Schutz sensibler Daten: Die Vorteile der CJIS-Konformität in der Strafverfolgung

Im Jahr 1992 gründete das FBI die Criminal Justice Information Services (CJIS), die mittlerweile zur größten Abteilung der Behörde geworden ist. Sie besteht aus zahlreichen Abteilungen, einschließlich des National Crime Information Center (NCIC), des Integrated Automated Fingerprint Identification System (IAFIS) und des National Instant Criminal Background Check System (NICS). Mithilfe von Analysen und Statistiken, die von der Strafverfolgung bereitgestellt werden, überwacht CJIS kriminelle Aktivitäten in lokalen und internationalen Gemeinschaften. Darüber hinaus dienen ihre Datenbanken als zentralisierte Quelle für kriminalpolizeiliche Informationen (CJI) für Behörden im ganzen Land.

Seit 1992 haben weltweit bedeutende Veränderungen stattgefunden, insbesondere im Bereich der Technologie. Die weit verbreitete Nutzung des Internets und des Cloud-Computing, kombiniert mit der steigenden Rate und Komplexität von Cybersecurity-Bedrohungen, hat den Prozess der Sicherung von CJIS-vertraulichen Daten erheblich kompliziert.

Folglich hat CJIS einen umfassenden Satz von Sicherheitsstandards für Organisationen, Cloud-Anbieter, lokale Behörden und Unternehmensnetzwerke etabliert, um sicherzustellen, dass diese Informationen sicher aufbewahrt werden. Das FBI hat die Criminal Justice Information Services (CJIS) Sicherheitsrichtlinie erstellt, die eine Reihe von Sicherheitsanforderungen enthält, die alle Organisationen, die mit diesen Informationen umgehen, befolgen müssen. Dies verlangt, dass Organisationen eine detaillierte Cybersecurity-Risikomanagement-Strategie haben. Dieser Artikel beleuchtet näher die CJIS-Konformität, einschließlich ihrer Anforderungen und Vorteile.

Was ist CJIS-Konformität?

CJIS-Konformität bezieht sich auf den Satz von Sicherheitsstandards, an die sich alle Organisationen halten müssen, die mit kriminalpolizeilichen Informationen umgehen. Diese Standards sollen die Vertraulichkeit, Integrität und Verfügbarkeit dieser vertraulichen Informationen gewährleisten. CJIS ist für Strafverfolgungsbehörden das, was das National Institute of Standards & Technology (NIST) für Bundesbehörden ist.

Es deckt eine Reihe von Bereichen ab, einschließlich Zugangskontrolle, Prüfung und Rechenschaftspflicht, sowie Vorfallsreaktion. Durch die Durchsetzung dieser strengen Sicherheitsmaßnahmen kann CJIS den Schutz sensibler Daten, wie Kriminalakten und anderer CJI, vor Cyberangriffen sicherstellen. Dies ist entscheidend, da die CJIS-Datenbanken wichtige Werkzeuge für die Strafverfolgungsbehörden sind, um Verbrechen zu bekämpfen und die Sicherheit der Gemeinschaften zu gewährleisten.

Um die CJIS-Konformität zu erfüllen, müssen Organisationen zunächst eine von der CJIS-Division unterzeichnete und genehmigte CJIS-Sicherheitsrichtlinie erhalten. Diese Richtlinie besagt, dass der Zugang zu kriminalpolizeilichen Informationen nur autorisierten Personen erlaubt sein muss und durch ein sicheres System geschützt werden muss.

Wer MUSS die CJIS einhalten?

Nach Angaben des FBI besteht das Hauptziel der CJIS-Sicherheitsrichtlinie darin, notwendige Kontrollen zu etablieren, die die Sicherheit von CJI während ihres gesamten Lebenszyklus gewährleisten, ob sie sich im Ruhezustand oder im Transit befindet. Die Richtlinie bietet umfassende Leitlinien für die Erstellung, Ansicht, Änderung, Übertragung, Verbreitung, Speicherung und Vernichtung von CJI. Sie gilt für alle Personen, unabhängig von ihrer Verbindung zu kriminalpolizeilichen Diensten und Informationen. Dies schließt Auftragnehmer, private Einrichtungen, Vertreter von Nicht-Justizbehörden und Mitglieder von kriminalpolizeilichen Einrichtungen ein, die Zugang zu solchen Diensten und Informationen haben oder diese unterstützen. Indem sie sich an die CJIS-Sicherheitsrichtlinie halten, können diese Personen eine bedeutende Rolle bei der Aufrechterhaltung der Vertraulichkeit, Integrität und Verfügbarkeit von CJI spielen.

