Политиката за сигурност на CJIS на ФБР премина през значителен период на промени. Версия 6.0, публикувана на 27 декември 2024 г., завърши усилията за модернизация на политиката и премина към базирана на контроли структура, близко съгласувана с NIST SP 800-53.
Версия 6.1, публикувана на 25 юни 2026 г., допълнително рафинира модернизираната политика, като се справя с пропуски, корекции и допълнения, подчертани през 2025 г. За екипите по сигурност, които вече работят по изискванията, въведени във v6.0, това означава, че общата посока не се е променила.
Въпреки това все още има актуализации, които заслужават внимание. И тъй като строгите проверки стават все по-чести, организациите, отговорни за CJI, трябва да ги разберат, за да поддържат своите контроли за сигурност и програми за съответствие съгласувани с най-новите стандарти.
Какво се промени между CJIS v6.0 и v6.1?
Една от най-ясните технически промени засяга шифроването. В SC-13, който покрива криптографската защита за CJI при транзит извън физически защитена локация, v6.0 специфицираше симметричен ключ за шифроване с поне 128-битова сила. Версия 6.1 повишава това изискване до поне 256-битова сила.
SC-28, покриващ защитата на CJI в покой извън физически защитени локации, също беше затегнат, определяйки сила на шифроване от поне 256 бита.
Друга забележима промяна е в управлението на уязвимостите. Според v6.0 CJIS изискваше от агенциите да използват инструменти за сканиране за уязвимости поне на тримесечие, за да определят дали са инсталирани приложимите актуализации на софтуера и фърмуера, свързани със сигурността, както и след инциденти със сигурността, свързани с CJI.
Версия 6.1 променя тази честота от тримесечна на поне месечна.
Променя ли CJIS v6.1 изискванията за одит?
Версия 6.1 вече е актуалната политика за сигурност на CJIS, но агенциите не трябва да предполагат, че публикуването автоматично означава незабавно преминаване към единна нова базова линия за одит.
Модернизираната политика използва нива на приоритет и поетапни дати за одит и санкции, като контролите от Приоритет 1 подлежат на санкции от 1 октомври 2024 г. Контролите от Приоритети 2, 3 и 4 са със статус „нулев цикъл“ до 30 септември 2027 г.
Щатските агенции за системи CJIS (CSA) също могат да предоставят свои собствени насоки за внедряване и оценка. Например Тексас продължава да одитира спрямо v5.9.5 до 31 март 2027 г., докато агенциите се подготвят за v6.1.
Практическа стъпка е да потвърдите настоящите очаквания за одит със съответната CSA, докато работите по новите изисквания.
Изчакването дадена контрола да стане подлежаща на санкции, преди да бъде адресирана, може да създаде ненужна работа по-късно, особено когато самите програми за одит се движат към по-непрекъсната оценка.
Защитете вашите пароли в Active Directory с Specops Password Policy
Докладът за разследване на изтичането на данни на Verizon установи, че откраднатите идентификационни данни са замесени в 44,7% от пробивите. Защитете лесно Active Directory със съвместими политики за пароли, блокирайки над 4 милиарда компрометирани пароли, повишавайки сигурността и намалявайки затрудненията с поддръжката!
Какво откриват агенциите при одитите?
На заседанието на Борда на CJIS през октомври 2025 г. Щатската полиция на Мичиган (MSP) посочи многофакторната автентификация (MFA) сред основните констатации от одита.
Други повтарящи се проблеми включваха нови политики, BYOD политики и процедури, обучение, споразумения за сигурност, регистриране на събития и снемане на пръстови отпечатъци.
На същото заседание беше очертано преминаване от разчитане предимно на тригодишни одитни посещения. Поетапният модел на MSP включва базови оценки на сигурността, тримесечни срещи, Планове за сигурност на системата, защитено подаване на доказателства и редовни прегледи на напредъка, като непрекъснатата оценка е планирана за по-късен етап от процеса.
Идентификацията и автентификацията са сред семействата контроли, планирани за оценка през финансовата 2027 година.
Това е важна точка за агенциите, планиращи своята работа по CJIS: съответствието все повече зависи не само от наличието на контрола, но и от възможността последователно да се демонстрира, че тя работи.
