CJIS-samsvarsrevisjoner og -sertifisering

Det føderale etterforskningsbyrået (FBI) etablerte Sikkerhetspolicy for strafferettslige informasjonstjenester (CJIS) for å sikre beskyttelse av sensitiv strafferettslig informasjon på tvers av politi og relaterte enheter. Lazarus Alliance, et A2LA ISO/IEC 17020-akkreditert firma, samarbeider direkte med organisasjonen din for å planlegge og gjennomføre CJIS-samsvarsrevisjoner.

Våre sertifiserte 3PAO Cybervisors™ vurderer sikkerhetskontrollene dine mot CJIS-krav og skreddersyr evalueringen til organisasjonens spesifikke driftsbehov. Ved vellykket demonstrasjon av samsvar vil organisasjonen din oppnå CJIS-sertifisering for sikkerhetspolicy, noe som sikrer robust beskyttelse av CJI.

Cybervisors™ er høyt kvalifiserte cybersikkerhetseksperter hos Lazarus Alliance, sertifisert til å utføre revisjoner og vurderinger, inkludert CJIS-samsvarsevalueringer. De kombinerer dyp ekspertise innen sikkerhetsrammeverk som NIST SP 800-53 og CJIS Security Policy med praktisk erfaring for å veilede organisasjoner gjennom komplekse samsvarsprosesser. Ved å bruke verktøy som IT-revisjonsmaskin (ITAM)Nettrådgivere effektiviserer bevisinnsamling, risikostyring og rapportering, og sikrer nøyaktige og effektive resultater skreddersydd for hver enkelt klients behov.

Criminal Justice Information Services (CJIS)

FBIs sikkerhetspolicy for Criminal Justice Information Services (CJIS) er et omfattende sett med standarder som er utformet for å beskytte sensitiv strafferettslig informasjon (CJI), inkludert fingeravtrykk, kriminell bakgrunn og bakgrunnssjekkdata, som er tilgjengelige gjennom FBIs CJIS-systemer. Policyen, som er etablert under FBIs CJIS-avdeling, sikrer konfidensialitet, integritet og tilgjengelighet av CJI for autoriserte brukere, som politimyndigheter, strafferettsorganisasjoner og godkjente ikke-strafferettslige enheter (f.eks. leverandører som utfører bakgrunnssjekker).

CJIS sikkerhetspolicy skisserer 13 policyområder utledet fra NIST SP 800-53, inkludert:

Access ControlBegrense systemtilgang til autoriserte brukere med riktig autentisering (f.eks. flerfaktorautentisering).
Bevissthet og opplæringPåbud om regelmessig opplæring i cybersikkerhet for personell som håndterer CJI.
HendelsesresponsKrever planer for å oppdage, rapportere og redusere sikkerhetshendelser.
krypteringSikring av databeskyttelse under overføring og lagring ved bruk av sterke kryptografiske standarder.
Fysisk sikkerhetBeskyttelse av anlegg og systemer som lagrer eller behandler CJI.
PersonalsikkerhetHåndheving av bakgrunnssjekker og sikkerhetsklareringer for personer med tilgang til CJI.

Overholdelse er obligatorisk for alle organisasjoner som har tilgang til CJI, enten direkte (f.eks. politiavdelinger) eller indirekte (f.eks. tredjepartsleverandører). Policyen krever revisjoner hvert tredje år, vanligvis utført av akkrediterte firmaer som Lazarus Alliance, for å bekrefte overholdelse av over 100 sikkerhetskontroller. Disse revisjonene vurderer tekniske, administrative og fysiske sikkerhetstiltak, ofte ved hjelp av automatiserte verktøy som IT-revisjonsmaskin (ITAM) for effektiv bevisinnsamling og risikoanalyse.

Brudd på regelverket kan føre til alvorlige konsekvenser, inkludert tap av tilgang til CJIS-systemer, bøter eller juridiske konsekvenser, som kan forstyrre driften til byråer eller leverandører. Retningslinjene utvikles også for å håndtere nye trusler, og krever at organisasjoner holder seg oppdatert på revisjoner. Ved å håndheve strenge standarder sikrer CJIS sikkerhetspolicy beskyttelse av sensitive data, fremmer tillit til strafferettssystemet og støtter sikker informasjonsdeling på tvers av føderale, statlige, lokale og stammelige enheter.