Warum ist die CJIS-Konformität wichtig?

Die CJIS-Sicherheitsrichtlinie beinhaltet Anweisungen aus verschiedenen Quellen, einschließlich präsidialer Anweisungen wie Executive Order 14028, Bundesgesetzen, FBI-Anweisungen und den APB-Entscheidungen der Strafjustizgemeinschaft. Darüber hinaus beinhaltet sie national anerkannte Leitlinien des National Institute of Standards and Technology. Durch die Zusammenfassung dieser Leitlinien bietet die CJIS-Sicherheitsrichtlinie einen umfassenden und robusten Rahmen für den Schutz von CJI. Sie hilft, den Schutz sensibler Daten zu gewährleisten und eine sichere und vertrauenswürdige Umgebung für kriminalpolizeiliche Dienste und Informationen zu fördern.

Anforderungen der CJIS-Sicherheitsrichtlinie

Die CJIS-Sicherheitsrichtlinie skizziert verschiedene Anforderungen, die Organisationen befolgen müssen, um die Sicherheit von CJI zu gewährleisten. Einige der wichtigsten Anforderungen beinhalten:

Personelle Sicherheit

Organisationen müssen gründliche Hintergrundüberprüfungen des Personals durchführen, das Zugang zu CJI hat. Sie sollten auch Sicherheitsschulungen anbieten, um sicherzustellen, dass die Mitarbeiter ihre Sicherheitsverantwortlichkeiten verstehen.

Physische Sicherheit

Organisationen müssen physische Sicherheitskontrollen implementieren, wie Zugangskontrollen, Videoüberwachung und Einbruchserkennungssysteme, um die physische Infrastruktur zu schützen, die CJI beherbergt.

Zugangskontrollen

Organisationen müssen Zugangskontrollen implementieren, die den Zugang zu CJI auf der Grundlage der Arbeitsfunktion und des Informationsbedarfs einschränken. Sie sollten auch starke Passwortrichtlinien, Zwei-Faktor-Authentifizierung und Session-Timeouts durchsetzen.

Audit und Rechenschaftspflicht

Organisationen müssen Audit- und Rechenschaftspflicht Kontrollen implementieren, die es ihnen ermöglichen, den Zugriff auf CJI zu überwachen und zu verfolgen. Sie sollten auch Audit-Protokolle für einen bestimmten Zeitraum aufbewahren und regelmäßig überprüfen, um unbefugten Zugriff oder verdächtige Aktivitäten zu erkennen.

Vorfallreaktion

Organisationen müssen einen Vorfallreaktionsplan erstellen, der die Schritte im Falle eines Sicherheitsverstoßes skizziert. Der Plan sollte Verfahren für die Meldung des Vorfalls, die Benachrichtigung betroffener Parteien und die Durchführung einer Untersuchung enthalten.

Best Practices für die Einhaltung der CJIS-Sicherheitsrichtlinie

Die Einhaltung der CJIS-Sicherheitsrichtlinie kann ein komplexer und herausfordernder Prozess sein. Durch die Befolgung von Best Practices können Organisationen jedoch den Compliance-Prozess vereinfachen und sicherstellen, dass sie die Anforderungen der Richtlinie erfüllen. Zu den Best Practices für die Einhaltung der CJIS-Sicherheitsrichtlinie gehören:

• Durchführung einer Risikobewertung: Organisationen sollten eine gründliche Risikobewertung durchführen, um potenzielle Bedrohungen und Schwachstellen ihrer Informationssysteme zu identifizieren. Die Bewertung sollte eine Evaluierung der physischen Sicherheit, Zugriffskontrollen, Netzwerksicherheit und Vorfallreaktionsverfahren beinhalten.
• Implementierung technischer Kontrollen: Organisationen sollten technische Kontrollen wie Firewalls, Intrusion-Detection-Systeme und Verschlüsselung implementieren, um CJI vor unbefugtem Zugriff zu schützen.
• Entwicklung von Sicherheitsrichtlinien und -verfahren: Organisationen sollten umfassende Sicherheitsrichtlinien und -verfahren entwickeln, die alle Aspekte der Informationssicherheit abdecken. Die Richtlinien sollten regelmäßig überprüft und aktualisiert werden, um sicherzustellen, dass sie effektiv bleiben.
• Bereitstellung von Sicherheitsschulungen: Organisationen sollten allen Mitarbeitern, die Zugang zu CJI haben, Sicherheitsschulungen anbieten. Die Schulungen sollten die Risiken im Zusammenhang mit dem unsachgemäßen Umgang mit CJI, die Bedeutung des Datenschutzes und Best Practices zum Schutz sensibler Informationen abdecken.
• Überwachung und Überprüfung der Compliance: Organisationen sollten ihre Compliance mit der CJIS-Sicherheitsrichtlinie regelmäßig überwachen und überprüfen. Sie sollten periodische Bewertungen, Audits und Penetrationstests durchführen, um Schwachstellen zu identifizieren und sicherzustellen, dass sie die Anforderungen der Richtlinie erfüllen.

Vorteile der CJIS-Compliance

Die Sicherstellung der CJIS-Compliance bringt zahlreiche Vorteile für Organisationen, die mit Strafjustizinformationen umgehen. Einige der wichtigsten Vorteile sind:

Verbesserte Sicherheit

Einer der bedeutendsten Vorteile ist die erhöhte Sicherheit. Durch die Implementierung der notwendigen Sicherheitsmaßnahmen können Behörden den Schutz von Strafjustizinformationen gewährleisten und so das Risiko von Datenverletzungen und Cyberangriffen reduzieren.

Compliance mit Vorschriften

CJIS-Compliance ist für Organisationen erforderlich, die mit Strafjustizinformationen umgehen. Durch die Einhaltung dieser Vorschriften können Organisationen rechtliche und finanzielle Strafen vermeiden.

Erhöhtes Vertrauen

Die Erreichung der CJIS-Compliance hilft auch den Behörden, Vertrauen bei der Öffentlichkeit aufzubauen. Die Öffentlichkeit erwartet, dass die Regierung ihre sensiblen Daten schützt, und die Erreichung der CJIS-Compliance zeigt ein Engagement zum Schutz dieser Daten.

Folgen der Nicht-Compliance mit CJIS

Die CJIS-Sicherheitsrichtlinie ist wesentlich für die Aufrechterhaltung der Integrität des Strafjustizsystems. CJI enthält sensible Daten, die bei unsachgemäßer Handhabung oder Offenlegung laufende Ermittlungen kompromittieren, die Identitäten von vertraulichen Informanten offenlegen oder die öffentliche Sicherheit gefährden könnten.

Nichtbefolgung der CJIS-Sicherheitsrichtlinie kann schwerwiegende Folgen haben, einschließlich der Aussetzung oder Aufhebung des Zugangs zu CJI, zivil- und strafrechtlichen Sanktionen und Schäden am Ruf einer Organisation. Daher ist es für Organisationen entscheidend, die Standards und Anforderungen der Richtlinie einzuhalten.

Wie das Private Content Network von Kiteworks Organisationen bei der Einhaltung der CJIS hilft

Das Private Content Network von Kiteworks ermöglicht Strafverfolgungsbehörden die Einhaltung der CJIS durch inhaltsbasiertes Zero-Trust, das einheitliche Kommunikationen und Verfolgung sowie Kontrolle von Datei- und E-Mail-Daten auf einer Plattform vereint. Die virtuelle gehärtete Appliance von Kiteworks ermöglicht dem Private Content Network den Schutz sensibler Inhaltskommunikationen durch Sicherheitsschichtung, wie Ende-zu-Ende-Verschlüsselung, Mehrfaktor-Authentifizierung, einen eingebetteten Antivirus, Firewall- und WAF-Fähigkeiten, künstliche Intelligenz (KI)-gestützte Anomalieerkennung von Inhalten, ein Intrusion-Detection-System und andere Sicherheitsfunktionen. Es verwendet auch eine doppelte Verschlüsselung auf Datei- und Volumenebene, um sicherzustellen, dass Ihre Daten sowohl während der Übertragung als auch im Ruhezustand sicher sind. Schließlich ermöglicht Kiteworks Strafverfolgungsbehörden die Kontrolle über den Zugriff auf ihre Daten und die Überwachung aller Benutzeraktivitäten bis hin zu dem, wer Inhalte anzeigen und bearbeiten kann, an wen sie weitergegeben und gesendet werden können, von welchen Geräten und mehr. Mit Hilfe von Audit-Protokollen können Strafverfolgungsbehörden detaillierte Berichte erstellen, um die Einhaltung der CJIS nachzuweisen.

