FedRAMP

Die US-Bundesregierung hat das US-Bundesprogramm zur Risiko- und Autorisierungsverwaltung (Federal Risk and Authorization Management Program – FedRAMP) als regierungsweites Programm ins Leben gerufen, das einen standardisierten Ansatz für die Sicherheitsbewertung, Autorisierung und kontinuierliche Kontrolle von Cloud-Produkten und -Diensten bietet. Der US-Kongress hat FedRAMP im Jahr 2022 als „regierungsweites Programm, das einen standardisierten, wiederverwendbaren Ansatz für die Sicherheitsbewertung und Autorisierung für Cloud-Computing-Produkte und -Dienste bietet, die nicht klassifizierte, von Behörden verwendete Informationen verarbeiten“ eingeführt.

Mit Ausnahme bestimmter lokaler privater Clouds müssen alle Cloud-Bereitstellungen und -Dienstmodelle der US-Bundesbehörde FedRAMP-Anforderungen auf der entsprechenden Risikostufe (Low, Moderate oder High) erfüllen.

Kunden, die Google Cloud-Dienste in Übereinstimmung mit FedRAMP Moderate- oder High-Level-Hosting nutzen möchten, müssen Assured Workloads und Assured-Support (nur High) verwenden.

FedRAMP-Compliance von Google Cloud

Das FedRAMP Board (früher Joint Authorization Board) ist das primäre Leitungsgremium von FedRAMP und umfasst das Department of Defense (DoD), das Department of Homeland Security (DHS) und die General Services Administration (GSA) und weitere Behörden, die vom Administrator der Google Search Appliance und des FedRAMP-Direktors festgelegt werden.

Das FedRAMP Board hat FedRAMP Moderate und FedRAMP High Authority to Operate (ATO) für Google Cloud-Infrastruktur und bestimmte Google Cloud-Serviceangebote (CSOs) ins Leben gerufen. Google Cloud reicht regelmäßig zusätzliche Dienste für die FedRAMP Moderate- und High-Zulassungen an das Gremium ein.

Google Cloud kann Kunden auf Basis einer Vertraulichkeitsvereinbarung (Non-Disclosure Agreement, NDA) die folgende zusätzliche Dokumentation zur FedRAMP-Compliance zur Verfügung stellen:

FedRAMP Kundenverantwortungsmatrix (CRM)
Systemsicherheitsplan (SSP) von Google Cloud
Berichte zu Penetrationstests

Unser Vertriebsteam oder Ihr Google Cloud-Ansprechpartner können Ihnen Zugriff auf unsere Dokumentation gewähren. Regierungskunden können das FedRAMP-Paket von Google auch über das FedRAMP Program Management Office über das entsprechende Paket-Anfrageformular anfordern.

Kunden, die über einen Google-Partner kaufen, erhalten die Nutzungsbedingungen von unseren Partnern.

FedRAMP-Compliance von Google Workspace

Kunden können Google Workspace in Übereinstimmung mit den Vorgaben verschiedener US-Bundesregierungen und globaler Standards für Cloud-Sicherheit und ‐Datenschutz verwenden. Google Workspace hat nicht nur eine FedRAMP High-Autorisierung, sondern ist auch nach ISO 27017, 27018, 27001 zertifiziert und nach den SOC-Standards (Service Organization Control) des American Institute of Certified Public Accountants (AICPA) geprüft.

Google Cloud VMware Engine (GCVE) – FedRAMP High Readiness

Im Jahr 2023 hat das FedRAMP Programmmanagementbüro (PMO) die Überprüfung des High Readiness Assessment-Berichts (RAR) der Google Cloud VMware Engine (GCVE) durch eine externe Bewertungsorganisation (3PAO) abgeschlossen. Basierend auf den positiven Ergebnissen der Überprüfung, bei denen keine nennenswerten Schwachstellen gefunden wurden, wurde GCVE als FedRAMP High-Ready-Angebot (FedRAMP-Paket-ID FR2405153785) akzeptiert.

