Audits et certifications de conformité CJIS | Experts en politique de sécurité CJIS du FBI - Lazarus Alliance. Appelez-nous. +1 (888) 896-7580 dès aujourd’hui.

Table des Matières

Le Bureau fédéral d'enquête (FBI) a établi le Politique de sécurité des Services d'information sur la justice pénale (CJIS) afin d’assurer la protection des informations sensibles en matière de justice pénale (ISP) au sein des forces de l’ordre et des entités connexes. Lazarus Alliance, une entreprise accréditée A2LA ISO/IEC 17020, collabore directement avec votre organisation pour planifier et réaliser des audits de conformité CJIS.

Nos Cybervisors™ certifiés 3PAO évaluent vos contrôles de sécurité par rapport aux exigences du CJIS, en adaptant l'évaluation aux besoins opérationnels spécifiques de votre organisation. Une fois la conformité démontrée, votre organisation obtiendra la certification CJIS Security Policy, garantissant ainsi une protection robuste du CJI.

Les Cybervisors™ sont des professionnels hautement qualifiés en cybersécurité chez Lazarus Alliance, certifiés pour réaliser des audits et des évaluations, notamment des évaluations de conformité CJIS. Ils allient une expertise approfondie des cadres de sécurité tels que NIST SP 800-53 et la politique de sécurité CJIS à une expérience pratique pour accompagner les organisations dans des processus de conformité complexes. Ils utilisent des outils comme… Machine d'audit informatique (ITAM)Cybervisors rationalise la collecte de preuves, la gestion des risques et la production de rapports, garantissant des résultats précis et efficaces adaptés aux besoins de chaque client.

Services d'information sur la justice pénale (CJIS)

La politique de sécurité des services d'information judiciaire pénale (CJIS) du FBI est un ensemble complet de normes visant à protéger les informations judiciaires sensibles (CJI), notamment les empreintes digitales, les antécédents judiciaires et les données de vérification des antécédents, accessibles via les systèmes CJIS du FBI. Établie par la division CJIS du FBI, cette politique garantit la confidentialité, l'intégrité et la disponibilité des CJI pour les utilisateurs autorisés, tels que les forces de l'ordre, les organismes de justice pénale et les entités non judiciaires agréées (par exemple, les prestataires effectuant des vérifications d'antécédents).

La politique de sécurité du CJIS décrit 13 domaines politiques dérivés de la norme NIST SP 800-53, notamment :

Contrôle d'Accès:Restreindre l'accès au système aux utilisateurs autorisés avec une authentification appropriée (par exemple, une authentification multifacteur).
Sensibilisation et formation:Obligation de formation régulière en cybersécurité pour le personnel manipulant des CJI.
Réponse aux incidents:Exiger des plans pour détecter, signaler et atténuer les incidents de sécurité.
Chiffrement:Assurer la protection des données pendant la transmission et le stockage en utilisant des normes cryptographiques strictes.
Séc. & Surveillance:Protection des installations et des systèmes qui stockent ou traitent des CJI.
Protection des Personnes:Application de vérifications des antécédents et d’habilitations de sécurité pour les personnes ayant accès au CJI.

La conformité est obligatoire pour toute organisation accédant à CJI, que ce soit directement (par exemple, les services de police) ou indirectement (par exemple, les fournisseurs tiers). Cette politique exige des audits triennaux, généralement réalisés par des sociétés accréditées comme Lazarus Alliance, afin de vérifier le respect de plus de 100 contrôles de sécurité. Ces audits évaluent les mesures de sécurité techniques, administratives et physiques, souvent à l'aide d'outils automatisés comme le Machine d'audit informatique (ITAM) pour une collecte efficace des preuves et une analyse des risques.

Le non-respect de la politique de sécurité du CJIS peut entraîner de graves conséquences, notamment la perte d'accès aux systèmes du CJIS, des amendes ou des poursuites judiciaires, susceptibles de perturber les activités des agences ou des fournisseurs. La politique évolue également pour faire face aux menaces émergentes, obligeant les organisations à se tenir informées des mises à jour. En appliquant des normes rigoureuses, la politique de sécurité du CJIS garantit la protection des données sensibles, renforce la confiance dans l'écosystème de la justice pénale et favorise le partage sécurisé d'informations entre les entités fédérales, étatiques, locales et tribales.