Grunnleggende tidslinje for CJIS-revisjon med Lazarus Alliance

Lazarus Alliance er et akkreditert cybersikkerhets- og compliance-firma som spesialiserer seg på FBI CJIS (Criminal Justice Information Services) sikkerhetspolicyrevisjoner, spesielt for private leverandører, skyleverandører og organisasjoner som håndterer Criminal Justice Information (CJI). De bruker en proaktiv, verktøyassistert tilnærming. (inkludert vår Continuum GRC IT Audit Machine, eller ITAM) for å gjøre prosessen effektiv, minimalt forstyrrende og fokusert på bærekraftig samsvar. CJIS-revisjoner kreves hvert tredje år for kontinuerlig tilgang til CJI.

Selv om nøyaktige tidslinjer varierer basert på organisasjonens størrelse, kompleksitet, beredskap og eventuelle eksisterende mangler, er her en typisk trinnvis tidslinje og hva du kan forvente når du jobber med Lazarus Alliance:

Fase	Aktiviteter	Typisk varighet	Viktige leveranser og notater
1. Innledende engasjement og planlegging	Konsultasjon, omfangsgjennomgang, avtalesignering og oppsett av ITAM-plattform for automatisert bevisinnsamling	1-4 uker	Signerte avtaler, prosjektplan og tilgang til ITAM-plattformen
2. Fase 1: Gapvurdering / beredskapsgjennomgang	Grundig gapanalyse mot CJIS sikkerhetspolicykontroller ved hjelp av automatiserte verktøy og Cybervisor™-støtte	2-8 uker	Detaljert gaprapport med prioriterte anbefalinger for utbedring
3. Utbedring og forberedelse	Implementering av nødvendige rettelser for retningslinjer, tekniske løsninger og opplæring med POA&M-sporing	1–6 måneder (variabel)	Utbedret mangler, oppdaterte retningslinjer, verifiserte kontroller via ITAM
4. Fase 2: Formell revisjon og bevisinnsamling	Offisiell revisjon inkludert dokumentgjennomganger, intervjuer og systemtesting (fjerntesting eller testing på stedet)	2-6 uker	Fullført revisjonsbevispakke og foreløpige funn
5. Rapportering, verifisering og sertifisering	Endelig revisjonsrapport, verifisering av eventuelle gjenværende punkter og utstedelse av CJIS-samsvarssertifisering	2-4 uker	Sluttrapport, sertifiseringsdokumentasjon og fortsatt godkjenning av CJI-tilgang
6. Løpende overvåking og neste syklus	Døgnåpen tilgang til ITAM-plattformen for kontinuerlig samsvarsovervåking og forberedelse til neste treårige revisjon	Løpende	Proaktivt overvåkingsdashbord og vedvarende CJIS-samsvar

Overordnet tidslinjeFor forberedte organisasjoner kan hele prosessen ta 3–6 måneder fra start til sertifisering. Organisasjoner med betydelige mangler kan trenge 6–12 måneder. Deres automatiserte, klientfokuserte metodikk (Proactive Cyber Security®) gjør det vanligvis raskere og mindre byrdefullt enn tradisjonelle revisjoner.

For å få den mest nøyaktige tidslinjen skreddersydd for din situasjon, kontakt Lazarus Alliance direkte på +1 (888) 896-7580 eller via nettstedet vårt (lazarusalliance.com). Vi har omfattende erfaring med kunder som Cisco Systems, Scribbles Software, RestoreVault, VeriPic og andre, og oppnår samsvar med CJIS.

Ofte Stilte Spørsmål

Hva er CJIS sikkerhetspolicy?

CJIS sikkerhetspolicy er et sett med standarder etablert av FBIs avdeling for kriminalrettsinformasjon (CJIS) for å beskytte sensitiv informasjon fra strafferettssystemet (CJI), som fingeravtrykk, kriminell bakgrunn og bakgrunnssjekkdata. Den dekker 13 policyområder basert på NIST SP 800-53, inkludert tilgangskontroll, kryptering, hendelsesrespons og fysisk sikkerhet, som sikrer konfidensialitet, integritet og tilgjengelighet av CJI for autoriserte brukere som politi og leverandører.

Hvem må overholde CJIS-kravene?

Enhver organisasjon som har tilgang til CJI, enten direkte (f.eks. politiavdelinger, strafferettslige organer) eller indirekte (f.eks. tredjepartsleverandører som utfører bakgrunnssjekker), må overholde disse. Dette inkluderer ikke-strafferettslige enheter som er godkjent av statlige CJIS-systembyråer (CSA-er), med obligatoriske treårige revisjoner for å bekrefte overholdelse av over 100 sikkerhetskontroller.