Der Erhalt von FedRAMP High Ready weist die US-Bundesregierung darauf hin, dass GCVE mit hoher Wahrscheinlichkeit eine FedRAMP-Autorisierung erhält. GCVE ist außerdem nach ISO 27017, 27018, 27001, PCI-DSS zertifiziert und nach den SOC-Standards (Service Organization Control) des American Institute of Certified Public Accountants (AICPA) geprüft.

FedRAMP Moderate und High-Arbeitslasten in Google Cloud hosten

Die Investitionen von Google Cloud in die standardmäßige Sicherheit unserer Infrastruktur sorgen dafür, dass Sicherheitskontrollen eingebunden und vorkonfiguriert sind, sodass Kunden auch ohne herkömmliche isolierte staatliche Cloud-Architektur verschiedene Compliance-Stufen erreichen können.

Kunden, die ihre Lösungen mit Google Cloud in FedRAMP Moderate- und FedRAMP High-Umgebungen bereitstellen möchten, müssen Assured Workloads verwenden. Mit Assured Workloads können Kunden sensible Arbeitslasten mit Google Cloud-Diensten souverän schützen und konfigurieren, damit sie Compliance- und Sicherheitsanforderungen erfüllen. Assured Workloads stützt sich anders als seine öffentlichen Cloud-Rechenzentren nicht auf eine physische Infrastruktur. Stattdessen wird eine Software Defined Community Cloud bereitgestellt, die Kosten-, Geschwindigkeits- und Innovationsvorteile bietet.

Von FedRAMP autorisierte Dienste, die über Assured Workloads zur Verfügung gestellt werden, implementieren FedRAMP-Sicherheitskontrollen und ermöglichen es Kunden, die Funktionen von Google Cloud zu nutzen, um ihre organisatorischen Anforderungen zu erfüllen. Assured Workloads bietet über Assured Workloads-Monitoring auch Einblick in den Compliancestatus von FedRAMP-Arbeitslasten. Mit diesem Tool können Sie Complianceverstöße leichter erkennen und beheben und Auditoren Ihres Compliancestatus Kontroll-Attestierungen zur Verfügung stellen.

Zusätzlich zu den Kontrollen, die durch die Google Cloud-Infrastruktur FedRAMP High ATO abgedeckt werden, implementiert Assured Workloads die folgenden wichtigen FedRAMP High-Kontrollen standardmäßig für Kunden, die FedRAMP High-Regierungsdaten verarbeiten:

Leitlinien zur Beschränkung des Speicherorts von FedRAMP High-Kundendaten auf die USA
Beschränkung des technischen Supports auf Mitarbeiter mit FedRAMP-Prüfung in den USA
FIPS-140-2-konforme Verschlüsselung für ruhende Daten sowie Daten während der Übertragung
Zugriffskontrollen für Mitarbeiter mit routinemäßigem Zugriff auf Kundendaten
Nur FedRAMP-konforme Produkte und Dienste zulässig
Logische Segmentierung der Grenzen des Geltungsbereichs zur Unterstützung der FedRAMP Moderate und High-Anforderungen

FedRAMP Moderate- und -High Data in Google Workspace hosten

Für Google Workspace gilt ein FedRAMP High-ATO, das Kunden zum Hosten von FedRAMP Moderate-Daten und FedRAMP-High-Daten verwenden können. Kunden, die Google Workspace in ihren FedRAMP-Moderate-Umgebungen und -High-Umgebungen bereitstellen möchten, sollten die von FedRAMP autorisierten Dienste aktivieren, die der entsprechenden Autorisierung entsprechen. Informationen zum Aktivieren oder Deaktivieren eines Dienstes für Google Workspace

Darüber hinaus haben Google Workspace Business und Google Workspace Enterprise integrierte Sicherheitskontrollen und Funktionssets, mit denen Kunden die FedRAMP High-Anforderungen erfüllen und ihre ATO entsprechend anpassen können. Google Workspace-Nutzer können ihre Umgebungen mithilfe einer Richtlinie für Speicherorte für Daten so konfigurieren, dass sie die FedRAMP-Datenstandortsteuerelemente erfüllen.

