Protegiendo Datos Sensibles: Los Beneficios del Cumplimiento de CJIS en Ámbitos del Orden Público

En 1992, el FBI estableció los Servicios de Información de Justicia Criminal (CJIS), que ahora se ha convertido en la división más grande de la oficina. Está compuesta por numerosos departamentos, incluyendo el Centro Nacional de Información Criminal (NCIC), el Sistema Integrado de Identificación de Huellas Dactilares Automatizado (IAFIS), y el Sistema Nacional de Verificación Instantánea de Antecedentes Criminales (NICS). A través del uso de análisis y estadísticas proporcionadas por el orden público, CJIS monitorea actividades criminales en comunidades locales e internacionales. Además, sus bases de datos sirven como una fuente centralizada de información de justicia criminal (CJI) para agencias en todo el país.

Desde 1992, han ocurrido cambios significativos en todo el mundo, particularmente en el ámbito de la tecnología. El uso generalizado de internet y la computación en la nube, combinado con el aumento en la tasa y complejidad de las amenazas de ciberseguridad, ha complicado significativamente el proceso de proteger los datos privados de CJIS.

En consecuencia, CJIS ha establecido un conjunto integral de estándares de seguridad para organizaciones, proveedores de la nube, agencias locales y redes corporativas para ayudar a garantizar que esta información se mantenga segura. El FBI creó la Política de Seguridad de los Servicios de Información de Justicia Criminal (CJIS), que describe un conjunto de requisitos de seguridad que todas las organizaciones que manejan esta información deben seguir. Esto dicta que las organizaciones deben tener una estrategia detallada de administración de riesgos de ciberseguridad en su lugar. Este artículo examina más de cerca el cumplimiento de CJIS, incluyendo sus requisitos y beneficios.

¿Qué es el Cumplimiento de CJIS?

El cumplimiento de CJIS se refiere al conjunto de estándares de seguridad que todas las organizaciones que manejan información de justicia criminal deben adherirse. Estos estándares están diseñados para asegurar la confidencialidad, integridad y disponibilidad de esta información privada. CJIS es para las agencias de orden público lo que el Instituto Nacional de Estándares y Tecnología (NIST) es para las agencias federales.

Cubre una variedad de áreas, incluyendo control de acceso, auditoría y responsabilidad, y respuesta a incidentes. Al imponer estas estrictas medidas de seguridad, CJIS puede asegurar la protección de datos sensibles, como registros criminales y otros CJI, de ciberataques. Esto es crítico, ya que las bases de datos de CJIS son herramientas vitales para que el orden público combata el crimen y mantenga seguras a las comunidades.

Para cumplir con CJIS, las organizaciones deben primero obtener una Política de Seguridad de CJIS firmada y aprobada por la División de CJIS. Esta política establece que el acceso a cualquier información de justicia criminal debe estar restringido solo a personal autorizado y debe estar protegido por un sistema seguro.

¿Quién DEBE Cumplir con CJIS?

Según el FBI, el objetivo principal de la Política de Seguridad de CJIS es establecer los controles necesarios que aseguren la protección de CJI a lo largo de su ciclo de vida, ya sea en reposo o en tránsito. La política ofrece directrices integrales para crear, ver, modificar, transmitir, difundir, almacenar y destruir CJI. Se aplica a todas las personas, independientemente de su asociación con servicios e información de justicia criminal. Esto incluye contratistas, entidades privadas, representantes de agencias no relacionadas con la justicia criminal y miembros de entidades de justicia criminal, que tienen acceso o trabajan en apoyo de dichos servicios e información. Al adherirse a la Política de Seguridad de CJIS, estas personas pueden desempeñar un papel significativo en el mantenimiento de la confidencialidad, integridad y disponibilidad de CJI.

¿Por qué es Importante el Cumplimiento de CJIS?

La Política de Seguridad de CJIS incorpora directrices de varias fuentes, incluyendo directrices presidenciales como la Orden Ejecutiva 14028, leyes federales, directrices del FBI y decisiones del APB de la comunidad de justicia criminal. Además, incorpora orientación reconocida a nivel nacional del Instituto Nacional de Estándares y Tecnología. Al consolidar estas fuentes de orientación, la Política de Seguridad de CJIS proporciona un marco bien equilibrado y robusto para proteger CJI. Ayuda a asegurar la protección de datos sensibles y fomenta un entorno seguro y confiable para los servicios e información de justicia criminal.