Chronologie de base d'un audit CJIS avec Lazarus Alliance

Lazarus Alliance est une entreprise accréditée en cybersécurité et conformité, spécialisée dans les audits de politique de sécurité du FBI CJIS (Criminal Justice Information Services), notamment pour les fournisseurs du secteur privé, les fournisseurs de services cloud et les organisations traitant des informations relatives à la justice pénale (CJI). Elle utilise une approche proactive et assistée par des outils. (y compris notre outil d'audit informatique Continuum GRC, ou ITAM) Afin de rendre le processus efficace, le moins perturbateur possible et axé sur une conformité durable, des audits CJIS sont requis tous les trois ans pour un accès continu à CJI.

Bien que les délais exacts varient en fonction de la taille, de la complexité, du niveau de préparation et des lacunes existantes de votre organisation, voici un calendrier type étape par étape et ce à quoi vous pouvez vous attendre en travaillant avec Lazarus Alliance :

phase	Activités	Durée typique	Principaux livrables et notes
1. Prise de contact initiale et planification	Consultation, analyse du périmètre, signature de l'accord et mise en place d'une plateforme ITAM pour la collecte automatisée de preuves	1-4 semaines	Accords signés, plan de projet et accès à la plateforme ITAM
2. Étape 1 : Évaluation des écarts / Bilan de préparation	Analyse approfondie des écarts par rapport aux contrôles de la politique de sécurité CJIS à l'aide d'outils automatisés et du support de Cybervisor™	2-8 semaines	Rapport détaillé sur les écarts, assorti de recommandations de correction priorisées.
3. Remédiation et préparation	Mise en œuvre des correctifs requis en matière de politiques, de techniques et de formation, avec suivi du plan d'action et de maintenance.	1 à 6 mois (variable)	Lacunes comblées, politiques mises à jour, contrôles vérifiés via ITAM
4. Étape 2 : Audit formel et collecte de preuves	Audit officiel comprenant l'examen de documents, des entretiens et des tests de systèmes (à distance ou sur site)	2-6 semaines	Dossier d'audit complet et conclusions préliminaires
5. Rapports, vérification et certification	Rapport d'audit final, vérification des éléments restants et délivrance du certificat de conformité CJIS	2-4 semaines	Rapport final, documentation de certification et approbation d'accès continue au CJI
6. Suivi continu et cycle suivant	Accès 24h/24 et 7j/7 à la plateforme ITAM pour un suivi continu de la conformité et la préparation du prochain audit triennal	En cours	Tableau de bord de surveillance proactive et conformité CJIS continue

Chronologie globalePour les organisations bien préparées, le processus complet peut prendre de 3 à 6 mois, du début à la certification. Les organisations présentant des lacunes importantes peuvent nécessiter de 6 à 12 mois. Leur méthodologie automatisée et axée sur le client (Proactive Cyber Security®) rend généralement le processus plus rapide et moins contraignant que les audits traditionnels.

Pour obtenir un calendrier précis adapté à votre situation, contactez directement Lazarus Alliance au +1 (888) 896-7580 ou via notre site web (lazarusalliance.com). Nous possédons une vaste expérience auprès de clients tels que Cisco Systems, Scribbles Software, RestoreVault, VeriPic et bien d'autres, et les accompagnons dans leur mise en conformité avec la norme CJIS.

Questions fréquemment posées

Quelle est la politique de sécurité du CJIS ?

La politique de sécurité du CJIS est un ensemble de normes établies par la division des services d'information sur la justice pénale (CJIS) du FBI afin de protéger les informations sensibles relatives à la justice pénale (CJI), telles que les empreintes digitales, les antécédents judiciaires et les données de vérification des antécédents. Elle couvre 13 domaines stratégiques fondés sur NISTSP 800-53, notamment le contrôle d'accès, le chiffrement, la réponse aux incidents et la sécurité physique, garantissant la confidentialité, l'intégrité et la disponibilité des informations judiciaires critiques pour les utilisateurs autorisés tels que les forces de l'ordre et les fournisseurs.

Qui doit se conformer aux exigences du CJIS ?