Verfahren zum Erreichen einer FedRAMP Authority to Operate (ATO)

Kunden, die Regierungsdaten in Google Cloud hosten möchten, sind möglicherweise auch an einer eigenen Authority to Operate (ATO) interessiert. Organisationen sollten beim Erreichen einer ATO in Google Cloud die folgenden Meilensteine berücksichtigen:

Ermitteln Sie, ob für die unter die Vorgabe fallenden Daten FedRAMP Moderate oder FedRAMP High erforderlich ist
Wählen Sie für die entsprechenden Google Cloud-Dienste Assured Workloads aus (FedRAMP Moderate ist in der kostenlosen Stufe enthalten, FedRAMP High erfordert ein Premium-Abo)
Legen Sie in Google Cloud Ihre FedRAMP-Grenze fest
Konfigurieren Sie Ihre Arbeitslasten gemäß dem Modell der geteilten Verantwortung, der Kundenverantwortungsmatrix, den Google Cloud-Dienste innerhalb des Geltungsbereichs und den FedRAMP-Richtlinien
Veranlassen Sie eine Prüfung durch eine externe Bewertungsorganisation (3PAO)
Reichen Sie ein Paket zur Überprüfung und Autorisierung beim FedRAMP Board oder einer Bundesbehörde ein

Weitere Informationen zum ATO-Verfahren finden Sie auf der FedRAMP-Website. Zusätzlichen FedRAMP ATO-Support von Google Cloud finden Sie auf der Seite Google Cloud Consulting.

Häufig gestellte Fragen

Was denkt Google Cloud über den Entwurf des FedRAMP-Memorandums des Office of Management and Budget?

Der neue FedRAMP-Entwurf des Office of Management and Budget, der einen modernen Cloud-Ansatz befürwortet, der auf einer logischen und softwarebasierten Trennung anstelle einer physischen Trennung basiert, ist ein wichtiger Schritt in die richtige Richtung. Google Cloud ist der Vorreiter bei diesem Ansatz und glaubt, dass dieser es den Kunden ermöglicht, sicher zu skalieren und innovative Innovationen zu entwickeln.

Was sind die Voraussetzungen für eine FedRAMP-Compliance meiner Google Cloud-Lösung?

FedRAMP lässt verschiedene Vererbungsebenen für Cloud-Dienstanbietern zu, die von FedRAMP autorisierte Infrastrukturen, Plattformen und Dienste verwenden. Anhand dieser anfänglichen Analyse der Kontrolle und Vererbung wird letztendlich der Umfang Ihrer Compliance-Verantwortlichkeit als Cloud-Dienstanbieter ermittelt.

Wenn Ihre Organisation beispielsweise den gesamten Stack Ihrer Anwendung selbst erstellen möchte, erhöhen Sie damit auch die Verantwortung/Verpflichtung der Kunden während der Bewertung durch Ihre Autorisierungsstelle. Wenn Sie Platform as a Service (PaaS) oder Software as a Service (SaaS) verwenden, sind die Compliance-Anforderungen vermutlich geringer.

Nachdem Sie Ihre von FedRAMP autorisierten Dienste ausgewählt haben, kann Google Sie mit dienstspezifischen Konfigurationsleitfäden oder direkt durch FedRAMP-Experten unserer Google Cloud Consulting bei der Konfiguration Ihrer Lösung unterstützen.

Wie bietet Google von FedRAMP autorisierte Dienste, obwohl es kein GovCloud-Angebot hat?

Google zählt zu den ersten kommerziellen Hyperscale-Cloud-Anbietern, der bei einem Angebot für die öffentliche Cloud FedRAMP High erzielt hat. Wir sind heute einer der größten Anbieter von FedRAMP-Diensten auf dem Markt. Bisher haben Hyperscale-Anbieter ihre "Regierungs-Clouds" (GovClouds) von ihren kommerziellen Cloud-Angeboten getrennt, um FedRAMP High-Anforderungen zu erfüllen. Dieser Ansatz kann zwar für Compliance sorgen, aber diese separaten Umgebungen bieten oft nicht alle Vorteile der Google Cloud-Infrastruktur.

