Gevoelige gegevens beschermen: De voordelen van CJIB naleving in wetshandhaving
In 1992 richtte de FBI Criminal Justice Information Services (CJIS) op, dat inmiddels de grootste divisie van het bureau is geworden. Het bestaat uit diverse afdelingen, waaronder het National Crime Information Center (NCIC), het Integrated Automated Fingerprint Identification System (IAFIS) en het National Instant Criminal Background Check System (NICS). Door gebruik te maken van analyses en statistieken die door wetshandhavingsinstanties worden verstrekt, monitort CJIS criminele activiteiten in lokale en internationale gemeenschappen. Bovendien fungeren hun databases als een gecentraliseerde bron van informatie over strafrecht (CJI) voor instanties in het hele land.
Sinds 1992 hebben zich wereldwijd ingrijpende veranderingen voorgedaan, met name op technologisch gebied. Het wijdverbreide gebruik van internet en cloud computing, in combinatie met de toenemende snelheid en complexiteit van cyberbeveiligingsdreigingen, heeft het proces van het beschermen van CJIS-privégegevens aanzienlijk ingewikkelder gemaakt.
Daarom heeft CJIS een uitgebreid pakket beveiligingsnormen opgesteld voor organisaties, cloudleveranciers, lokale instanties en bedrijfsnetwerken om te helpen waarborgen dat deze informatie veilig blijft. De FBI heeft het Criminal Justice Information Services (CJIS) Security Policy opgesteld, waarin een reeks beveiligingsvereisten wordt beschreven die alle organisaties die deze informatie verwerken moeten naleven. Dit vereist dat organisaties een gedetailleerde strategie voor risicobeheer cyberbeveiliging hebben. In dit artikel wordt dieper ingegaan op CJIS-naleving, inclusief de vereisten en voordelen.
Wat is CJIS-naleving?
CJIS-naleving verwijst naar het geheel van beveiligingsnormen waaraan alle organisaties die informatie over strafrecht verwerken zich moeten houden. Deze normen zijn ontworpen om de vertrouwelijkheid, integriteit en beschikbaarheid van deze privé-informatie te waarborgen. CJIS is voor wetshandhavingsinstanties wat het National Institute of Standards & Technology (NIST) is voor federale instanties.
Het bestrijkt diverse gebieden, waaronder toegangscontrole, audittrail en verantwoordelijkheid, en reactie op incidenten. Door deze strenge beveiligingsmaatregelen af te dwingen, kan CJIS de bescherming van gevoelige gegevens, zoals strafregisters en andere CJI, tegen cyberaanvallen waarborgen. Dit is van cruciaal belang, aangezien de CJIS-databases essentiële hulpmiddelen zijn voor wetshandhaving om criminaliteit te bestrijden en gemeenschappen veilig te houden.
Om aan CJIS te voldoen, moeten organisaties eerst een ondertekend en goedgekeurd CJIS Security Policy verkrijgen van de CJIS-divisie. Dit beleid bepaalt dat toegang tot informatie over strafrecht beperkt moet zijn tot uitsluitend geautoriseerd personeel en beschermd moet worden door een veilig systeem.
Wie MOET voldoen aan CJIS?
Volgens de FBI is het primaire doel van het CJIS Security Policy het vaststellen van noodzakelijke controles die de bescherming van CJI gedurende de gehele levenscyclus waarborgen, of deze nu in rust is of onderweg. Het beleid biedt uitgebreide richtlijnen voor het creëren, bekijken, wijzigen, verzenden, verspreiden, opslaan en vernietigen van CJI. Het is van toepassing op alle personen, ongeacht hun relatie tot strafrechtelijke diensten en informatie. Dit omvat aannemers, particuliere entiteiten, vertegenwoordigers van niet-strafrechtelijke instanties en leden van strafrechtelijke entiteiten die toegang hebben tot of ondersteuning bieden aan dergelijke diensten en informatie. Door zich aan het CJIS Security Policy te houden, kunnen deze personen een belangrijke rol spelen in het waarborgen van de vertrouwelijkheid, integriteit en beschikbaarheid van CJI.
Waarom is CJIS-naleving belangrijk?
Het CJIS Security Policy bevat richtlijnen uit diverse bronnen, waaronder presidentiële richtlijnen zoals Executive Order 14028, federale wetten, FBI-richtlijnen en APB-besluiten van de strafrechtgemeenschap. Daarnaast bevat het nationaal erkende richtlijnen van het National Institute of Standards and Technology. Door deze bronnen te bundelen, biedt het CJIS Security Policy een breed en robuust kader voor de bescherming van CJI. Het helpt bij het waarborgen van de bescherming van gevoelige gegevens en bevordert een veilige en betrouwbare omgeving voor strafrechtelijke diensten en informatie.