Die Plattform von Kiteworks demonstriert die Einhaltung der CJIS in allen relevanten Politikbereichen, einschließlich:

Politikbereich 4: Auditierung und Rechenschaftspflicht
Vollständige Auditierung und Rechenschaftspflicht durch Berichte, die über Admin-Dashboards sowie durch Auditprotokolle und SNMP zugänglich sind. Administratoren können rechtlichen Anforderungen zur Aufbewahrung und Sammlung aller relevanten Dateien und Metadaten nachkommen und Inhaltsaufbewahrungspolitiken festlegen, um den Anforderungen der CJIS-Konformität gerecht zu werden.

Politikbereich 5: Zugangskontrolle
Kiteworks bietet Zugangskontrolle durch LDAP, SSO, 2FA und lokale Datenbanken für die externe Benutzerauthentifizierung. Es bietet auch granulare Berechtigungen für einzelne Ordner für die Zusammenarbeit.

Politikbereich 6: Identifizierung und Authentifizierung
Kiteworks bietet Authentifizierung durch LDAP, SSO und 2FA. Welche Kombination dieser Best-Practice-Authentifizierungsmaßnahmen angewendet wird, hilft bei der Einhaltung der CJIS.

Politikbereich 7: Konfigurationsmanagement
Kiteworks ermöglicht eine vollständige administrative Kontrolle über das Konfigurationsmanagement. Hier bietet die Plattform von Kiteworks auch Zugangsbeschränkungen für Änderungen.

Politikbereich 10: System- und Kommunikationsschutz und Informationsintegrität
Kiteworks bietet eine Ende-zu-Ende-Verschlüsselung von Daten in Transit und Daten im Ruhezustand unter Verwendung von AES-256 und TLS 1.2-Verschlüsselung. Die Plattform von Kiteworks ist auch in FIPS 140-2-zertifizierten und -konformen Konfigurationen verfügbar. Noch wichtiger ist, dass Kunden auch die alleinige Eigentümerschaft und Kontrolle über ihre Verschlüsselungsschlüssel behalten.

Politikbereich 13: Mobile Geräte
Kiteworks beinhaltet die Unterstützung von großen mobilen Betriebssystemen. Native Mobile-Device-Management (MDM)-light-Funktionen wie Remote-Datenlöschung, sichere verschlüsselte Container, Zugangs-PINs, Token-Lebenszeitkonfiguration und Whitelisting von mobilen Apps sind alle über die Plattform von Kiteworks verfügbar. Mit der Kiteworks-Mobil-App, die kostenlos in den Apple- und Google-Stores erhältlich ist, können Benutzer Dateien auf ihren iOS- und Android-Mobilgeräten erstellen, bearbeiten, teilen, senden und daran zusammenarbeiten.

Regierungs- und Strafverfolgungsbehörden wie die Stadt Pleasanton, Abbotsford Police Department, das Büro des Generalstaatsanwalts von South Carolina, Texas Juvenile Justice Department und das County of Sacramento, unter anderem, verlassen sich auf Kiteworks, um ihre sensiblen Inhaltskommunikationen zu vereinheitlichen, zu kontrollieren, zu verfolgen und zu sichern, während sie die Einhaltung der CJIS sicherstellen und nachweisen.

Um mehr über das Private Content Network von Kiteworks und seine Unterstützung für Strafverfolgungsbehörden bei der Demonstration der CJIS-Konformität zu erfahren, vereinbaren Sie heute eine individuelle Demo.

 

Zurück zum Risiko- & Compliance-Glossar