Criminal Justice Information Services (CJIS)

La División de Servicios de Justicia Criminal (CJIS) de la Oficina Federal de Investigación (FBI) de Estados Unidos proporciona a las agencias federales, estatales y locales directrices sobre cómo proteger la información sobre justicia penal (CJI) cuando utilizan proveedores de servicios en la nube (CSP) como Google Cloud.

Google Cloud ofrece controles de seguridad para proteger y almacenar CJI mediante Assured Workloads de Google Cloud y Assured Controls para Google Workspace. Los organismos públicos encargados de velar por el cumplimiento de las leyes pueden cumplir con la política de seguridad del CJIS al implementar estos controles para los servicios de Google Cloud cubiertos por la ley.

Cumplimiento del CJIS de Google

La Oficina del Programa CJIS del FBI ha publicado numerosos artefactos que proporcionan directrices sobre cómo proteger el CJI. El documento principal, la Política de Seguridad del CJIS del FBI, detalla una serie mínima de requisitos de seguridad que se deben cumplir para proteger y salvaguardar el CJI. El FBI también proporciona un mapa de los requisitos del CJIS a los controles de seguridad descritos en la revisión 4 de la NIST SP 800-53.

Los clientes de Google Cloud Platform y Google Workspace pueden usar Assured Workloads y Assured Controls para cumplir la política de seguridad de CJIS. Ponte en contacto con el equipo de Ventas de Google Cloud a través de nuestro formulario de contacto para obtener más información sobre el cumplimiento de CJIS de Google.

Alojar cargas de trabajo del CJIS en Google Cloud

La inversión de Google Cloud en la seguridad de nuestra infraestructura asegura que los controles de seguridad estén integrados y preconfigurados para que los clientes puedan ceñirse a distintos niveles de cumplimiento sin tener que contar con una arquitectura de nube gubernamental aislada tradicional.

Los clientes que deseen implementar soluciones CJIS con Google Cloud pueden utilizar Assured Workloads para cumplir con la Política de seguridad de CJIS. Con Assured Workloads, los clientes pueden proteger y configurar cargas de trabajo sensibles con total confianza para satisfacer los requisitos de cumplimiento y de seguridad mediante los servicios de Google Cloud. No depende de una infraestructura física distinta de sus centros de datos en la nube pública, sino que ofrece una nube comunitaria definida por software con ventajas en costes, velocidad e innovación.

Assured Workloads también ofrece visibilidad sobre el estado de cumplimiento de las cargas de trabajo de CJIS a través de Assured Workloads Monitoring. Esta herramienta puede ayudarte a detectar y solucionar las infracciones de cumplimiento, y a proporcionar atestaciones de control a los auditores del estado de cumplimiento.

Además de los controles que cumple la infraestructura de Google Cloud, las agencias de policía y de justicia penal estatales, locales y federales (y sus contratistas) pueden usar Assured Workloads para lo siguiente:

Establecer restricciones para restringir que las cargas de trabajo de CJIS se almacenen en EE. UU.,
Implementar controles de seguridad y acceso al personal para restringir el acceso al CJI a las personas estadounidenses ubicadas en EE. UU. que hayan completado las comprobaciones de antecedentes penales y de antecedentes del FBI basadas en la huella digital,
Aplicar el encriptado FIPS‐140‐2 tanto en reposo como en tránsito,
Usar claves de encriptado gestionadas por el cliente (CMEK)
Implementa controles lógicos que segmenten las redes y los usuarios a partir de los datos sensibles cubiertos, entre otras cosas.

Alojar cargas de trabajo del CJIS en Workspace

Assured Controls for Google Workspace permite a las organizaciones cumplir los requisitos organizativos y de cumplimiento, ya sea limitar el acceso del personal de Google a los datos o decidir dónde se almacenan en reposo.

Los clientes que quieran desplegar soluciones de CJIS con Google Workspace pueden usar Assured Controls para definir políticas que se ajusten a la política de seguridad de CJIS. Puedes consultar una guía de configuración de las soluciones de CJIS en Google Workspace aquí.

Además de los controles que cumple la infraestructura de Google Workspace, las agencias de policía y de justicia penal estatales, locales y federales (y sus contratistas) pueden usar Assured Controls para lo siguiente:

Establecer restricciones para restringir que las cargas de trabajo de CJIS se almacenen en EE. UU.,
Implementar controles de seguridad y acceso al personal para restringir el acceso al CJI a las personas estadounidenses ubicadas en EE. UU. que hayan completado las comprobaciones de antecedentes penales y de antecedentes del FBI basadas en la huella digital,
Aplicar el encriptado FIPS‐140‐2 tanto en reposo como en tránsito, y más.