Requisitos de la Política de Seguridad de CJIS

La Política de Seguridad de CJIS describe varios requisitos que las organizaciones deben seguir para asegurar la seguridad de CJI. Algunos de los requisitos más críticos incluyen:

Seguridad del Personal

Las organizaciones deben realizar verificaciones exhaustivas de antecedentes del personal que tiene acceso a CJI. También deben proporcionar capacitación en concienciación sobre seguridad para asegurar que los empleados comprendan sus responsabilidades de seguridad.

Seguridad Física

Las organizaciones deben implementar controles de seguridad física, como controles de acceso, videovigilancia y sistemas de detección de intrusiones, para proteger la infraestructura física que alberga CJI.

Controles de Acceso

Las organizaciones deben implementar controles de acceso que limiten el acceso a CJI según la función laboral y la necesidad de saber. También deben imponer políticas de contraseñas fuertes, autenticación de dos factores y tiempos de espera de sesión.

Auditoría y Responsabilidad

Las organizaciones deben implementar controles de auditoría y responsabilidad que les permitan monitorear y rastrear el acceso a CJI. También deben retener registros de auditoría por un período especificado y revisarlos regularmente para detectar accesos no autorizados o actividades sospechosas.

Respuesta a Incidentes

Las organizaciones deben establecer un plan de respuesta a incidentes que describa los pasos a seguir en caso de una violación de seguridad. El plan debe incluir procedimientos para reportar el incidente, notificar a las partes afectadas y realizar una investigación.

Mejores Prácticas para el Cumplimiento de la Política de Seguridad de CJIS

Cumplir con la Política de Seguridad de CJIS puede ser un proceso complejo y desafiante. Sin embargo, al seguir las mejores prácticas, las organizaciones pueden simplificar el proceso de cumplimiento y asegurar que cumplan con los requisitos de la política. Algunas de las mejores prácticas para el cumplimiento de la Política de Seguridad de CJIS incluyen:

• Realizar una Evaluación de Riesgos: Las organizaciones deben realizar una evaluación de riesgos exhaustiva para identificar amenazas y vulnerabilidades potenciales en sus sistemas de información. La evaluación debe incluir una evaluación de la seguridad física, controles de acceso, seguridad de la red y procedimientos de respuesta a incidentes.
• Implementar Controles Técnicos: Las organizaciones deben implementar controles técnicos, como cortafuegos, sistemas de detección de intrusiones y cifrado, para proteger CJI del acceso no autorizado.
• Desarrollar Políticas y Procedimientos de Seguridad: Las organizaciones deben desarrollar políticas y procedimientos de seguridad integrales que aborden todos los aspectos de la seguridad de la información. Las políticas deben revisarse y actualizarse regularmente para asegurar que sigan siendo efectivas.
• Proporcionar Capacitación en Concienciación sobre Seguridad: Las organizaciones deben proporcionar capacitación en concienciación sobre seguridad a todos los empleados que tienen acceso a CJI. La capacitación debe cubrir los riesgos asociados con el manejo inadecuado de CJI, la importancia de la privacidad de los datos y las mejores prácticas para proteger información sensible.
• Monitorear y Revisar el Cumplimiento: Las organizaciones deben monitorear y revisar regularmente su cumplimiento con la Política de Seguridad de CJIS. Deben realizar evaluaciones periódicas, auditorías y pruebas de penetración para identificar vulnerabilidades y asegurar que están cumpliendo con los requisitos de la política.

Beneficios del Cumplimiento de CJIS

Asegurar el cumplimiento de CJIS tiene numerosos beneficios para las organizaciones que manejan información de justicia criminal. Algunos de los beneficios clave incluyen:

Seguridad Mejorada

Uno de los beneficios más significativos es el aumento de la seguridad. Al implementar las medidas de seguridad necesarias, las agencias pueden asegurar la protección de la información de justicia criminal, reduciendo así el riesgo de violaciones de datos y ciberataques.

Cumplimiento con las Regulaciones

El cumplimiento de CJIS es requerido para las organizaciones que manejan información de justicia criminal. Al cumplir con estas regulaciones, las organizaciones pueden evitar sanciones legales y financieras.

Aumento de la Confianza

Lograr el cumplimiento de CJIS también ayuda a las agencias a construir confianza con el público. El público espera que el gobierno proteja sus datos sensibles, y lograr el cumplimiento de CJIS demuestra un compromiso con la protección de esos datos.

Consecuencias de No Cumplir con CJIS

La Política de Seguridad de CJIS es esencial para mantener la integridad del sistema de justicia criminal. CJI contiene datos sensibles que, si se manejan incorrectamente o se divulgan, podrían comprometer investigaciones en curso, revelar las identidades de informantes confidenciales o dañar la seguridad pública.

