5 Pasos para Lograr el Cumplimiento de CJIS con el Uso Compartido Seguro de Archivos
Las agencias de aplicación de la ley deben seguir regulaciones estrictas para garantizar que los datos sensibles, como fotografías de escenas del crimen, declaraciones de testigos y reportes policiales, estén protegidos. La Política de Seguridad de los Servicios de Información de Justicia Penal (CJIS) es una de esas regulaciones. CJIS es un conjunto de directrices diseñadas para proporcionar controles de seguridad adecuados para la gestión, transmisión y almacenamiento de información de justicia penal (CJI).
Es crucial que las agencias de aplicación de la ley aseguren que tienen soluciones seguras para almacenar y compartir archivos que contengan CJI y que cumplan con CJIS. En este artículo, compartimos cinco pasos que las agencias de aplicación de la ley pueden seguir con sus aplicaciones de intercambio seguro de archivos para lograr el cumplimiento de CJIS.
¿Qué es la Política de Seguridad de CJIS y cómo se relaciona con la regulación de CJIS?
La regulación de CJIS es un conjunto de directrices creadas por el FBI para garantizar la seguridad de la información de justicia penal. Proteger la CJI y asegurar la cadena de custodia son las raíces del cumplimiento de CJIS. En palabras del FBI, el propósito de CJIS es:
… proporcionar controles apropiados para proteger el ciclo de vida completo de la CJI, ya sea en reposo o en tránsito. La Política de Seguridad de CJIS proporciona orientación para la creación, visualización, modificación, transmisión, difusión, almacenamiento y destrucción de CJI. Esta política se aplica a cada individuo—contratista, entidad privada, representante de una agencia no criminal o miembro de una entidad de justicia penal—con acceso a, o que opera en apoyo de, servicios e información de justicia penal.
La Política de Seguridad de CJIS, un subconjunto de la regulación más amplia de CJIS, describe requisitos y procedimientos de seguridad específicos que deben seguir las organizaciones que tienen acceso a información de justicia penal. La Política de Seguridad de CJIS reconoce la necesidad de que las agencias de aplicación de la ley protejan la CJI de manipulaciones, lo que incluye filtraciones de datos.
La Política de Seguridad de CJIS incluye directrices para el control de acceso, cifrado de datos, medidas de seguridad física y más. La política está diseñada para ayudar a las organizaciones a cumplir con los requisitos de la regulación de CJIS proporcionando orientación específica sobre cómo asegurar la información de justicia penal. Juntas, la regulación de CJIS y la Política de Seguridad de CJIS en particular aseguran que la información de justicia penal esté protegida y sea utilizada adecuadamente por el personal autorizado.
Para demostrar el cumplimiento de CJIS, las agencias de aplicación de la ley de hoy deben:
- Hacer que la CJI esté disponible de manera segura para usuarios autorizados, incluidos usuarios en diferentes agencias y usuarios que trabajan de forma remota. Mientras que los dispositivos móviles proporcionan a los usuarios la capacidad de acceder a información y capturar fotos y videos, la aplicación de la ley necesita una solución que permita que la CJI se intercambie eficientemente desde el campo mientras se cumplen los estrictos requisitos de seguridad de datos y cumplimiento para el intercambio seguro de archivos móviles.
- Asegurar que se sigan las mejores prácticas de seguridad de datos y gobernanza de datos en cualquier escenario. Las últimas tecnologías en la nube y móviles pueden mejorar el acceso a los datos y la productividad, pero deben hacerlo sin crear nuevos desafíos para la seguridad de datos y la gobernanza de datos. Esto puede ser un desafío cuando la CJI se comparte entre agencias en diferentes sistemas, o en dispositivos móviles en el campo.
- Aplicar la Política de Seguridad de CJIS de manera consistente, en todas las plataformas internas y servicios en la nube en uso. Esto es aún más desafiante ya que los datos se distribuyen a través de una variedad de plataformas de Gestión de Contenido Empresarial (ECM) y servicios de almacenamiento de archivos, como Microsoft SharePoint, Windows File Shares, Google Drive, Microsoft OneDrive, Box, Dropbox y otras fuentes de contenido. El intercambio seguro de archivos móviles y otras características de seguridad deben estar disponibles para todos los usuarios autorizados, independientemente de qué plataforma ECM o servicio de almacenamiento de archivos estén utilizando.
¿Por qué es importante el cumplimiento de CJIS?
