Protection des données sensibles: Les avantages de la conformité au CJIS dans l'application de la loi

En 1992, le FBI a créé le Criminal Justice Information Services (CJIS), qui est désormais devenu la plus grande division du bureau. Il est composé de nombreuses unités, dont le National Crime Information Center (NCIC), le Système d’Identification Automatisée des Empreintes Digitales Intégré (IAFIS), et le Système National de Vérification des Antécédents Criminels Instantané (NICS). Grâce à l’utilisation de l’analyse et des statistiques fournies par les forces de l’ordre, le CJIS surveille les activités criminelles dans les communautés locales et internationales. De plus, leurs bases de données servent de source centralisée d’informations sur la justice pénale (CJI) pour les agences à travers le pays.

Depuis 1992, d’importants changements ont eu lieu dans le monde entier, notamment dans le domaine de la technologie. L’utilisation généralisée d’Internet et de l’informatique en nuage, associée à l’augmentation rapide et à la complexité croissante des menaces en matière de cybersécurité, a considérablement compliqué la tâche de protection des données privées du CJIS.

Par conséquent, le CJIS a mis en place un ensemble complet de normes de sécurité pour les organisations, les fournisseurs de services cloud, les agences locales et les réseaux d’entreprise afin de garantir la sécurité de ces informations. Le FBI a créé la Politique de sécurité des Services d’information sur la justice pénale (CJIS), qui énonce un ensemble d’exigences de sécurité que toutes les organisations traitant ces informations doivent suivre. Cela signifie que les organisations doivent avoir une stratégie détaillée de gestion des risques liés à la cybersécurité en place. Cet article examine de plus près la conformité au CJIS, y compris ses exigences et ses avantages.

Qu’est-ce que la conformité au CJIS?

La conformité au CJIS fait référence à l’ensemble des normes de sécurité que toutes les organisations traitant des informations sur la justice pénale doivent respecter. Ces normes sont conçues pour garantir la confidentialité, l’intégrité et la disponibilité de ces informations privées. Le CJIS est pour les agences de l’application de la loi ce que l’Institut national des normes et de la technologie (NIST) est pour les agences fédérales.

Elle couvre divers domaines, notamment le contrôle d’accès, l’audit et la responsabilité, ainsi que la réponse aux incidents. En imposant ces mesures de sécurité rigoureuses, le CJIS peut garantir la protection des données sensibles, telles que les dossiers criminels et autres informations sur la justice pénale (CJI), contre les cyberattaques. Ceci est essentiel car les bases de données du CJIS sont des outils vitaux pour les forces de l’ordre dans la lutte contre la criminalité et la préservation de la sécurité communautaire.

Pour se conformer au CJIS, les organisations doivent d’abord obtenir une Politique de sécurité CJIS signée et approuvée par la Division CJIS. Cette politique stipule que l’accès à toute information sur la justice pénale doit être restreint aux seuls personnels autorisés et doit être protégé par un système sécurisé.

Qui DOIT Se Conformer au CJIS?

Selon le FBI, l’objectif principal de la Politique de sécurité CJIS est d’établir des contrôles nécessaires pour garantir la protection des CJI tout au long de leur cycle de vie, qu’ils soient au repos ou en transit. Cette politique propose des lignes directrices complètes pour la création, la consultation, la modification, la transmission, la diffusion, le stockage et la destruction des CJI. Elle s’applique à toutes les personnes, quel que soit leur lien avec les services et informations de justice pénale. Cela comprend les entrepreneurs, les entités privées, les représentants d’organismes non liés à la justice pénale et les membres d’organismes de justice pénale, ayant accès à ces services et informations ou opérant en leur soutien. En respectant la Politique de sécurité CJIS, ces individus jouent un rôle significatif dans le maintien de la confidentialité, de l’intégrité et de la disponibilité des CJI.

Pourquoi la Conformité au CJIS Est-elle Importante ?

La Politique de sécurité CJIS intègre des directives issues de diverses sources, notamment des directives présidentielles telles que l’Ordre exécutif 14028, des lois fédérales, des directives du FBI et des décisions de l’APB de la communauté de la justice pénale. De plus, elle intègre des orientations reconnues au niveau national du National Institute of Standards and Technology. En consolidant ces sources d’orientation, la Politique de sécurité CJIS offre un cadre complet et robuste pour la protection des CJI. Elle contribue à garantir la protection des données sensibles et favorise un environnement sûr et digne de confiance pour les services et informations de justice pénale.