No cumplir con la Política de Seguridad de CJIS puede resultar en consecuencias severas, incluyendo la suspensión o revocación del acceso a CJI, sanciones civiles y penales, y daño a la reputación de una organización. Por lo tanto, es crucial que las organizaciones se adhieran a los estándares y requisitos de la política.

Cómo la Red de Contenido Privado de Kiteworks Ayuda a las Organizaciones a Lograr el Cumplimiento de CJIS

La Red de Contenido Privado de Kiteworks permite a las agencias de orden público lograr el cumplimiento de CJIS a través de una confianza cero basada en contenido que emplea comunicaciones de contenido sensible unificadas y seguimiento y control de datos de archivos y correos electrónicos en una sola plataforma. El dispositivo virtual reforzado de Kiteworks permite a la Red de Contenido Privado proteger las comunicaciones de contenido sensible utilizando capas de seguridad, como cifrado de extremo a extremo, autenticación multifactor, un antivirus integrado, cortafuegos y capacidades WAF, detección de anomalías de contenido habilitada por inteligencia artificial (IA), un sistema de detección de intrusiones y otras capacidades de seguridad. También utiliza cifrado doble a nivel de archivo y volumen, asegurando que tus datos estén seguros tanto en tránsito como en reposo. Finalmente, Kiteworks permite a las agencias de orden público controlar el acceso a sus datos y monitorear toda la actividad de los usuarios al nivel de quién puede ver y editar contenido, a quién se puede compartir y enviar, desde qué dispositivos, y más. Usando registros de auditoría, las agencias de orden público pueden generar informes detallados para demostrar el cumplimiento de CJIS.

La plataforma Kiteworks demuestra el cumplimiento de CJIS en todas las áreas de política aplicables, incluyendo:

Área de Política 4: Auditoría y Responsabilidad
Auditoría y responsabilidad completas a través de informes accesibles a través de paneles de administración, así como a través de registros de auditoría y SNMP. Los administradores pueden cumplir con solicitudes legales para preservar y recopilar todos los archivos y metadatos relevantes y establecer políticas de retención de contenido para cumplir con los requisitos de cumplimiento de CJIS.

Área de Política 5: Control de Acceso
Kiteworks ofrece control de acceso a través de LDAP, SSO, 2FA y bases de datos locales para autenticación de usuarios externos. También proporciona permisos granulares para carpetas individuales para colaboración.

Área de Política 6: Identificación y Autenticación
Kiteworks proporciona autenticación a través de LDAP, SSO y 2FA. Cualquier combinación de estas medidas de autenticación de mejores prácticas que se aplique ayuda con el cumplimiento de CJIS.

Área de Política 7: Gestión de Configuración
Kiteworks permite un control administrativo completo sobre la gestión de configuración. Aquí, la plataforma Kiteworks también proporciona restricciones de acceso para cambios.

Área de Política 10: Protección de Sistemas y Comunicaciones e Integridad de la Información
Kiteworks proporciona cifrado de extremo a extremo de datos en tránsito y datos en reposo utilizando cifrado AES-256 y TLS 1.2. La plataforma Kiteworks también está disponible en configuraciones certificadas y compatibles con FIPS 140-2. Más importante aún, los clientes también retienen la propiedad y control exclusivos de sus claves de cifrado.

Área de Política 13: Dispositivos Móviles
Kiteworks incluye soporte para los principales sistemas operativos móviles. Capacidades nativas de gestión de dispositivos móviles (MDM) ligeras como borrado remoto de datos, contenedores cifrados seguros, PINs de acceso, configuración de tiempo de vida de tokens y lista blanca de aplicaciones móviles están disponibles a través de la plataforma Kiteworks. Usando la aplicación móvil de Kiteworks, que está disponible en las tiendas de Apple y Google sin cargo, los usuarios pueden crear, editar, compartir, enviar y colaborar en archivos en sus dispositivos móviles iOS y Android.

Agencias gubernamentales y de orden público como la Ciudad de Pleasanton, el Departamento de Policía de Abbotsford, la Oficina del Fiscal General de Carolina del Sur, el Departamento de Justicia Juvenil de Texas, y el Condado de Sacramento, entre otros, confían en Kiteworks para unificar, controlar, rastrear y asegurar sus comunicaciones de contenido sensible mientras aseguran y demuestran el cumplimiento con CJIS.

Para obtener más información sobre la Red de Contenido Privado de Kiteworks y cómo ayuda a las agencias de orden público a demostrar el cumplimiento de CJIS, programa una demostración personalizada hoy.

 

Volver al Glosario de Riesgo y Cumplimiento