El cumplimiento de CJIS es importante por varias razones. Primero, el cumplimiento de CJIS asegura que la información sensible relacionada con las agencias de aplicación de la ley y los servicios de justicia penal esté segura y protegida contra el acceso, uso o divulgación no autorizados. Segundo, el cumplimiento de CJIS asegura que la información almacenada y comunicada a través del sistema de justicia penal sea precisa, confiable y consistente. Esto promueve la equidad y precisión del sistema de justicia. Tercero, el cumplimiento de CJIS promueve la interoperabilidad y colaboración entre diferentes agencias de aplicación de la ley y servicios de justicia penal. Esto ayuda a compartir información de manera rápida y eficiente, lo cual es crítico para resolver crímenes y prevenir actividades criminales adicionales. En general, el cumplimiento de CJIS es crucial para el funcionamiento efectivo del sistema de justicia penal y para mantener la confianza pública en la equidad y precisión del sistema de justicia.
La Política de Seguridad de CJIS es un componente esencial del cumplimiento de CJIS, es decir, mantener la integridad de los datos de justicia penal y asegurar que estén adecuadamente protegidos. El incumplimiento puede llevar a consecuencias severas como la pérdida de financiamiento, sanciones penales o multas civiles.
Los riesgos de incumplimiento con las regulaciones de CJIS incluyen la pérdida o robo de datos sensibles, acceso no autorizado o violaciones de datos. Por lo tanto, es de suma importancia que las agencias de aplicación de la ley tengan sistemas, procedimientos y procesos adecuados para compartir y almacenar CJI de manera segura.
Intercambio Seguro de Archivos para el Cumplimiento de CJIS
El intercambio seguro de archivos es una parte esencial para lograr el cumplimiento de CJIS. Un sistema de intercambio seguro de archivos permite la transmisión, almacenamiento y gestión seguros de CJI y asegura que solo el personal autorizado tenga acceso a esta información tan sensible.
Por lo tanto, un sistema de intercambio seguro de archivos debe cumplir con requisitos estrictos de cifrado, control de acceso y autenticación para asegurar la protección de CJI. Estos cinco pasos ayudarán a las agencias de aplicación de la ley a alinear sus soluciones de intercambio seguro de archivos, procesos y procedimientos con la Política de Seguridad de CJIS.
Paso 1 para el Cumplimiento de CJIS: Identifica tus Obligaciones de CJIS
Antes de emprender cualquier medida para asegurar el cumplimiento de CJIS, una agencia de aplicación de la ley debe primero entender sus obligaciones. El primer paso para lograr el cumplimiento de CJIS es que cada agencia de aplicación de la ley identifique su rol en relación con CJIS, entienda la Política de Seguridad de CJIS y la revise cuidadosamente. Veamos más de cerca cómo tú y tu agencia de aplicación de la ley deberían proceder.
Identificar tu rol en CJIS implica entender si tu agencia es una agencia de justicia penal, una agencia no criminal o un contratista privado. La Política de Seguridad de CJIS tiene diferentes requisitos para diferentes tipos de agencias (y otras organizaciones), e identificar tu categoría específica es crucial para entender las medidas de cumplimiento necesarias.
Entender la Política de Seguridad de CJIS requiere leer y comprender genuinamente los requisitos descritos en la política. Esto incluye identificar los diferentes tipos de CJI, entender cómo manejar y transmitir CJI, y entender los diversos controles de seguridad necesarios para asegurar la protección de CJI.
Revisar la Política de Seguridad de CJIS regularmente asegura que tu agencia esté al día con los últimos requisitos y mejores prácticas para mantener el cumplimiento de CJIS.
Paso 2 para el Cumplimiento de CJIS: Evalúa tu Sistema Actual de Intercambio de Archivos
El siguiente paso para lograr el cumplimiento de CJIS es evaluar tu sistema actual de intercambio de archivos. Para evaluar adecuadamente tu sistema, debes identificar las capacidades y limitaciones de tu sistema actual de intercambio de archivos, así como cualquier riesgo y vulnerabilidad. Luego debes realizar un análisis de distancia. Este paso es crucial para determinar si tu sistema cumple con el cumplimiento de CJIS.
Un análisis de capacidades y limitaciones del sistema de intercambio de archivos implica identificar de qué es capaz tu sistema y qué le falta. Entender las capacidades y limitaciones de tu sistema de intercambio de archivos es vital para determinar si cumple con los requisitos de seguridad necesarios para manejar CJI.