Toute organisation accédant aux informations du système judiciaire pénal (CJI), que ce soit directement (par exemple, les services de police, les organismes de justice pénale) ou indirectement (par exemple, les prestataires tiers effectuant des vérifications d'antécédents), doit s'y conformer. Cela inclut les entités non liées à la justice pénale agréées par les agences de systèmes CJIS des États (CSA), qui font l'objet d'audits triennaux obligatoires afin de vérifier le respect de plus de 100 contrôles de sécurité.

Pourquoi la conformité CJIS est-elle importante pour les organisations ?

La conformité protège les données sensibles contre les violations, garantit un accès continu aux systèmes CJIS du FBI et évite les sanctions sévères telles que les amendes, les poursuites judiciaires ou la perte d'accès. Elle renforce également la confiance avec les partenaires, atténue les risques liés aux menaces émergentes et confère un avantage concurrentiel aux fournisseurs travaillant avec les forces de l'ordre.

Niveau d'impact	Contrôles de base (approximatifs)	Cas d'utilisation clés	Portée de réutilisation
Low	~125 NIST 800-53 Contrôles bas	Données publiques/peu sensibles (par exemple, sites web généraux)	Entités SLED à l'échelle nationale
Faible+	Mode faible amélioré (~150 commandes)	Données à faible risque légèrement plus élevées (par exemple, outils d'administration de base)	Entités SLED à l'échelle nationale
Modérée	~325 NIST 800-53 Contrôles modérés + superpositions	Données confidentielles (par exemple, informations personnelles, données financières)	Entités SLED à l'échelle nationale
Haute	~421 NIST 800-53 Contrôles et superpositions de niveau élevé	Données à haute sensibilité (par exemple, infrastructures critiques)	Entités SLED à l'échelle nationale
Core (Introduit en mai 2025)	60 commandes fondamentales de niveau modéré (cartographiées MITRE ATT&CK)	Validation de niveau débutant pour les produits en progression	Accès étendu à la préautorisation pour le SLED

Évaluations complètes Cybervisor™ utilisant un logiciel avancé pour les niveaux de référence à faible, moyen et fort impact.
Surveillance proactive continue et accès à une plateforme d'audit 24h/24 et 7j/7.

Quelles sont les principales conséquences du non-respect du CJIS ?

Le non-respect de ces règles peut entraîner la perte immédiate d'accès aux systèmes CJIS, perturbant ainsi les opérations, engendrant des amendes, des poursuites judiciaires et une atteinte à la réputation. Les organisations doivent se tenir informées des mises à jour de la politique (par exemple, la version 5.9.2) afin d'éviter ces problèmes, car cette politique évolue pour s'adapter aux nouvelles menaces en matière de cybersécurité.

Quels services Lazarus Alliance propose-t-elle pour la conformité au CJIS ?

En tant qu' Entreprise accréditée A2LA ISO/IEC 17020 (certification n° 3822.01), Lazarus Alliance propose des analyses d'écart, des audits officiels et un accompagnement à la certification grâce à des experts certifiés 3PAO Cybervisors™. Ils utilisent des outils comme IT Audit Machine (ITAM) pour la collecte de preuves et la gestion des risques, en suivant une méthodologie Proactive Cyber Security® afin de rationaliser le processus et de garantir une conformité durable.

Comment Lazarus Alliance réalise-t-elle un audit CJIS ?

Les Cybervisors™ de Lazarus Alliance effectuent des évaluations personnalisées par rapport aux contrôles CJIS, en collectant des preuves via des outils automatisés tels que ITAM Afin de minimiser les perturbations, le processus comprend une analyse des écarts, des audits sur site ou à distance, la planification des mesures correctives via des plans d'action et d'étapes clés (POA&M), et une vérification, aboutissant à une certification de conformité officielle après démonstration réussie.

Quels outils et méthodologies Lazarus Alliance utilise-t-elle pour le CJIS ?

Ils utilisent le Machine d'audit informatique (ITAM) pour la collecte automatisée de preuves, l'analyse des risques et la production de rapports ; le Policy Machine pour l'élaboration de normes de sécurité ; et un plan de projet éprouvé basé sur NISTSP 800-53 et Proactive Cyber Security®. Ces outils réduisent le temps d'audit et permettent une surveillance continue pour une conformité à long terme.

Quel est le processus pour atteindre et maintenir la conformité CJIS ?