Exigences de la Politique de sécurité CJIS

La Politique de sécurité CJIS énonce diverses exigences que les organisations doivent respecter pour garantir la sécurité des CJI. Certaines des exigences les plus critiques comprennent:

Sécurité du Personnel

Les organisations doivent effectuer des vérifications approfondies des antécédents des personnels ayant accès aux CJI. Elles doivent également dispenser une formation sur la sensibilisation à la sécurité pour s’assurer que les employés comprennent leurs responsabilités en matière de sécurité.

Sécurité Physique

Les organisations doivent mettre en place des mesures de sécurité physique, telles que des contrôles d’accès, la vidéosurveillance et des systèmes de détection d’intrusion, pour protéger l’infrastructure physique abritant les CJI.

Contrôles d’Accès

Les organisations doivent mettre en place des contrôles d’accès qui limitent l’accès aux CJI en fonction des fonctions de travail et du besoin de savoir. Elles doivent également appliquer des politiques de mots de passe robustes, l’authentification à deux facteurs et des déconnexions automatiques de session.

Audit et Responsabilité

Les organisations doivent mettre en place des contrôles d’audit et de responsabilité qui leur permettent de surveiller et de suivre l’accès aux CJI. Elles doivent également conserver les journaux d’audit pendant une période spécifiée et les examiner régulièrement pour détecter les accès non autorisés ou les activités suspectes.

Réponse aux Incidents

Les organisations doivent établir un plan de réponse aux incidents qui détaille les étapes à suivre en cas de violation de sécurité. Le plan doit inclure des procédures pour signaler l’incident, informer les parties concernées et mener une enquête.

 

Meilleures Pratiques pour la Conformité à la Politique de Sécurité CJIS

Se conformer à la Politique de Sécurité CJIS peut être un processus complexe et difficile. Cependant, en suivant les meilleures pratiques, les organisations peuvent simplifier le processus de conformité et s’assurer qu’elles respectent les exigences de la politique. Certaines des meilleures pratiques pour la conformité à la Politique de Sécurité CJIS comprennent:

• Effectuer une Évaluation des Risques: Les organisations devraient réaliser une évaluation approfondie des risques pour identifier les menaces potentielles et les vulnérabilités de leurs systèmes d’information. L’évaluation devrait inclure une évaluation de la sécurité physique, des contrôles d’accès, de la sécurité réseau et des procédures de réponse aux incidents.
• Mettre en Place des Contrôles Techniques: Les organisations devraient mettre en place des contrôles techniques, tels que des pare-feu, des systèmes de détection d’intrusion et du chiffrement, pour protéger les CJI contre les accès non autorisés.
• Élaborer des Politiques et Procédures de Sécurité: Les organisations devraient élaborer des politiques et procédures de sécurité complètes qui couvrent tous les aspects de la sécurité de l’information. Les politiques devraient être régulièrement examinées et mises à jour pour s’assurer de leur efficacité.
• Fournir une Formation sur la Sensibilisation à la Sécurité: Les organisations devraient fournir une formation sur la sensibilisation à la sécurité à tous les employés ayant accès aux CJI. La formation devrait couvrir les risques liés à la mauvaise manipulation des CJI, l’importance de la protection des données privées et les meilleures pratiques pour la protection des informations sensibles.
• Suivre et Examiner la Conformité: Les organisations devraient régulièrement suivre et examiner leur conformité avec la Politique de Sécurité CJIS. Elles devraient réaliser des évaluations périodiques, des audits et des tests de pénétration pour identifier les vulnérabilités et s’assurer qu’elles respectent les exigences de la politique.

Avantages de la Conformité au CJIS

Assurer la conformité au CJIS comporte de nombreux avantages pour les organisations traitant des informations sur la justice pénale. Certains des avantages clés comprennent :

Sécurité Renforcée

Un des avantages les plus significatifs est une sécurité accrue. En mettant en place les mesures de sécurité nécessaires, les agences peuvent garantir la protection des informations sur la justice pénale, réduisant ainsi le risque de violations de données et de cyberattaques.

Conformité aux Réglementations

La conformité au CJIS est requise pour les organisations traitant des informations sur la justice pénale. En respectant ces réglementations, les organisations peuvent éviter des sanctions légales et financières.

Renforcement de la Confiance

La conformité au CJIS aide également les agences à renforcer la confiance du public. Le public s’attend à ce que le gouvernement protège ses données sensibles, et la conformité au CJIS démontre un engagement envers cette protection des données.

Conséquences de la Non-conformité au CJIS

La Politique de Sécurité CJIS est essentielle pour maintenir l’intégrité du système de justice pénale. Les CJI contiennent des données sensibles qui, si mal gérées ou divulguées, pourraient compromettre les enquêtes en cours, révéler l’identité d’informateurs confidentiels ou nuire à la sécurité publique.