Un análisis de riesgos y vulnerabilidades implica evaluar las amenazas potenciales a tu sistema de intercambio de archivos. Esto incluye identificar vectores de ataque u otras vulnerabilidades en el sistema que expongan el sistema a amenazas como acceso no autorizado, ciberataques, sabotaje o violaciones de datos.
Realiza un análisis de distancia para comparar las capacidades de tu sistema actual de intercambio de archivos con los requisitos descritos en la Política de Seguridad de CJIS. Esto ayuda a identificar las brechas que existen en tu sistema y lo que se necesita hacer para cerrar esas brechas.
Paso 3 para el Cumplimiento de CJIS: Elige una Solución Segura de Intercambio de Archivos
Antes de elegir una solución segura de intercambio de archivos, debes considerar varias variables que facilitarán o dificultarán el cumplimiento de CJIS. Estas variables incluyen características de seguridad esenciales, opciones de implementación, facilidad de uso, costo y otras.
Las características de seguridad esenciales incluyen cifrado de extremo a extremo, control de acceso y autenticación para asegurar que solo el personal autorizado tenga acceso a CJI. También se deben considerar fuertemente las integraciones con otras tecnologías en tu infraestructura de seguridad, como prevención de pérdida de datos (DLP), antivirus (AV), protección avanzada contra amenazas (ATP), inicio de sesión único (SSO), desarmado y reconstrucción de contenido (CDR) y gestión de información y eventos de seguridad (SIEM).
Elegir entre soluciones basadas en la nube vs. soluciones en las instalaciones implica sopesar los beneficios y desventajas de cada opción de implementación. Las soluciones basadas en la nube proporcionan escalabilidad, accesibilidad y rentabilidad, mientras que las soluciones en las instalaciones ofrecen mayor control y personalización.
Elegir una solución segura de intercambio de archivos también, obviamente, implica evaluar a los proveedores potenciales. Investiga y compara diferentes proveedores basándote en sus capacidades y características de seguridad y cumplimiento, facilidad de uso, flexibilidad, certificaciones y reputación en la industria.
Paso 4 para el Cumplimiento de CJIS: Implementa una Solución Segura de Intercambio de Archivos
Implementar una solución segura de intercambio de archivos implica elegir el método de implementación correcto, configurar el acceso y permisos de los usuarios, y capacitar a los empleados en el nuevo sistema.
Elegir el método de implementación correcto implica decidir si implementar soluciones en las instalaciones, basadas en la nube o híbridas. Las soluciones en las instalaciones ofrecen mayor control, pero las soluciones basadas en la nube proporcionan flexibilidad y escalabilidad. Las soluciones híbridas ofrecen lo mejor de ambos mundos.
Configurar el acceso y permisos de los usuarios implica configurar cuentas de usuario y determinar quién tiene acceso a archivos o carpetas específicas. Es esencial asegurar que solo el personal autorizado tenga acceso a CJI sensible.
La capacitación periódica en ciberseguridad para los empleados en el nuevo sistema es crucial para asegurar que el nuevo sistema se use correctamente. La capacitación debe cubrir las mejores prácticas de seguridad, el uso correcto del nuevo sistema y cómo reportar cualquier incidente de seguridad.
Paso 5 para el Cumplimiento de CJIS: Mantén el Cumplimiento de CJIS con el Intercambio Seguro de Archivos
Mantener el cumplimiento de CJIS con el intercambio seguro de archivos implica realizar auditorías y revisiones regulares, actualizar y parchear el sistema, y monitorear y responder a incidentes de seguridad.
Realizar auditorías y revisiones regulares implica revisar el sistema periódicamente para asegurar que todavía cumpla con las regulaciones de CJIS. Es necesario identificar cualquier brecha y abordarla lo más rápido posible.
Actualizar y parchear el sistema implica asegurarse de que el sistema esté al día con los últimos parches y actualizaciones de seguridad. Esto asegura que cualquier vulnerabilidad de seguridad sea abordada y que el sistema permanezca seguro.
Monitorear y responder a incidentes de seguridad implica monitorear el sistema para detectar cualquier actividad inusual y responder rápidamente a cualquier incidente. Es esencial tener un plan de respuesta a incidentes para responder rápida y efectivamente a cualquier incidente de seguridad.
Kiteworks Intercambio Seguro de Archivos para el Cumplimiento de CJIS
La Red de Contenido Privado de Kiteworks es una solución de clase empresarial, compatible con CJIS, que permite el intercambio seguro y eficiente de información sensible con partes externas.