Le processus comprend : (1) la compréhension des exigences et la réalisation d'une évaluation des écarts ; (2) la mise en œuvre de contrôles tels que l'authentification multifactorielle, le chiffrement et la formation ; (3) le recours à des auditeurs accrédités pour l'examen des preuves ; (4) la correction des problèmes via un POA&M ; (5) l'obtention de la certification ; et (6) le maintien de celle-ci grâce à des examens internes réguliers, des mises à jour des politiques et des réaudits triennaux.

Avantages de la conformité CJIS

La conformité CJIS, imposée par la politique de sécurité des services d'information sur la justice pénale du FBI, offre plusieurs avantages clés aux organisations qui traitent des informations sur la justice pénale (CJI) :

Amélioration de la sécurité des données:La conformité garantit des garanties solides pour les CJI sensibles, réduisant ainsi le risque de violation de données, d'accès non autorisé ou de cybermenaces.
Accès aux systèmes critiques:Les organisations conformes obtiennent un accès autorisé aux systèmes CJIS du FBI, permettant une interaction transparente avec les bases de données de justice pénale essentielles aux opérations d'application de la loi et de vérification des antécédents.
Respect des lois et réglementations:Le respect des exigences du CJIS permet d'éviter les pénalités, les responsabilités légales ou la perte d'accès au CJI, garantissant ainsi des opérations ininterrompues pour les agences et les fournisseurs.
Amélioration de la confiance et de la réputation:Démontrer la conformité signale un engagement envers la sécurité, instaurant la confiance avec les partenaires, les clients et les parties prenantes de l’écosystème de la justice pénale.
Atténuation des risquesDes audits et des contrôles réguliers, imposés par le CJIS, permettent d'identifier les vulnérabilités, ce qui favorise une gestion proactive des risques et une meilleure posture en matière de cybersécurité.
Efficacité OpérationnelleDes processus rationalisés, souvent pris en charge par des outils comme ITAM de Continuum GRC, réduire la complexité et le temps nécessaires au maintien de la conformité.
Avantage concurrentiel:Pour les fournisseurs et les entités non liées à la justice pénale, la conformité CJIS peut différencier votre organisation, ouvrant des opportunités de collaboration avec les forces de l'ordre et les agences gouvernementales.

En atteignant et en maintenant la conformité CJIS, les organisations protègent les données sensibles, assurent la continuité opérationnelle et renforcent leur crédibilité dans la gestion du CJI.

Processus de certification CJIS

Le processus de certification CJIS, régi par la politique de sécurité des services d'information judiciaire pénale (CJIS) du FBI, garantit que les organisations traitant des informations judiciaires pénales (CJI) respectent des normes de sécurité strictes. Bien qu'il n'existe pas de certification CJIS officielle délivrée à titre individuel, la conformité à la politique de sécurité CJIS est vérifiée par un processus structuré d'évaluation et d'audit. Vous trouverez ci-dessous un aperçu détaillé des étapes à suivre :

