FedRAMP

美国联邦政府制定了联邦风险和授权管理计划 (FedRAMP)，这是一项全政府范围的计划，它为云端产品及服务的安全评估、授权和持续监控提供了一种标准化方法。美国国会于 2022 年通过法案将 FedRAMP 描述为“一项政府级计划，针对处理各机构所用的未分类信息的云计算产品和服务提供标准化且可重复使用的安全评估和授权方法。”

所有联邦机构云部署和服务模型（某些本地私有云除外）都必须符合 FedRAMP 在适当风险影响级别（低、中或高）的要求。

如果客户想要使用满足 FedRAMP 中或高影响级别要求的 Google Cloud 服务，则托管必须使用 Assured Workloads 和安心支持服务（仅限高影响级别）。

Google Cloud 的 FedRAMP 合规性

FedRAMP 委员会（以前称为“联合授权委员会”）是 FedRAMP 的主要管理机构，包括美国国防部 (DoD)、国土安全部 (DHS) 和总服务管理部 (GSA)，以及由 GSA 管理员和 FedRAMP 总监确定的其他机构。

FedRAMP 委员会已向 Google Cloud 基础设施和特定的 Google Cloud 服务产品 (CSO) 颁发了 FedRAMP 中风险级别和 FedRAMP 高风险级别运营授权 (ATO)。Google Cloud 会定期向委员会提交需要获得 FedRAMP 中风险级别和高风险级别审批的其他服务。

根据保密协议 (NDA) 的规定，Google Cloud 可以为客户提供以下额外的 FedRAMP 合规性文档：

FedRAMP 客户责任表 (CRM)
Google Cloud 系统安全计划 (SSP)
渗透测试报告和其他文档

我们的销售团队或您的 Google Cloud 代表可以为您提供此文档的访问权限。政府客户还可以使用其文件包申请表单，通过 FedRAMP 计划管理办公室索取 Google 的 FedRAMP 文件包。

对于通过 Google 合作伙伴进行购买的客户，购买条款及条件由我们的合作伙伴提供。

Google Workspace 的 FedRAMP 合规性

使用 Google Workspace 时，客户能够满足各种美国联邦政府要求和全球云安全和隐私权标准。除了持有 FedRAMP 高风险级别授权外，Google Workspace 还通过了 ISO 27017、27018、27001 认证，并根据美国注册会计师协会 (AICPA) 服务组织控制 (SOC) 标准接受审计。

Google Cloud VMware Engine (GCVE) FedRAMP 高风险级别就绪性

2023 年，FedRAMP 项目管理办公室 (PMO) 完成了由第三方评估组织 (3PAO) 提供的对 Google Cloud VMware Engine (GCVE) 高风险级别就绪性评估报告 (RAR) 的审核。审核结果是正面的，且未发现明显的功能缺陷，因此 GCVE 被认可为 FedRAMP 高风险级别就绪产品（FedRAMP 文件包 ID FR2405153785）。

通过 FedRAMP 高风险级别就绪审核即向美国联邦政府表明 GCVE 很有可能获得 FedRAMP 授权。GCVE 还通过了 ISO 27017、27018、27001、PCI-DSS 认证，并根据美国注册会计师协会 (AICPA) 服务组织控制 (SOC) 标准接受审计。

在 Google Cloud 上托管 FedRAMP 中风险级别和高风险级别工作负载

Google Cloud 对于默认保障安全的基础设施的投资可确保内置和预配置安全控制措施，使客户能够实现各种合规级别，而无需传统的隔离式政府云架构。

如果客户希望在自己的 FedRAMP 中风险级别和高风险级别环境中使用 Google Cloud 部署其解决方案，则必须使用 Assured Workloads。借助 Assured Workloads，客户可以使用 Google Cloud 服务放心地保护和配置敏感工作负载，以满足合规性和安全要求。Assured Workloads 不依赖独立于其公有云数据中心的物理基础设施，而是提供一个软件定义的社区云，在费用、速度和创新方面具有优势。