Kiteworks aprovecha las inversiones existentes de una agencia de aplicación de la ley en gestión de contenido empresarial (ECM) y plataformas de correo electrónico con acceso seguro al contenido e integraciones con Microsoft Office 365 que controlan, protegen y rastrean toda la actividad de archivos para asegurar la gobernanza del contenido, la seguridad y el cumplimiento normativo. Ya sea que elijas una opción de implementación en las instalaciones, nube privada/híbrida o FedRAMP, mantienes el control total de tu contenido, incluida la propiedad exclusiva de tus claves de cifrado. Además, todo el contenido es auditado, y puede ser retenido opcionalmente para recopilar información para su uso en herramientas estándar de la industria de eDiscovery.
Con Kiteworks, los profesionales de la aplicación de la ley pueden capturar y transferir CJI de manera segura con sus teléfonos móviles. Por ejemplo, las fotos se aseguran y se cargan automáticamente al servidor de Kiteworks, evitando por completo el rollo de cámara del teléfono. Sin evidencia disponible en el dispositivo, se elimina el riesgo de filtraciones de datos; sin embargo, se preserva un rastro de auditoría completo de la cadena de custodia, ayudando con el cumplimiento de CJIS.
Gobiernos y agencias de aplicación de la ley como la Ciudad de Pleasanton, el Departamento de Policía de Abbotsford, la Oficina del Fiscal General de Carolina del Sur, el Departamento de Justicia Juvenil de Texas, el Condado de Sacramento y otros confían en Kiteworks para asegurar la máxima seguridad de la información y demostrar el cumplimiento de CJIS al compartir CJI y otra información sensible desde cualquier ubicación, utilizando cualquier dispositivo. Los fuertes controles de seguridad y las opciones de implementación más amplias de la industria permiten a las organizaciones asegurar el cumplimiento de CJIS a través de la protección de CJI y otra información sensible. Además, la gestión y control integral sobre todas las actividades de intercambio de información permiten los niveles más altos de seguridad de datos y cumplimiento.
La plataforma Kiteworks demuestra el cumplimiento de CJIS en todas las áreas de política aplicables, incluyendo:
- Área de Política 4: Auditoría y Responsabilidad – Auditoría y responsabilidad completas a través de informes accesibles a través de paneles de administración, así como a través de Syslog y SNMP. Los administradores pueden cumplir con las solicitudes legales para preservar y recopilar todos los archivos y metadatos relevantes, y establecer políticas de retención de contenido para cumplir con los requisitos de cumplimiento de CJIS.
- Área de Política 5: Control de Acceso – Control de acceso a través de LDAP, SSO, 2FA y bases de datos locales para la autenticación de usuarios externos. La plataforma Kiteworks también proporciona permisos granulares para carpetas individuales para la colaboración.
- Área de Política 6: Identificación y Autenticación – Autenticación a través de LDAP, SSO y 2FA. Cualquier combinación de estas medidas de autenticación de mejores prácticas ayuda con el cumplimiento de CJIS.
- Área de Política 7: Gestión de Configuración – Control administrativo completo sobre la gestión de configuración. La plataforma Kiteworks también proporciona restricciones de acceso para cambios.
- Área de Política 10: Protección de Sistemas y Comunicaciones e Integridad de la Información – Cifrado de extremo a extremo de datos en tránsito y datos en reposo. La plataforma Kiteworks está disponible en configuraciones certificadas y compatibles con FIPS 140-2. Los clientes también retienen la propiedad y control exclusivos de sus claves de cifrado.
- Área de Política 13: Dispositivos Móviles – Principales sistemas operativos móviles soportados. Capacidades nativas de MDM-light como borrado remoto de datos, contenedores cifrados seguros, PINs de acceso, configuración de tiempo de vida de tokens y lista blanca de aplicaciones móviles están disponibles a través de la plataforma Kiteworks. La suite de productividad móvil facilita a los usuarios autorizados crear, editar, compartir y colaborar en archivos en dispositivos móviles. El intercambio seguro de archivos móviles se vuelve rápido y fácil.
En total, la Red de Contenido Privado de Kiteworks permite a las agencias de aplicación de la ley aprovechar al máximo los últimos avances en dispositivos móviles y computación en la nube, mientras cumplen con los estrictos requisitos para el cumplimiento de CJIS.
Para obtener más información sobre Kiteworks y sus características para el cumplimiento de CJIS, programa una demostración personalizada de Kiteworks hoy.