Vereisten van het CJIS Security Policy
Het CJIS Security Policy beschrijft diverse vereisten waaraan organisaties moeten voldoen om de veiligheid van CJI te waarborgen. Enkele van de belangrijkste vereisten zijn:
Personeelsbeveiliging
Organisaties moeten grondige achtergrondcontroles uitvoeren op personeel dat toegang heeft tot CJI. Ook moeten zij beveiligingsbewustzijnstraining geven om ervoor te zorgen dat medewerkers hun beveiligingsverantwoordelijkheden begrijpen.
Fysieke beveiliging
Organisaties moeten fysieke beveiligingsmaatregelen implementeren, zoals toegangscontroles, videobewaking en inbraakdetectiesystemen, om de fysieke infrastructuur waarin CJI wordt opgeslagen te beschermen.
Toegangscontroles
Organisaties moeten toegangscontroles implementeren die de toegang tot CJI beperken op basis van functie en noodzaak. Daarnaast moeten zij sterke wachtwoordbeleid, multi-factor authenticatie en sessietime-outs afdwingen.
Audittrail en verantwoordelijkheid
Organisaties moeten audittrail- en verantwoordingsmaatregelen implementeren waarmee ze toegang tot CJI kunnen monitoren en volgen. Ze moeten ook audit logs gedurende een bepaalde periode bewaren en deze regelmatig beoordelen om ongeautoriseerde toegang of verdachte activiteiten te detecteren.
Reactie op incidenten
Organisaties moeten een reactieplan voor incidenten opstellen waarin de stappen worden beschreven die moeten worden genomen bij een beveiligingsincident. Het plan moet procedures bevatten voor het melden van het incident, het informeren van betrokkenen en het uitvoeren van een onderzoek.
Beste practices voor naleving van het CJIS Security Policy
Voldoen aan het CJIS Security Policy kan een complex en uitdagend proces zijn. Door echter beste practices te volgen, kunnen organisaties het nalevingsproces stroomlijnen en ervoor zorgen dat ze aan de vereisten van het beleid voldoen. Enkele van de beste practices voor naleving van het CJIS Security Policy zijn:
- Voer een risicobeoordeling uit: Organisaties moeten een grondige risicobeoordeling uitvoeren om potentiële bedreigingen en kwetsbaarheden van hun informatiesystemen te identificeren. De beoordeling moet een evaluatie omvatten van fysieke beveiliging, toegangscontroles, netwerkbeveiliging en procedures voor incidentrespons.
- Implementeer technische controles: Organisaties moeten technische controles implementeren, zoals firewalls, inbraakdetectiesystemen en encryptie, om CJI te beschermen tegen ongeautoriseerde toegang.
- Ontwikkel beveiligingsbeleid en procedures: Organisaties moeten een uitgebreid beveiligingsbeleid en procedures ontwikkelen die alle aspecten van informatiebeveiliging behandelen. Het beleid moet regelmatig worden herzien en bijgewerkt om de effectiviteit te waarborgen.
- Bied beveiligingsbewustzijnstraining aan: Organisaties moeten beveiligingsbewustzijnstraining geven aan alle medewerkers die toegang hebben tot CJI. De training moet de risico’s van onjuist omgaan met CJI behandelen, het belang van gegevensprivacy en beste practices voor het beschermen van gevoelige informatie.
- Monitor en beoordeel naleving: Organisaties moeten hun naleving van het CJIS Security Policy regelmatig monitoren en beoordelen. Zij moeten periodieke beoordelingen, audits en penetratietests uitvoeren om kwetsbaarheden te identificeren en te waarborgen dat aan de vereisten van het beleid wordt voldaan.
Voordelen van CJIS-naleving
Het waarborgen van CJIS-naleving biedt tal van voordelen voor organisaties die informatie over strafrecht verwerken. Enkele van de belangrijkste voordelen zijn:
Verbeterde beveiliging
Een van de belangrijkste voordelen is verhoogde beveiliging. Door de noodzakelijke beveiligingsmaatregelen te implementeren, kunnen instanties de bescherming van strafrechtelijke informatie waarborgen en zo het risico op datalekken en cyberaanvallen verkleinen.
Naleving van regelgeving
CJIS-naleving is verplicht voor organisaties die informatie over strafrecht verwerken. Door aan deze regelgeving te voldoen, kunnen organisaties juridische en financiële sancties vermijden.
Groter vertrouwen
Het behalen van CJIS-naleving helpt instanties ook om vertrouwen op te bouwen bij het publiek. Het publiek verwacht dat de overheid hun gevoelige gegevens beschermt, en het behalen van CJIS-naleving toont aan dat men zich inzet voor het beschermen van die gegevens.
Gevolgen van niet-naleving van CJIS
Het CJIS Security Policy is essentieel voor het waarborgen van de integriteit van het strafrechtsysteem. CJI bevat gevoelige gegevens die, indien verkeerd behandeld of openbaar gemaakt, lopende onderzoeken kunnen schaden, de identiteit van vertrouwelijke informanten kunnen onthullen of de openbare veiligheid in gevaar kunnen brengen.