通过 Assured Workloads 提供的 FedRAMP 授权服务实施 FedRAMP 安全控制措施，并允许客户利用 Google Cloud 的功能满足其组织需求。借助 Assured Workloads，您还可以通过 Assured Workloads Monitoring 了解 FedRAMP 工作负载的合规状态。此工具可帮助您发现并解决违规问题，并向合规性状态审核人员提供控制证明。

除了 Google Cloud 基础设施 FedRAMP 高风险级别 ATO 满足的控制措施之外，Assured Workloads 还会默认为处理 FedRAMP 高风险级别政府数据的客户实施以下关键的 FedRAMP 高风险级别控制措施：

设定安全措施，将 FedRAMP 高风险级别客户数据位置限制为美国
仅限由美国境内经 FedRAMP 认定的人员担任技术支持人员
对静态数据和传输中的数据进行符合 FIPS-140-2 要求的加密。
对需要定期访问客户数据的人员实施人员访问权限控制机制。
仅允许符合 FedRAMP 要求的产品和服务
对范围内合规性边界的进行逻辑细分，以支持 FedRAMP 中风险级别和高风险级别要求

在 Google Workspace 上托管 FedRAMP 中风险级别数据和高风险级别数据

Google Workspace 拥有 FedRAMP 高风险级别 ATO，客户可以利用该 ATO 托管 FedRAMP 中风险级别和高风险级别数据。如果客户想要在自己的 FedRAMP 中风险级别和高风险级别环境中部署 Google Workspace，应启用符合相应授权要求的 FedRAMP 授权的服务。了解如何为 Google Workspace 用户启用或停用服务。

此外，Google Workspace 商务版和企业版还具有内置的安全控件和功能集，使客户能够满足 FedRAMP 高风险级别要求并调整自己的 ATO。Google Workspace 用户可以使用数据区域政策来配置自己的环境，以满足 FedRAMP 数据驻留控制措施的要求。

获得 FedRAMP 运营授权 (ATO) 的流程

有意在 Google Cloud 上托管政府数据的客户可能也希望申请自己的运营授权 (ATO)。组织在为 Google Cloud 上的服务申请 ATO 时，应考虑以下里程碑：

确定范围内的数据是需要满足 FedRAMP 中影响级别还是 FedRAMP 高影响级别要求
为范围内的 Google Cloud 服务选择 Assured Workloads（免费层级包含 FedRAMP 中等影响级别，FedRAMP 高影响级别需要高级订阅）
确定您在 Google Cloud 中的 FedRAMP 边界
根据共担责任模型、客户责任矩阵、范围内的 Google Cloud 服务和 FedRAMP 准则配置工作负载
接受第三方评估组织 (3PAO) 的审计
将您的文件包提交给 FedRAMP 委员会或联邦机构进行审核和授权

如需详细了解 ATO 流程，请参考 FedRAMP 网站。如需从 Google Cloud 获得其他 FedRAMP ATO 支持，请访问我们的 Google Cloud 咨询页面。

常见问题解答

Google Cloud 对美国管理与预算办公室的 FedRAMP 草稿备忘录有何看法？

美国管理与预算办公室最新的 FedRAMP 草稿备忘录（其中认可了基于逻辑的现代化云方法以及使用基于软件的隔离来代替物理隔离）是朝着正确方向迈出的坚实一步。Google Cloud 率先采用这种方法，坚信它可以帮助客户安全地进行扩缩和创新。

如何确保使用 Google Cloud 的解决方案满足 FedRAMP 合规要求？

FedRAMP 允许云服务提供商 (CSP) 通过不同级别的继承使用 FedRAMP 授权的基础设施、平台和服务。对控制措施和继承权限的初步分析将最终确定您作为 CSP 需承担的合规责任。