Dank der FedRAMP High-Autorisierung von Google Cloud können Behörden wichtige Arbeitslasten verarbeiten, Technologien wesentlich schneller und im selben Umfang wie kommerzielle Kunden einführen und die einzigartige öffentliche Cloud-Infrastruktur von Google nutzen, einschließlich ihrer Funktionen und Kapazitäten. Mit Assured Workloads oder Assured Controls können Kunden sensible Arbeitslasten sichern und konfigurieren, um ihre Compliance- und Sicherheitsanforderungen in der Cloud zu erfüllen. Wählen Sie einfach Ihre Sicherheitseinstellungen aus und Google kümmert sich um die notwendigen Cloud-Kontrollen.

Wie konfiguriere ich Google Workspace so, dass es FedRAMP High-konform ist?

Unten finden Sie eine Liste der Google Workspace-Versionen, die gemäß FedRAMP autorisiert sind. Hier finden Sie die Konfigurationsanleitung für die Bereitstellung von Google Workspace, um die Compliance mit FedRAMP-Hochsicherheitseinstellungen zu unterstützen.

Benötige ich Assured Workloads, um ein FedRAMP-ATO zu erreichen?

Ja, Assured Workloads ist erforderlich, um eine FedRAMP Moderate oder eine FedRAMP High ATO zu erreichen. Mit Assured Workloads kann Google Cloud Arbeitslasten von Bund von Kunden identifizieren und technische Vorkehrungen treffen, um Änderungen der Bundesgesetzgebung zu berücksichtigen. Google Cloud verpflichtet sich zur Einhaltung der FedRAMP-Compliance-Anforderungen, einschließlich der in NIST 800-53 Revision 5 eingeführten und zukünftigen Releases für Arbeitslasten, die in Assured Workloads ausgeführt werden.

Darüber hinaus stellt Assured Workloads die einzige Möglichkeit für Google Cloud dar, die erhöhten Anforderungen von FedRAMP High an Support und Datenstandort zu erfüllen. Assured Workloads gilt nicht für Google Workspace, das eigene Steuerelemente hat.

Welche FedRAMP-Steuerelemente kann ich von Google Cloud übernehmen?

Einer der Vorteile der Verwendung von Google Cloud für Arbeitslasten von Behörden besteht darin, dass einige erforderliche Kontrollen bereits in unserer zugrunde liegenden Infrastruktur und in Assured Workloads vorhanden sind. Wenn Sie also Ihr FedRAMP-Paket zur Autorisierung durch das FedRAMP Board einreichen, nehmen Sie auch die SSP von Google mit auf, in der die von Google Cloud verwalteten Kontrollen erläutert werden. Wenden Sie sich an Ihr Vertriebsteam, um eine Kopie des SSP von Google Cloud zu erhalten (Geheimhaltungsvereinbarung erforderlich).

Welcher Zusammenhang besteht mit StateRAMP?

Die StateRAMP-Gruppe (State Risk and Authorization Management Program) ist eine Nonprofit-Organisation, die die StateRAMP-Zertifizierung eingeführt hat. Wie FedRAMP basiert es auf dem NIST 800-53-Framework und ist teilweise nach FedRAMP modelliert. StateRAMP stützt sich außerdem auf von FedRAMP autorisierte 3PAOs, um Bewertungen durchzuführen. Google Cloud ist bereit, StateRAMP Regierungskunden mit erweiterten Datenstandort- und Supportfunktionen über Assured Workloads zu unterstützen.

Wie finde ich eine 3PAO?

Im FedRAMP Marketplace finden Sie eine Liste der qualifizierten Drittanbieter von Drittanbieter-Apps.

Muss ich Penetrationstests durchführen?

Die SSP von Google Cloud deckt Google-eigene Ressourcen für Penetrationstests ab. Kunden können diese Kontrolle durch die Nutzung von Google Cloud übernehmen. Während der 3PAO-Prüfung muss außerdem ein Penetrationstest in der FedRAMP-Umgebung des Kunden durchgeführt werden, die mit Google Cloud erstellt wurde.

Kann Google mich bei der Einhaltung von FedRAMP unterstützen?

Sind Assured Workloads und die Google Cloud Console autorisiert?

Assured Workloads ist ein Google Cloud-Feature, mit dem Kunden bestimmte Projektkonfigurationen aktivieren können, um ihre Complianceanforderungen zu erfüllen. Kunden können Organisationsrichtlinien festlegen, um selbst Complianceanforderungen zu erfüllen, ohne dass Assured Workloads verwendet werden muss. Produkte lassen sich diskret in Assured Workloads einbinden und die Organisationsrichtlinien selbst erzwingen.