Het niet naleven van het CJIS Security Policy kan ernstige gevolgen hebben, waaronder schorsing of intrekking van toegang tot CJI, civiele en strafrechtelijke sancties en reputatieschade voor een organisatie. Het is daarom cruciaal dat organisaties zich houden aan de standaarden en vereisten van het beleid.
Hoe Kiteworks Private Content Network organisaties helpt CJIS-naleving te behalen
Het Kiteworks Private Content Network stelt wetshandhavingsinstanties in staat om CJIS-naleving te behalen via content-based zero trust die gevoelige contentcommunicatie, tracking en controle van bestand- en e-mailgegevens samenbrengt op één platform. De Kiteworks hardened virtual appliance maakt het mogelijk om het Private Content Network te beschermen met beveiligingslagen zoals end-to-end encryptie, multi-factor authenticatie, ingebouwde antivirus, firewall- en WAF-mogelijkheden, door kunstmatige intelligentie (AI) ondersteunde detectie van afwijkingen in content, een inbraakdetectiesysteem en andere beveiligingsmogelijkheden. Er wordt ook gebruikgemaakt van dubbele encryptie op zowel bestands- als volumeniveau, zodat uw gegevens zowel onderweg als in rust veilig zijn. Tot slot stelt Kiteworks wetshandhavingsinstanties in staat om de toegang tot hun gegevens te beheren en alle gebruikersactiviteiten te monitoren tot op het niveau van wie content kan bekijken en bewerken, met wie het gedeeld en verzonden kan worden, vanaf welke apparaten, en meer. Met behulp van audit logs kunnen wetshandhavingsinstanties gedetailleerde rapporten genereren om CJIS-naleving aan te tonen.
Het Kiteworks-platform toont CJIS-naleving aan in alle relevante beleidsgebieden, waaronder:
Beleidsgebied 4: Auditing en verantwoordelijkheid
Volledige auditing en verantwoordelijkheid via rapportages die toegankelijk zijn via Admin-dashboards, evenals via audit log en SNMP. Beheerders kunnen voldoen aan juridische verzoeken om alle relevante bestanden en metadata te bewaren en te verzamelen en om contentretentiebeleid in te stellen om aan CJIS-nalevingsvereisten te voldoen.
Beleidsgebied 5: Toegangscontrole
Kiteworks levert toegangscontrole via LDAP, SSO, 2FA en lokale databases voor externe gebruikersauthenticatie. Daarnaast biedt het gedetailleerde machtigingen voor individuele mappen voor samenwerking.
Beleidsgebied 6: Identificatie en authenticatie
Kiteworks biedt authenticatie via LDAP, SSO en 2FA. Welke combinatie van deze beste practices voor authenticatie ook wordt toegepast, het helpt bij CJIS-naleving.
Beleidsgebied 7: Configuratiebeheer
Kiteworks biedt volledige administratieve controle over configuratiebeheer. Hier biedt het Kiteworks-platform ook toegangsbeperkingen voor wijzigingen.
Beleidsgebied 10: Systeem- en communicatiebescherming en informatie-integriteit
Kiteworks biedt end-to-end encryptie van gegevens in rust en onderweg met behulp van AES-256 en TLS 1.2 encryptie. Het Kiteworks-platform is ook beschikbaar in FIPS 140-2 gecertificeerde en conforme configuraties. Belangrijker nog, klanten behouden ook het exclusieve eigendom en beheer van hun encryptiesleutels.
Beleidsgebied 13: Mobiele apparaten
Kiteworks ondersteunt de belangrijkste mobiele besturingssystemen. Native mobile device management (MDM)-light mogelijkheden zoals remote data wipe, beveiligde versleutelde containers, toegangspincodes, configuratie van token-levensduur en whitelisting van mobiele apps zijn allemaal beschikbaar via het Kiteworks-platform. Met de Kiteworks mobiele app, die gratis beschikbaar is in de Apple- en Google-winkels, kunnen gebruikers bestanden op hun iOS- en Android-apparaten aanmaken, bewerken, delen, verzenden en samenwerken.
Overheids- en wetshandhavingsinstanties zoals de City of Pleasanton, Abbotsford Police Department, South Carolina Attorney General’s Office, Texas Juvenile Justice Department en het County of Sacramento, vertrouwen op Kiteworks om hun gevoelige contentcommunicatie te verenigen, controleren, volgen en beveiligen, terwijl ze tegelijkertijd voldoen aan en aantonen dat ze voldoen aan CJIS-naleving.
Wil je meer weten over het Kiteworks Private Content Network en hoe het wetshandhavingsinstanties helpt om CJIS-naleving aan te tonen? Plan dan vandaag nog een demo op maat in.