例如，如果您的组织更倾向于构建应用的整个堆栈，那么在授权官员进行评估时，您将需要承担更多的客户责任/义务。如果您使用平台即服务或软件即服务，则需要承担的合规责任可能会减轻。

在您选择 FedRAMP 授权的服务后，Google 可以通过服务特定配置指南或直接与我们的 Google Cloud 咨询组织中的 FedRAMP 专家联系，帮助您配置解决方案。

Google 如何在未推出 GovCloud 服务的情况下提供 FedRAMP 授权服务？

Google 是率先为商业公有云产品获得 FedRAMP 高风险级别认证的超大规模商业云提供商之一，并且是当今市场上最大的 FedRAMP 服务提供商之一。在过去，超大规模提供商将其“govcloud”与商业云产品分开以满足 FedRAMP 高风险级别的要求。这种方法可以实现合规性，但这些分隔开的环境往往无法具备 Google Cloud 基础设施可以提供的所有优势。

Google Cloud 的 FedRAMP 高风险级别授权使处理高影响等级工作负载的政府机构能够以更高的速度和与商业客户相同的规模来采用技术，以及利用 Google 独有的公有云基础设施，包括其功能和容量。借助 Assured Workloads 或 Assured Controls，客户可以放心地保护和配置敏感的工作负载，以便在云端满足其合规性和安全性要求。您只需选择安全设置，Google 即会将必要的云控制措施落实到位。

如何配置 Google Workspace 以符合 FedRAMP 高风险级别要求？

下面列出了获得 FedRAMP 授权的 Google Workspace 版本。此处提供了配置指南，介绍如何部署 Google Workspace 以符合 FedRAMP 高风险级别安全控制措施的要求。

我是否需要 Assured Workloads 才能获得 FedRAMP ATO？

是的，需要 Assured Workloads 才能实现 FedRAMP 中风险级别或 FedRAMP 高风险级别 ATO。借助 Assured Workloads，Google Cloud 能够识别客户的联邦工作负载，并采取技术安全措施来应对联邦法规的变化。Google Cloud 致力于持续满足 FedRAMP 合规性要求，包括 NIST 800-53 修订版 5 中引入的要求，以及针对在 Assured Workloads 中运行的工作负载的任何未来版本。

此外，Assured Workloads 是 Google Cloud 满足 FedRAMP 高风险级别的强化支持和数据驻留要求的唯一途径。Assured Workloads 不适用于 Google Workspace，后者有自己的控制措施。

我可以从 Google Cloud 获得哪些 FedRAMP 控制措施？

使用 Google Cloud 处理政府工作负载的好处之一是，我们的底层基础设施和 Assured Workloads 中已经自带一些必需的控制措施。因此，当您将 FedRAMP 文件包提交给 FedRAMP 委员会以申请授权时，您还需要添加 Google 的 SSP，其中概述了由 Google Cloud 管理的控制措施。如需获取 Google Cloud SSP（需要签署保密协议），请与您的销售团队联系。

它与 StateRAMP 有什么关系？

StateRAMP（州风险和授权管理计划）团体是建立 StateRAMP 认证的公益成员组织。与 FedRAMP 一样，它基于 NIST 800-53 框架构建，并部分借鉴了 FedRAMP。StateRAMP 还依靠 FedRAMP 授权的 3PAO 来进行评估。Google Cloud 已准备就绪，可通过 Assured Workloads 以增强的数据驻留和支持功能为 StateRAMP 政府客户提供支持。

如何寻找 3PAO？

FedRAMP Marketplace 中维护着一份有资质的 3PAO 列表。

我是否需要执行渗透测试？

Google Cloud 的 SSP 涵盖 Google 自有资源以进行渗透测试，并且客户使用 Google Cloud 可以继承此控制措施。在 3PAO 评估期间，还需要对客户自己使用 Google Cloud 构建的 FedRAMP 环境进行渗透测试。