Die Google Cloud Console ist eine einfache webbasierte Benutzeroberfläche mit Funktionen, die Kunden bei der Bereitstellung unterstützen. Es ist ein Framework und kein Dienst, das auf der Google Cloud-Infrastruktur basiert und Kunden eine Schnittstelle zur Verwaltung ihrer Google Cloud-Assets bietet. Cloud Console-Kunden interagieren direkt mit den APIs der einzelnen Google Cloud-Dienste und verwenden die APIs der Dienste zum Rendern der UI. Die Cloud Console selbst hat keine API, mit der Kunden interagieren können. Stattdessen interagieren Kunden direkt mit den APIs der einzelnen Google Cloud-Dienste. Die Cloud Console verwendet diese Dienst-APIs zum Rendern der UI.

Wie richte ich meine FedRAMP-Arbeitslast ein, um 3DES als schwachen Verschlüsselungsalgorithmus zu eliminieren?

In Übereinstimmung mit NIST SP 800-131A Rev. 2, „Umstellung der Verwendung von kryptografischen Algorithmen und Schlüssellängen“, möchten immer mehr Kunden die Verwendung von 3DES einstellen. Google Cloud verwendet 3DES nicht, aber um alle unsere Kunden zu unterstützen, ist es weiterhin auf Google-Endpunkten verfügbar. Wenn für Ihre FedRAMP-Lösung die Entfernung von 3DES erforderlich ist, wenden Sie sich an den Support, um Unterstützung beim Entfernen von 3DES aus Ihrer Assured Workloads-Umgebung zu erhalten.

FedRAMP

Quick Links

FedRAMP-Compliance von Google Cloud

FedRAMP-Compliance von Google Workspace

Google Cloud VMware Engine (GCVE) – FedRAMP High Readiness

FedRAMP Moderate und High-Arbeitslasten in Google Cloud hosten

FedRAMP Moderate- und -High Data in Google Workspace hosten

Verfahren zum Erreichen einer FedRAMP Authority to Operate (ATO)

Häufig gestellte Fragen

Was denkt Google Cloud über den Entwurf des FedRAMP-Memorandums des Office of Management and Budget?

Was sind die Voraussetzungen für eine FedRAMP-Compliance meiner Google Cloud-Lösung?

Wie bietet Google von FedRAMP autorisierte Dienste, obwohl es kein GovCloud-Angebot hat?

Wie konfiguriere ich Google Workspace so, dass es FedRAMP High-konform ist?

Benötige ich Assured Workloads, um ein FedRAMP-ATO zu erreichen?

Welche FedRAMP-Steuerelemente kann ich von Google Cloud übernehmen?

Welcher Zusammenhang besteht mit StateRAMP?

Wie finde ich eine 3PAO?

Muss ich Penetrationstests durchführen?

Kann Google mich bei der Einhaltung von FedRAMP unterstützen?

Sind Assured Workloads und die Google Cloud Console autorisiert?

Wie richte ich meine FedRAMP-Arbeitslast ein, um 3DES als schwachen Verschlüsselungsalgorithmus zu eliminieren?

Betroffene Dienste

Google Cloud-Dienste, die den Vorgaben von FedRAMP High entsprechen

Google Cloud-Dienste in JAB-Überprüfung auf FedRAMP High

Google Cloud-Dienste, die den Vorgaben von FedRAMP Moderate entsprechen

Google Cloud-Dienste in JAB-Überprüfung auf FedRAMP Moderate

Google Workspace Editions (FedRAMP High)

Google Workspace Editions (FedRAMP Moderate)

Google Workspace-Dienste (FedRAMP High)

Google Workspace-Dienste in JAB-Überprüfung auf FedRAMP High

Google Workspace Services (FedRAMP Moderate)

Google Workspace-Dienste in JAB-Überprüfung auf FedRAMP Moderate

Für FedRAMP autorisierte Google Cloud-Regionen

Weitere Angebote

Gleich loslegen

Best Practices für Sicherheit

Häufige Probleme beheben

Unterstützung durch Partner