米国国防情報システム局暫定認証

DISA は DoD の機関の 1 つであり、DoD クラウド コンピューティング セキュリティ要件ガイド（SRG）の策定と管理を担当しています。クラウド コンピューティング SRG は、DoD がクラウド サービス（CSO）のセキュリティ ポスチャーを評価するために使用するベースライン セキュリティ要件を定義し、DoD PA を付与する決定をサポートすることで、クラウド サービス プロバイダ（CSP）が DoD のミッションをホストできるようするものです。SRG は、以前に公開された DoD クラウド セキュリティ モデル（CSM）を組み込み、置き換え、取り消して、DoD リスク管理フレームワーク（RMF）にマッピングします。

DISA は、DoDの機関や部門による CSO の使用の計画と承認を支援します。CSO が SRG に準拠しているかどうかの評価も行います。これは、CSP が DoD 標準に準拠していることを示すドキュメントを提供できるようにする承認プロセスです。DISA は DoD PA を適宜発行することにより、DoD の機関と下位組織が、独自の完全な承認プロセスを経ることなくクラウド サービスを使用し、時間と労力を節約できるようにしています。

2022 年、Google Cloud は IL5 暫定認証を付与され、ソフトウェア定義コミュニティ クラウド向け DISA 承認を取得した初のハイパースケーラーの 1 つとなりました。ソフトウェア定義の分離アプローチは、リージョンのデプロイ、拡張性、費用の点で、従来の行政機関のクラウドよりも柔軟性が高いことを意味します。

ILx パッケージのリクエスト DoD ILx パッケージは、FedRAMP High パッケージをベースとし、DoD 固有のコントロールが追加されています。ILx パッケージを共有する権限は Google になく、DISA から第三者に提供する必要があります。FedRAMP P-ATO パッケージの対象範囲を超える DoD PA パッケージの詳細を必要としている政府機関は、クラウド評価部門（DISA Ft Meade RE Mailbox Cloud Team）にメール（[email protected]）で問い合わせることができます。

IL2 データには、管理対象外の非機密情報、つまり、一般公開が許可されたすべてのデータに加え、管理対象の非機密情報（CUI）には指定されていない機密性の低い重要情報が含まれます。この影響レベルは、CNSSI 1253 の国家安全保障システムのセキュリティ分類とセキュリティ コントロールに基づく、機密性が低で完全性が中程度（L-M-x）までの非 CUI 分類に対応します。

商用クラウド コンピューティング サービスの取得と使用に関する最新ガイダンスについての 2014 年 12 月 15 日付けの DoD CIO 覚書には、「FedRAMP をすべての DoD クラウド サービスの最低限のセキュリティ ベースラインとして使用する」旨の記載があります。SRG は、すべての情報 IL として FedRAMP Moderate ベースラインを使用し、一部の情報 IL では High ベースラインの使用を検討します。

クラウド・コンピューティング SRG のセクション 5.1.1、FedRAMP セキュリティ・コントロールのDoD 使用には、FedRAMP Moderate または High の暫定認可を最低限保持している CSO で IL2 情報をホストすることができると規定されています。DoD IL2 PA については、FedRAMP Moderate または High ベースラインのコントロールのみが評価されます。IL2 PA については、DoD は FedRAMP 共同認可委員会（JAB）が発行する FedRAMP Moderate または High の暫定運用認証（P-ATO）との完全な互恵関係を認めています。Google Cloud の FedRAMP コンプライアンスについて詳しくは、FedRAMP のページをご覧ください。

IL4 と IL5 のワークロードは、Assured Workloads を介してデプロイできます。これにより、高度なデータ所在地とサポート要件を満たすセキュリティ管理が可能になります。Assured Workloads は、大規模な組織がコンプライアンスを維持できるようにデベロッパー向けガードレールも適用します。

IL4 または IL5 の承認済みサービスを選択すると、Google の Professional Services Organization に直接問い合わせる際に、サービス固有の構成ガイドに沿ってソリューションの構成を支援できます。また、Terraform コードを含む IL4 Springboard デプロイガイドも提供しています。