Google 可以帮助完成 FedRAMP 合规流程吗？

在您选择 FedRAMP 授权的服务后，Google 可以通过服务特定配置指南或直接与我们的 Google Cloud 咨询组织中的 FedRAMP 专家联系，帮助您配置解决方案。

Assured Workloads 和 Google Cloud 控制台是否已获得授权？

Assured Workloads 是 Google Cloud 的一项功能，客户可以使用该功能启用特定项目配置，以符合其合规性制度。客户也可以自行设置组织政策以满足合规性要求，而无需使用 Assured Workloads。产品与 Assured Workloads 进行独立集成，并自行强制执行组织政策。

Google Cloud 控制台是一个简单的网页界面，其中包含可帮助客户进行部署的功能。它是一个基于 Google Cloud 基础设施构建的框架（而非服务），为客户提供管理其 Google Cloud 资产的界面。Cloud 控制台客户直接与各个 Google Cloud 服务的 API 进行交互，并使用服务的 API 来呈现界面。Cloud 控制台本身不提供可供客户交互的 API。相反，客户直接与各个 Google Cloud 服务的 API 进行交互；Cloud 控制台使用这些服务 API 来呈现界面。

如何设置 FedRAMP 工作负载以消除弱加密算法 3DES？

根据 NIST SP 800-131A 修订版 2“转换加密算法和密钥长度的使用”，客户希望弃用 3DES。Google Cloud 不使用 3DES，但为了支持我们的所有客户，它在 Google 端点上仍然可用。如果您的 FedRAMP 解决方案要求移除 3DES，请与支持团队联系，让他们帮助您从 Assured Workloads 环境中移除 3DES。

FedRAMP

快速链接

Google Cloud 的 FedRAMP 合规性

Google Workspace 的 FedRAMP 合规性

Google Cloud VMware Engine (GCVE) FedRAMP 高风险级别就绪性

在 Google Cloud 上托管 FedRAMP 中风险级别和高风险级别工作负载

在 Google Workspace 上托管 FedRAMP 中风险级别数据和高风险级别数据

获得 FedRAMP 运营授权 (ATO) 的流程

常见问题解答

Google Cloud 对美国管理与预算办公室的 FedRAMP 草稿备忘录有何看法？

如何确保使用 Google Cloud 的解决方案满足 FedRAMP 合规要求？

Google 如何在未推出 GovCloud 服务的情况下提供 FedRAMP 授权服务？

如何配置 Google Workspace 以符合 FedRAMP 高风险级别要求？

我是否需要 Assured Workloads 才能获得 FedRAMP ATO？

我可以从 Google Cloud 获得哪些 FedRAMP 控制措施？

它与 StateRAMP 有什么关系？

如何寻找 3PAO？

我是否需要执行渗透测试？

Google 可以帮助完成 FedRAMP 合规流程吗？

Assured Workloads 和 Google Cloud 控制台是否已获得授权？

如何设置 FedRAMP 工作负载以消除弱加密算法 3DES？

范围内的服务

符合 FedRAMP 高风险级别要求的 Google Cloud 服务

正在接受 JAB FedRAMP 高风险级别审核的 Google Cloud 服务

符合 FedRAMP 中风险等级要求的 Google Cloud 服务

正在接受 JAB FedRAMP 中等风险级别审核的 Google Cloud 服务

Google Workspace 版本 (FedRAMP High)

Google Workspace 版本（FedRAMP 中等风险级别）

Google Workspace 服务（FedRAMP 高风险级别）

正在接受 JAB FedRAMP 高风险级别审核的 Google Workspace 服务

Google Workspace 服务（FedRAMP 中风险级别）

正在接受 JAB FedRAMP 中等风险级别审核的 Google Workspace 服务

已获得 FedRAMP 授权的 Google Cloud 区域

相关法规和标准

更进一步

了解安全措施最佳实践

解决常见问题

与合作伙伴携手