Hvorfor er samsvar med CJIS viktig for organisasjoner?

Samsvar beskytter sensitive data mot sikkerhetsbrudd, sikrer uavbrutt tilgang til FBIs CJIS-systemer og unngår alvorlige straffer som bøter, rettslige skritt eller tap av tilgang. Det bygger også tillit med partnere, reduserer risikoen fra nye trusler og gir et konkurransefortrinn for leverandører som jobber med politi.

Effektnivå	Grunnleggende kontroller (ca.)	Viktige saker	Gjenbruk omfang
Lav	~125 NIST 800-53 Lave kontroller	Offentlige/lavsensitive data (f.eks. generelle nettsteder)	SLED-enheter over hele landet
Lav+	Forbedret lav (~150 kontroller)	Litt forhøyede lavrisikodata (f.eks. grunnleggende administrasjonsverktøy)	SLED-enheter over hele landet
Moderat	~325 NIST 800-53 Moderate kontroller + overlegg	Konfidensielle data (f.eks. personlig identifiserende informasjon, økonomiske dokumenter)	SLED-enheter over hele landet
Høyt	~421 NIST 800-53 Høye kontroller + overlegg	Høysensitive data (f.eks. kritisk infrastruktur)	SLED-enheter over hele landet
Kjerne (Introdusert mai 2025)	60 grunnleggende moderate kontroller (MITRE ATT&CK kartlagt)	Validering på inngangsnivå for produkter i utvikling	Bred forhåndsgodkjenningstilgang for SLED

Omfattende Cybervisor™-vurderinger ved bruk av avansert programvare for lav-, moderat- og høykonsekvenser.
Kontinuerlig proaktiv overvåking og tilgang til revisjonsplattformen døgnet rundt.

Hva er de viktigste konsekvensene av manglende overholdelse av CJIS?

Brudd på regelverket kan føre til umiddelbar tap av tilgang til CJIS-systemer, driftsforstyrrelser, økonomiske bøter, juridiske konsekvenser og omdømmeskade. Organisasjoner må holde seg oppdatert på revisjoner av retningslinjer (f.eks. versjon 5.9.2) for å unngå disse problemene, etter hvert som retningslinjene utvikles for å håndtere nye trusler mot nettsikkerhet.

Hvilke tjenester tilbyr Lazarus Alliance for samsvar med CJIS?

Som en A2LA ISO/IEC 17020-akkreditert firma (sertifisering #3822.01), Lazarus Alliance tilbyr gap-vurderinger, offisielle revisjoner og sertifiseringsstøtte ved hjelp av sertifiserte 3PAO Cybervisors™. De bruker verktøy som IT Audit Machine (ITAM) for bevisinnsamling og risikostyring, og følger en Proactive Cyber Security®-metodikk for å effektivisere prosessen og sikre bærekraftig samsvar.

Hvordan gjennomfører Lazarus Alliance en CJIS-revisjon?

Lazarus Alliance sine Cybervisors™ utfører skreddersydde vurderinger mot CJIS-kontroller, og samler inn bevis via automatiserte verktøy som ITAM for å minimere forstyrrelser. Prosessen inkluderer gapanalyse, revisjoner på stedet eller eksterne, utbedringsplanlegging gjennom handlingsplaner og milepæler (POA&M), og verifisering, som fører til offisiell samsvarssertifisering etter vellykket demonstrasjon.

Hvilke verktøy og metoder bruker Lazarus Alliance for CJIS?

De bruker IT-revisjonsmaskin (ITAM) for automatisert bevisinnsamling, risikoanalyse og rapportering; Policy Machine for utvikling av sikkerhetsstandarder; og en velprøvd prosjektplan basert på NIST SP 800-53 og Proactive Cyber Security®. Disse verktøyene reduserer revisjonstiden og støtter kontinuerlig overvåking for langsiktig samsvar.

Hva er prosessen for å oppnå og opprettholde CJIS-samsvar?

Prosessen innebærer: (1) forståelse av krav og gjennomføring av en gap-vurdering; (2) implementering av kontroller som flerfaktorautentisering, kryptering og opplæring; (3) engasjering av akkrediterte revisorer for gjennomgang av bevis; (4) utbedring av problemer via POA&M; (5) oppnåelse av sertifisering; og (6) vedlikehold gjennom regelmessige interne gjennomganger, oppdateringer av endringer i policyer og revisjoner hvert tredje år.