Google Cloud を使用して IL4 および IL5 環境にソリューションをデプロイすることを検討しているお客様は、Assured Workloads を使用する必要があります。Assured Workloads により、Google Cloudサービスを使用して、コンプライアンスとセキュリティの要件をサポートするために、機密性の高いワークロードを確実に保護し、構成することができます。Assured Workloads は、パブリック クラウド データセンターと異なる物理インフラストラクチャには依存しません。代わりに、コスト、スピード、イノベーションの面でメリットのあるソフトウェア定義コミュニティ クラウドを提供します。

Assured Workloads を通じて利用可能になる IL4 および IL5 認可サービスでは、IL4 および IL5 セキュリティ コントロールを実装して、顧客が組織のニーズに合わせて Google Cloud の機能を使用できます。Assured Workloads では、Assured Workloads モニタリングを使用して IL4 および IL5 ワークロードのコンプライアンス状態を可視化することもできます。このツールにより、コンプライアンス違反を特定して修正し、コンプライアンス状態の管理証明書を監査人に提供することができます。

Assured Workloads は、Google Cloud インフラストラクチャの IL5 暫定認証を活用したコントロールに加えて、IL4 および IL5 の政府データを扱うお客様向けに、次の主要な IL4 および IL5 コントロールもデフォルトで実装しています。

1. IL4 および IL5 の顧客データ所在地を米国に制限するガードレールを設定
2. テクニカル サポート スタッフを米国内の IL4 および IL5 認定担当者に制限
3. 保存中と転送中のデータに FIPS-140-2 準拠の暗号化の使用を必須化
4. 顧客データに日常的にアクセスする担当者を対象に、IL4 および IL5 に必要な人員アクセス制御を実装
5. デベロッパーが IL4 および IL5 準拠のプロダクトやサービスのみを使用するように制限
6. IL4 および IL5 要件をサポートする、対象範囲内のコンプライアンス境界を論理的に分類

Google Workspace Enterprise Plus エディションは、米国国防総省（DOD）の影響レベル 4 の認証を取得しています。仕事効率化とコラボレーションのソリューションとして Google Workspace をデプロイすることを検討しているお客様は、組織がクラウド サービス プロバイダのアクセスをきめ細かく制御できるようにするアドオン機能である Assured Controls を使用する必要があります。

Assured Controls が有効になった Google Workspace Enterprise Plus には、DoD のお客様が IL4 準拠を達成し、独自の運用認証（ATO）を発行できるようにする組み込みのセキュリティ コントロールと機能セットが含まれています。IL4 コンプライアンスをサポートする Google Workspace の主な機能は次のとおりです。

• データ リージョンのみを使用して、データを米国リージョンに制限する機能
• Assured Controls アクセス管理を使用して、Google スタッフによるサポート対応を米国の Google サポートチーム メンバーに制限する機能
• センシティブ データの暗号化ニーズを満たす、保存データおよび転送中データの高度な暗号化。詳しくは、Google Workspace の暗号化に関する論文をご覧ください。
• Google Workspace セキュリティ センター。セキュリティに関する詳細情報や、ドメインに影響を与えるセキュリティ上の問題の分析情報を提供します。

国防総省のお客様は、eMASS または DISA リエゾンを通じて Google Workspace IL4 ドキュメントをリクエストできます。Google Workspace がこのドキュメントをお客様に直接提供することはできません。

• Assured Workloads の概要
• IL4 Assured Workloads 環境のデプロイに関するガイダンスと Terraform
• NIST Cybersecurity Framework と Google Cloud
• Google Cloud デプロイガイド
• Google Cloud セキュリティ モデル
• DoD 指示 8510.01DoD 情報技術（IT）向け DoD リスク管理フレームワーク（RMF）
• 管理対象の非機密情報（CUI）のレジストリと CUI のカテゴリリスト
• NIST SP 800-37 情報システムと組織のリスク管理フレームワーク: セキュリティとプライバシーのためのシステム ライフサイクル アプローチ
• NIST SP 800-53情報システムと組織のセキュリティとプライバシーの管理
• NIST SP 800-59国家安全保障システムとしての情報システムの特定に関するガイドライン
• NIST SP 800-171連邦政府以外のシステムおよび組織における管理対象の非機密情報の保護
• CNSSI 1253国家安全保障システムのセキュリティ分類とセキュリティ コントロール