Preguntas frecuentes

¿Cómo puedo iniciar el proceso del apéndice de seguridad de CJIS en mi estado?

Las entidades que gestionen CJI (como Google Cloud) deben ejecutar un apéndice de seguridad de CJIS con los estados que quieran usar los servicios de la entidad para proteger el CJI. La apéndice es un acuerdo basado en una plantilla aprobado por el fiscal general de EE. UU. que proporciona a los clientes información detallada sobre cómo cumple Google Cloud la política de seguridad del CJIS, las responsabilidades de cada una de las partes, qué servicios en la nube están cubiertos y muchas otras disposiciones importantes.

Ponte en contacto con el equipo de Ventas de Google Cloud Platform de tu estado a través de nuestro formulario de contacto para iniciar el proceso y obtener acceso a un apéndice de seguridad de CJIS de Google Cloud.

¿Cómo demuestra Google que sus servicios en la nube permiten el cumplimiento de los requisitos de mi estado?

Google firma un apéndice de seguridad de CJIS con una agencia estatal de sistemas CJIS (CSA) o un agente de seguridad del CJIS. puedes solicitar una copia de Google o de la CSA o la CSO de tu estado.

Además, Google proporciona a los clientes del CJIS narrativas de control exhaustivas que describen cómo Google Cloud permite a los clientes cumplir los controles técnicos del FBI necesarios para el cumplimiento del CJIS.

Ponte en contacto con cjis@google.com para obtener una copia de los mapas del CJIS de Google.

¿Cómo se asegura Google de que solo el personal autorizado pueda prestar asistencia al CJI?

En los estados en los que los empleados de Google pueden tener acceso sin escorrer al CJI sin cifrar, Google colabora con las autoridades estatales para asegurar que el personal que pueda tener acceso al CJI sin cifrar de un estado se somete a comprobaciones de antecedentes del CJIS en ese estado (además del informe de antecedentes penales nacional del FBI). El personal cualificado de Google enviará a cada autoridad las tarjetas de huella digital FD-258, junto con toda la documentación requerida.

Con este proceso se asegura que se concederá acceso sin autorización al personal autorizado únicamente después de completar la comprobación de antecedentes y la formación de concienciación sobre seguridad del CJIS.

¿Se requiere la informática confidencial para CJIS?

No. Dado que Google proporciona claves de encriptado gestionadas por el cliente y controles de acceso a los datos del personal que restringen el acceso al CJI, no se requiere la computación confidencial para CJIS en Google Cloud.

Sin embargo, los clientes pueden seguir utilizando la informática confidencial como control de seguridad complementario además del entorno seguro y restringido que ofrece Google a los clientes de CJIS.

¿Puede Google Cloud Platform almacenar datos en Estados Unidos?

Sí. Los clientes pueden configurar recursos de servicios clave de Google en ubicaciones de EE. UU. Almacenamos los datos en reposo de nuestros clientes en la región seleccionada, de acuerdo con nuestros Términos del Servicio específicos.

¿Utiliza Google el cifrado validado por el estándar FIPS 140‐2?

Google Cloud utiliza un estándar FIPS 140‐2consulta la página de cumplimiento del estándar FIPS 140‐2 ).BoringCrypto (certificado 3678) en nuestro entorno de producción. Esto significa que los datos en tránsito (al cliente y entre los centros de datos) y los datos en reposo se encriptan de forma predeterminada con el encriptado validado por el estándar FIPS 140‐2.

Este módulo con validación FIPS 140‑2 forma parte de nuestra biblioteca BoringSSL. De este modo, los clientes pueden cumplir el estándar FIPS y elegir entre una amplia gama de gestión de claves de Cloud, como claves gestionadas de Google, claves de encriptado gestionadas por el cliente, y gestión de claves externas. Dado que Google Cloud utiliza este nivel de encriptado de forma predeterminada para los datos en reposo y en tránsito, los clientes pueden heredar el encriptado FIPS 140‐2 y eliminar el requisito de ejecutar productos y servicios en modo FIPS para obtener más información.

¿Por qué Google no necesita una nube gubernamental?

En Google, hemos invertido en un enfoque de seguridad por capas de nuestra infraestructura en la nube pública que proporciona funciones como el encriptado y controles sólidos de acceso a los datos del personal. De este modo, la estrategia de seguridad que se necesita para cumplir los estrictos requisitos de la política de seguridad del CJIS es rigurosa y, al mismo tiempo, permite que los clientes aprovechen las innovaciones en productos de la nube pública.

La implementación por parte de Google de los controles mencionados (y muchos otros) cumple los requisitos de nivel moderado y alto del programa FedRAMP, y ha sido reconocida por la junta de autorización conjunta (JAB).