Fordeler med CJIS-samsvar

Samsvar med CJIS, som er pålagt av FBIs sikkerhetspolicy for informasjonstjenester for kriminalrett, gir flere viktige fordeler for organisasjoner som håndterer informasjon om kriminalrett (CJI):

Forbedret datasikkerhetSamsvar: Samsvar sikrer robuste sikkerhetstiltak for sensitive CJI-er, noe som reduserer risikoen for datainnbrudd, uautorisert tilgang eller cybertrusler.
Tilgang til kritiske systemerOrganisasjoner som overholder regelverket får autorisert tilgang til FBIs CJIS-systemer, noe som muliggjør sømløs samhandling med strafferettsdatabaser som er viktige for politi og bakgrunnssjekk.
Overholdelse av lover og forskrifterÅ oppfylle CJIS-kravene unngår straffer, juridisk ansvar eller tap av tilgang til CJI, og sikrer uavbrutt drift for byråer og leverandører.
Forbedret tillit og omdømmeÅ demonstrere samsvar signaliserer en forpliktelse til sikkerhet, og bygger tillit med partnere, klienter og interessenter i strafferettssystemet.
Risikoreduserende tiltakRegelmessige revisjoner og kontroller pålagt av CJIS identifiserer sårbarheter, noe som muliggjør proaktiv risikostyring og en sterkere cybersikkerhetsposisjon.
Operasjonell effektivitetStrømlinjeformede prosesser, ofte støttet av verktøy som Continuum GRCs ITAM, redusere kompleksiteten og tiden som kreves for å opprettholde samsvar.
KonkurransefordelFor leverandører og ikke-strafferettslige enheter kan CJIS-samsvar differensiere organisasjonen din og åpne muligheter for å samarbeide med politi og offentlige etater.

Ved å oppnå og opprettholde CJIS-samsvar, beskytter organisasjoner sensitive data, sikrer driftskontinuitet og styrker sin troverdighet i håndteringen av CJI.

CJIS-sertifiseringsprosess

CJIS-sertifiseringsprosessen, som styres av FBIs sikkerhetspolicy for Criminal Justice Information Services (CJIS), sikrer at organisasjoner som håndterer informasjon om strafferett (CJI) oppfyller strenge sikkerhetsstandarder. Selv om det ikke finnes noen formell "CJIS-sertifisering" utstedt som en frittstående legitimasjon, verifiseres samsvar med CJIS-sikkerhetspolicyen gjennom en strukturert vurderings- og revisjonsprosess. Nedenfor er en detaljert oversikt over trinnene som er involvert:

Forstå CJIS-kravene:
- Organisasjoner må gjøre seg kjent med CJIS sikkerhetspolicy (versjon 6 fra de siste oppdateringene), som skisserer 13 policyområder, inkludert tilgangskontroll, kryptering, hendelsesrespons, personellsikkerhet og fysisk sikkerhet, tilordnet til NIST SP 800-53 kontroller.
- Bestem omfanget av CJI-tilgang, enten direkte (f.eks. politimyndigheter) eller indirekte (f.eks. leverandører eller ikke-strafferettslige etater som de som behandler bakgrunnssjekker).
Gjennomfør en gapvurdering:
- Utfør en intern gjennomgang for å identifisere hull mellom gjeldende sikkerhetspraksis og CJIS-krav. Dette inkluderer evaluering av tekniske kontroller (f.eks. brannmurer, kryptering), administrative retningslinjer (f.eks. opplæring, hendelseshåndteringsplaner) og fysiske sikkerhetstiltak (f.eks. sikre fasiliteter).
- Mange organisasjoner engasjerer akkrediterte firmaer som Lazarus Alliance til å gjennomføre en foreløpig vurdering, ved å bruke verktøy som Continuum GRC IT-revisjonsmaskin (ITAM) for automatisert bevisinnsamling og gapanalyse.
Implementer sikkerhetskontroller:
- Håndter identifiserte mangler ved å implementere nødvendige kontroller, som for eksempel:
  - Flerfaktorautentisering (MFA) for systemtilgang.
  - Kryptering for data under overføring og i ro (f.eks. FIPS 140-2-kompatible algoritmer).
  - Bakgrunnssjekker for personell med CJI-tilgang.
  - Opplæring i sikkerhetsbevissthet for alle ansatte.
- Utvikle eller oppdatere retningslinjer og prosedyrer i samsvar med CJIS-standarder, inkludert hendelsesresponsplaner og protokoller for tilgangskontroll.
Engasjer en akkreditert revisor:
- For organisasjoner som er underlagt treårige revisjoner (vanligvis statlige, lokale eller stammeorganer med direkte CJIS-tilgang), ansett et akkreditert firma, som Lazarus Alliance, til å utføre den offisielle samsvarsrevisjonen.
- Ikke-strafferettslige organer (f.eks. leverandører) kan kreve vurderinger som en del av sin autorisasjon til å få tilgang til CJI, ofte koordinert gjennom en stat CJIS Systembyrå (CSA) eller oppdragsgiver.
Revisjon og bevisinnsamling:
- Revisjonen innebærer en omfattende gjennomgang av organisasjonens sikkerhetstilstand, inkludert dokumentasjon, systemkonfigurasjoner og fysiske sikkerhetstiltak.
- Revisorer samler inn bevis for å bekrefte samsvar med CJIS-kontroller, ofte ved hjelp av automatiserte verktøy for å effektivisere prosessen og sikre nøyaktighet.
- For eksempel bruker Lazarus Alliance sine Cybervisors™ ITAM til å samle inn og analysere bevis, noe som reduserer revisjonstiden og minimerer forstyrrelser.
Adressering av funn og utbedring:
- Hvis det identifiseres manglende samsvar, mottar organisasjonen en rapport som beskriver mangler og anbefalte korrigerende tiltak.
- Utvikle en handlingsplan og milepæler (POA&M) for å håndtere funn innenfor en spesifisert tidsramme, vanligvis koordinert med statens CSA- eller FBI CJIS-revisorer.
- Det kan være nødvendig med nye vurderinger for å bekrefte utbedring.
Motta samsvarsbekreftelse:
- Etter vellykket revisjon og utbedring anses organisasjonen å være i samsvar med CJIS sikkerhetspolicy. For etater dokumenteres dette gjennom statens CSA eller FBI CJIS-avdeling. For leverandører er samsvar ofte knyttet til spesifikke kontrakter eller avtaler.
- Samsvarsstatus gir fortsatt tilgang til CJIS-systemer og -data, underlagt løpende overvåking og treårige revisjoner.
Oppretthold løpende etterlevelse:
- Organisasjoner må kontinuerlig overvåke og opprettholde samsvar gjennom regelmessig opplæring, systemoppdateringer og hendelsesrapportering.
- Hold deg informert om oppdateringer av CJIS sikkerhetspolicy, etter hvert som kravene utvikler seg for å håndtere nye cybertrusler.
- Gjennomfør interne gjennomganger eller engasjer tredjepartsfirmaer med jevne mellomrom for å sikre at de er klare for treårige revisjoner.

Ved å samarbeide med erfarne revisorer som Lazarus Alliance, kan organisasjoner effektivisere prosessen, utnytte ekspertise og verktøy for å oppnå og opprettholde samsvar med CJIS effektivt.

Kjøper pass på!

Criminal Justice Information Services (CJIS) er basert på NIST SP 800-53-samsvarsrammeverket, som er komplekst og omfattende. Svært få leverandører der ute er faktisk kvalifisert til å utføre en vurdering av Criminal Justice Information Services (CJIS) på riktig måte.

Lazarus Alliance er en av få akkrediterte tredjepartsvurderingsorganisasjoner (3PAO) av ISO/IEC 17020-sertifiseringsnummer fra American Association for Laboratory Accreditation (A2LA) 3822.01Vi er også en anerkjent Program for forvaltning av offentlige dokumenter og tilgang (GovRAMP - StateRAMP) akkreditert tredjeparts vurderingsorganisasjon (3PAO).

Enhver informasjonstjeneste for strafferettslige spørsmål (CJIS) som ikke kan bekrefte at de også er en en akkreditert tredjepartsvurderingsorganisasjon (3PAO) som Lazarus Alliance vil ikke kunne få organisasjonen din fullstendig autorisert i henhold til nytt program.

CJIS-samsvarsrevisjoner og -sertifisering | FBI CJIS-sikkerhetspolicyeksperter – Lazarus Alliance. Ring +1 (888) 896-7580 i dag.