Еднакви ли са изискванията за пароли и MFA в CJIS v6.1?
Самите изисквания за идентификация и автентификация не са се променили съществено между v6.0 и v6.1.
IA-2 изисква организационните потребители да бъдат уникално идентифицирани и автентифицирани. Подобренията от Приоритет 1 изискват MFA както за привилегировани, така и за непривилегировани акаунти, независимо дали достъпът е локален, мрежов или отдалечен.
Контролите за пароли са сходно явни. Според IA-5 агенциите трябва да поддържат списък с често използвани, очаквани или компрометирани пароли, да актуализират този списък поне на тримесечие и когато пароли може да са били компрометирани, както и да сравняват настоящите запомнени тайни с него на тримесечна база.
Бъдещите пароли също трябва да бъдат проверявани спрямо списъка, когато потребителите ги създават или променят.
Как Specops помага с CJIS идентификацията и автентификацията
Specops осигурява пълна поддръжка за изискванията за пароли и MFA чрез следните решения:
Specops Password Auditor дава на организациите добра начална точка, извършвайки сканиране в режим „само за четене“ на Active Directory, за да идентифицира пропуски в политиката за пароли и да подчертае вече използвани компрометирани пароли. Това дава на екипите по сигурност видимост в области, които може да се нуждаят от коригиране преди оценка.
Specops Password Policy след това налага дължина на паролата и детайлни, дефинирани от организацията правила за пароли, докато проверява паролите спрямо компрометирани данни за достъп. Неговата функция Breached Password Protection използва постоянно актуализирана база данни, съдържаща над шест милиарда компрометирани пароли, помагайки на организациите да се справят с изискването IA-5 за блокиране на често използвани или компрометирани данни. Динамичната обратна връзка на екрана за промяна на паролата също казва на потребителите защо дадена парола е била отхвърлена, вместо да ги оставя да гадаят.
Specops Secure Access адресира друга честа проблемна точка при одитите, като добавя MFA към Windows автентификацията. Той поддържа Windows logon, RDP и RADIUS, както и офлайн и отдалечена автентификация за привилегировани и непривилегировани акаунти. Това го прави особено уместен спрямо изискванията IA-2(1) и IA-2(2) за MFA.
Той също така поддържа SSO за SaaS приложения и изпраща събития за автентификация и сигурност към SOC, SIEM и аналитични платформи чрез своя Event API, което е полезно, когато екипите се нуждаят както от по-силна автентификация, така и от по-ясни доказателства за това как работят тези контроли.
Движи ли се CJIS към Zero Trust?
CJIS v6.1 не е стандарт за Нулево доверие (Zero Trust), но много от неговите контроли сочат в подобна посока.
Политиката поставя по-голям акцент върху установяването на самоличността на потребителя, автентифицирането както на привилегировани, така и на непривилегировани потребители, идентифицирането на управлявани устройства и прилагането на принципа на най-малките привилегии.
Вместо да третират мрежовата локация сама по себе си като доказателство за доверие, тези контроли се фокусират върху проверката на това кой, а все повече и какво, изисква достъп.
Това прави технологии като Specops Device Trust естествено допълнение към посоката на политиката. Свързването на самоличности с одобрен хардуер и проверката на състоянието на сигурността на устройството може да добави още един слой увереност около достъпа до чувствителни системи.
Бъдещите ревизии на CJIS могат да развият този подход по-нататък, но агенциите не трябва да чакат това да се случи.
Силната самоличност, MFA, гарантирането на сигурността на устройствата и ограниченият достъп вече са полезни начини за намаляване на риска около CJI.
Подгответе се за CJIS v6.1, като затворите пропуските в идентичността
CJIS v6.1 може да е поетапна актуализация, но тя подсилва по-широка промяна в начина, по който се подхожда към съответствието: по-силни технически контроли, по-честа проверка и повече доказателства, че тези контроли продължават да работят.
За организации, които не са сигурни къде се намират, прегледът на излагането на пароли и покритието на MFA е практично място за начало.
За да видите как Specops може да помогне, резервирайте демо и вижте нашите решения в действие.
Спонсорирано и написано от Specops Software.