片中的 Gemini

Gmail

Google Chat

Google Meet

Google Voice

Keep

新版协作平台

表格

幻灯片

Vault

FedRAMP 高风险级别覆盖的所有 Google Cloud 区域也在 FedRAMP 中等风险级别覆盖范围内。

俄勒冈 (us-west1) - FedRAMP 高风险级别

洛杉矶 (us-west2) - FedRAMP 高风险级别

盐湖城 (us-west3) - FedRAMP 高风险级别

拉斯维加斯 (us-west4) - FedRAMP 高风险级别

菲尼克斯 (us-west8) - FedRAMP 高风险级别

爱荷华 (us-central1) - FedRAMP 高风险级别

俄克拉何马州 (us-central2) - FedRAMP 高风险级别

南卡罗来纳 (us-east1) - FedRAMP 高风险级别

北弗吉尼亚 (us-east4) - FedRAMP 高风险级别

哥伦布 (us-east5) - FedRAMP 高风险级别

达拉斯 (us-south1) - FedRAMP 高风险级别

蒙特利尔 (northamerica-northeast1) - FedRAMP 中风险级别

圣保罗 (southamerica-east1) - FedRAMP 中风险级别

比利时 (europe-west1) - FedRAMP 中风险级别

伦敦 (europe-west2) - FedRAMP 中风险级别

法兰克福 (europe-west3) - FedRAMP 中风险级别

荷兰 (europe-west4) - FedRAMP 中风险级别

芬兰 (europe-north1) - FedRAMP 中风险级别

孟买 (asia-south1) - FedRAMP 中风险级别

新加坡 (asia-southeast1) - FedRAMP 中风险级别

台湾 (asia-east1) - FedRAMP 中风险级别

东京 (asia-northeast1) - FedRAMP 中风险级别

悉尼 (australia-southeast1) - FedRAMP 中风险级别

苏黎世 (europe-west6) - FedRAMP 中风险级别

华沙 (europe-central2) - FedRAMP 中风险级别

雅加达 (asia-southeast2) - FedRAMP 中风险级别

大阪 (asia-northeast2) - FedRAMP 中风险级别

首尔 (asia-northeast3) - FedRAMP 中风险级别

更进一步

获享 $300 赠金以及 20 多种提供“始终免费”用量的产品,开始在 Google Cloud 上构建项目。

Security