Comprendre les exigences du CJIS:
- Les organisations doivent se familiariser avec la politique de sécurité CJIS (version 6, selon les dernières mises à jour), qui définit 13 domaines stratégiques, notamment le contrôle d'accès, le chiffrement, la réponse aux incidents, la sécurité du personnel et la sécurité physique, qui sont mis en correspondance avec les éléments suivants : NISTSP 800-53 les contrôles.
- Déterminer la portée de l’accès du CJI, qu’il soit direct (par exemple, les organismes chargés de l’application de la loi) ou indirect (par exemple, les fournisseurs ou les organismes non liés à la justice pénale comme ceux qui traitent les vérifications des antécédents).
Effectuer une évaluation des écarts:
- Effectuer une analyse interne afin d'identifier les écarts entre les pratiques de sécurité actuelles et les exigences du CJIS. Cela comprend l'évaluation des contrôles techniques (pare-feu, chiffrement, etc.), des politiques administratives (formation, plans de réponse aux incidents, etc.) et des mesures de protection physique (installations sécurisées, etc.).
- De nombreuses organisations font appel à des entreprises accréditées comme Lazarus Alliance pour réaliser une évaluation préliminaire, en utilisant des outils tels que Machine d'audit informatique Continuum GRC (ITAM) pour la collecte automatisée de preuves et l'analyse des lacunes.
Mettre en œuvre des contrôles de sécurité:
- Combler les lacunes identifiées en mettant en œuvre les contrôles requis, tels que :
  - Authentification multifacteur (MFA) pour l'accès au système.
  - Cryptage des données en transit et au repos (par exemple, algorithmes conformes à la norme FIPS 140-2).
  - Vérification des antécédents du personnel ayant accès au CJI.
  - Formation de sensibilisation à la sécurité pour tout le personnel.
- Élaborer ou mettre à jour des politiques et des procédures pour les aligner sur les normes CJIS, y compris les plans de réponse aux incidents et les protocoles de contrôle d’accès.
Engager un auditeur accrédité:
- Pour les organisations soumises à des audits triennaux (généralement les agences étatiques, locales ou tribales avec accès direct au CJIS), engagez une entreprise accréditée, telle que Lazarus Alliance, pour effectuer l'audit de conformité officiel.
- Les organismes non liés à la justice pénale (par exemple, les fournisseurs) peuvent exiger des évaluations dans le cadre de leur autorisation d'accès aux renseignements sur la justice pénale, souvent coordonnées par l'intermédiaire d'un État. Agence des systèmes CJIS (CSA) ou pouvoir adjudicateur.
Audit et collecte de preuves:
- L'audit implique un examen complet de la posture de sécurité de l'organisation, y compris la documentation, les configurations du système et les mesures de sécurité physique.
- Les auditeurs collectent des preuves pour vérifier la conformité avec les contrôles du CJIS, en utilisant souvent des outils automatisés pour rationaliser le processus et garantir l'exactitude.
- Par exemple, les Cybervisors™ de Lazarus Alliance utilisent ITAM pour collecter et analyser des preuves, réduisant ainsi le temps d'audit et minimisant les perturbations.
Adresser les constatations et les mesures correctives:
- Si des problèmes de non-conformité sont identifiés, l’organisation reçoit un rapport détaillant les déficiences et les mesures correctives recommandées.
- Élaborer un plan d’action et des jalons (POA&M) pour traiter les résultats dans un délai spécifié, généralement coordonné avec les auditeurs CSA de l’État ou CJIS du FBI.
- Des réévaluations peuvent être nécessaires pour confirmer la correction.
Recevoir une vérification de conformité:
- Après un audit et des mesures correctives réussis, l'organisation est jugée conforme à la politique de sécurité du CJIS. Pour les agences, cette conformité est documentée par la CSA de l'État ou la Division CJIS du FBI. Pour les fournisseurs, la conformité est souvent liée à des contrats ou accords spécifiques.
- Le statut de conformité permet un accès continu aux systèmes et aux données du CJIS, sous réserve d'une surveillance continue et de réaudits triennaux.
Maintenir une conformité continue:
- Les organisations doivent surveiller et maintenir en permanence la conformité grâce à des formations régulières, des mises à jour du système et des rapports d’incidents.
- Restez informé des mises à jour de la politique de sécurité du CJIS, à mesure que les exigences évoluent pour répondre aux nouvelles cybermenaces.
- Effectuez des examens internes ou faites appel périodiquement à des cabinets tiers pour garantir l’état de préparation aux audits triennaux.

En travaillant avec des auditeurs expérimentés comme Lazarus Alliance, les organisations peuvent rationaliser le processus, en tirant parti de l'expertise et des outils pour atteindre et maintenir efficacement la conformité CJIS.

Attention aux acheteurs!

Le système d'information sur la justice pénale (CJIS) repose sur le cadre de conformité NIST SP 800-53, complexe et de portée étendue. Très peu de prestataires sont réellement qualifiés pour mener à bien une évaluation CJIS.

Lazarus Alliance est l'un des rares organismes d'évaluation tiers accrédités (3PAO) par la Numéro de certification ISO/IEC 17020 de l'Association américaine pour l'accréditation des laboratoires (A2LA) 3822.01Nous sommes également reconnus Programme de gestion des documents et de l'accès au gouvernement (GovRAMP - StateRAMP) organisme d'évaluation tiers accrédité (3PAO).

Tout service d'information sur la justice pénale (CJIS) qui ne peut pas valider qu'il est également un Un organisme d'évaluation tiers accrédité (3PAO) comme Lazarus Alliance ne pourra pas obtenir l'autorisation complète de votre organisation en vertu de la loi. nouveau programme.