Le non-respect de la Politique de Sécurité CJIS peut entraîner de graves conséquences, notamment la suspension ou la révocation de l’accès aux CJI, des sanctions civiles et pénales, ainsi que des dommages à la réputation d’une organisation. Il est donc crucial pour les organisations de respecter les normes et exigences de la politique.

Comment le Réseau de Contenu Privé Kiteworks Aide les Organisations à Atteindre la Conformité au CJIS

Le réseau de contenu privé Kiteworks permet aux agences de l’application de la loi d’atteindre la conformité au CJIS grâce à une approche de confiance zéro axée sur le contenu, qui intègre la communication et le suivi des contenus sensibles de manière unifiée, ainsi que le contrôle des fichiers et des données de messagerie dans une seule plateforme. L’appliance virtuelle durcie Kiteworks permet au réseau de contenu privé de protéger les communications de contenu sensible grâce à une superposition de couches de sécurité, telles que le chiffrement de bout en bout, l’authentification multifactorielle, un antivirus intégré, un pare-feu, des capacités de pare-feu d’applications web (WAF), une détection d’anomalies de contenu activée par l’intelligence artificielle (IA), un système de détection d’intrusion et d’autres capacités de sécurité. Il utilise également un double chiffrement au niveau des fichiers et des volumes, garantissant que vos données sont sécurisées à la fois en transit et au repos. Enfin, Kiteworks permet aux agences de l’application de la loi de contrôler l’accès à leurs données et de surveiller toutes les activités des utilisateurs jusqu’au niveau de qui peut consulter et modifier le contenu, à qui il peut être partagé et envoyé, depuis quels appareils, et plus encore. À l’aide des journaux d’audit, les agences de l’application de la loi peuvent générer des rapports détaillés pour démontrer leur conformité au CJIS.

La plateforme Kiteworks démontre la conformité au CJIS dans toutes les zones politiques applicables, notamment:

Zone de Politique 4: Audit et Responsabilité
Audit complet et responsabilité grâce à des rapports accessibles via les tableaux de bord d’administration, ainsi qu’à travers les journaux d’audit et SNMP. Les administrateurs peuvent se conformer aux demandes légales pour préserver et collecter tous les fichiers et métadonnées pertinents et définir des politiques de rétention des contenus pour répondre aux exigences de conformité au CJIS.

Zone de Politique 5: Contrôle d’Accès
Kiteworks offre un contrôle d’accès via LDAP, SSO, 2FA et des bases de données locales pour l’authentification des utilisateurs externes. Il fournit également des autorisations granulaires pour les dossiers individuels en matière de collaboration.

Zone de Politique 6: Identification et Authentification
Kiteworks assure l’authentification via LDAP, SSO et 2FA. Toute combinaison de ces mesures d’authentification conformes aux meilleures pratiques contribue à la conformité au CJIS.

Zone de Politique 7: Gestion de Configuration
Kiteworks permet un contrôle administratif complet de la gestion de configuration. Ici, la plateforme Kiteworks fournit également des restrictions d’accès pour les modifications.

Zone de Politique 10 : Protection des Systèmes et des Communications et Intégrité de l’Information
Kiteworks assure le chiffrement de bout en bout des données en transit et des données au repos à l’aide du chiffrement AES-256 et de la cryptographie TLS 1.2. La plateforme Kiteworks est également disponible dans des configurations certifiées et conformes FIPS 140-2. De plus, les clients conservent la propriété exclusive et le contrôle de leurs clés de chiffrement.

Zone de Politique 13 : Appareils Mobiles
Kiteworks prend en charge les principaux systèmes d’exploitation mobiles. Les fonctionnalités légères de gestion des appareils mobiles (MDM) telles que la suppression à distance des données, les conteneurs sécurisés chiffrés, les codes PIN d’accès, la configuration de la durée de vie des jetons et l’approbation des applications mobiles sont toutes disponibles via la plateforme Kiteworks. En utilisant l’application mobile Kiteworks, disponible gratuitement dans les magasins Apple et Google, les utilisateurs peuvent créer, modifier, partager, envoyer et collaborer sur des fichiers depuis leurs appareils mobiles iOS et Android.

Des agences gouvernementales et de l’application de la loi telles que la ville de Pleasanton, le département de police d’Abbotsford, le bureau du procureur général de Caroline du Sud, le département de justice pour mineurs du Texas et le comté de Sacramento, entre autres, font confiance à Kiteworks pour unifier, contrôler, suivre et sécuriser leurs communications de contenu sensible tout en garantissant et en démontrant leur conformité au CJIS.

Pour en savoir plus sur le réseau de contenu privé Kiteworks et comment il aide les agences de l’application de la loi à démontrer leur conformité au CJIS, planifiez une démonstration personnalisée dès aujourd’hui.

 

Retour au Glossaire des Risques et de la Conformité