Audyty zgodności i certyfikacja CJIS | Eksperci FBI ds. polityki bezpieczeństwa CJIS – Lazarus Alliance. Zadzwoń +1 (888) 896-7580 dzisiaj.

Spis treści

Federalne Biuro Śledcze (FBI) utworzyło Polityka bezpieczeństwa Służb Informacyjnych ds. Wymiaru Sprawiedliwości (CJIS) w celu zapewnienia ochrony poufnych informacji dotyczących wymiaru sprawiedliwości w sprawach karnych (CJI) w organach ścigania i podmiotach powiązanych. Lazarus Alliance, firma akredytowana zgodnie z normą A2LA ISO/IEC 17020, współpracuje bezpośrednio z Twoją organizacją w celu zaplanowania i przeprowadzenia audytów zgodności z CJIS.

Nasi certyfikowani Cybervisorzy 3PAO™ oceniają Twoje środki bezpieczeństwa pod kątem zgodności z wymogami CJIS, dostosowując ocenę do specyficznych potrzeb operacyjnych Twojej organizacji. Po pomyślnym wykazaniu zgodności, Twoja organizacja uzyska certyfikat Polityki Bezpieczeństwa CJIS, gwarantujący solidną ochronę CJIS.

Cybervisors™ to wysoko wykwalifikowani specjaliści ds. cyberbezpieczeństwa w Lazarus Alliance, posiadający certyfikaty uprawniające ich do przeprowadzania audytów i ocen, w tym oceny zgodności z CJIS. Łączą oni dogłębną wiedzę specjalistyczną w zakresie ram bezpieczeństwa, takich jak NIST SP 800-53 i Polityka Bezpieczeństwa CJIS, z praktycznym doświadczeniem, aby prowadzić organizacje przez złożone procesy zgodności. Wykorzystując narzędzia takie jak Maszyna audytu informatycznego (ITAM)Cybervisorzy usprawniają gromadzenie dowodów, zarządzanie ryzykiem i raportowanie, gwarantując dokładne, efektywne wyniki dostosowane do potrzeb każdego klienta.

Usługi Informacji o Wymiarze Sprawiedliwości (CJIS)

Polityka Bezpieczeństwa Służb Informacyjnych ds. Wymiaru Sprawiedliwości (CJIS) FBI to kompleksowy zestaw standardów mających na celu ochronę poufnych informacji z zakresu wymiaru sprawiedliwości (CJI), w tym odcisków palców, historii karnej i danych z weryfikacji przeszłości, do których dostęp uzyskuje się za pośrednictwem systemów CJIS FBI. Polityka ta, ustanowiona w ramach Wydziału ds. CJIS FBI, zapewnia poufność, integralność i dostępność informacji CJI dla upoważnionych użytkowników, takich jak organy ścigania, organizacje wymiaru sprawiedliwości oraz zatwierdzone podmioty niezwiązane z wymiarem sprawiedliwości (np. dostawcy przeprowadzający weryfikację przeszłości).

Polityka bezpieczeństwa CJIS określa 13 obszarów polityki opartych na NIST SP 800-53, w tym:

Kontrola Dostępu:Ograniczanie dostępu do systemu do autoryzowanych użytkowników z odpowiednim uwierzytelnianiem (np. uwierzytelnianie wieloskładnikowe).
Świadomość i szkolenie:Nakazanie regularnego szkolenia personelu zajmującego się sprawami CJI w zakresie cyberbezpieczeństwa.
Reagowania na incydenty:Wymaganie planów wykrywania, zgłaszania i łagodzenia incydentów bezpieczeństwa.
Szyfrowanie:Zapewnienie ochrony danych podczas transmisji i przechowywania przy użyciu silnych standardów kryptograficznych.
Bezpieczeństwo fizyczne:Ochrona obiektów i systemów, w których przechowywane lub przetwarzane są dane osobowe.
Bezpieczeństwo personelu:Wprowadzanie kontroli przeszłości i poświadczeń bezpieczeństwa dla osób mających dostęp do CJI.

Przestrzeganie zasad jest obowiązkowe dla każdej organizacji uzyskującej dostęp do CJI, zarówno bezpośrednio (np. wydziały policji), jak i pośrednio (np. dostawcy zewnętrzni). Polityka ta wymaga trzyletnich audytów, zazwyczaj przeprowadzanych przez akredytowane firmy, takie jak Lazarus Alliance, w celu weryfikacji przestrzegania ponad 100 kontroli bezpieczeństwa. Audyty te oceniają zabezpieczenia techniczne, administracyjne i fizyczne, często wykorzystując zautomatyzowane narzędzia, takie jak… Maszyna audytu IT (ITAM) w celu efektywnego gromadzenia dowodów i analizy ryzyka.

Nieprzestrzeganie zasad może skutkować poważnymi konsekwencjami, w tym utratą dostępu do systemów CJIS, grzywnami lub reperkusjami prawnymi, które mogą zakłócić działalność agencji lub dostawców. Polityka ta ewoluuje również w odpowiedzi na pojawiające się zagrożenia, wymagając od organizacji ciągłego informowania o zmianach. Egzekwując rygorystyczne standardy, Polityka Bezpieczeństwa CJIS zapewnia ochronę danych wrażliwych, buduje zaufanie do systemu wymiaru sprawiedliwości w sprawach karnych i wspiera bezpieczne udostępnianie informacji między podmiotami federalnymi, stanowymi, lokalnymi i plemiennymi.

Podstawowy harmonogram audytu CJIS z Lazarus Alliance

Lazarus Alliance to akredytowana firma zajmująca się cyberbezpieczeństwem i zgodnością z przepisami, specjalizująca się w audytach polityki bezpieczeństwa FBI CJIS (Criminal Justice Information Services), w szczególności dla dostawców z sektora prywatnego, dostawców usług chmurowych i organizacji przetwarzających informacje dotyczące wymiaru sprawiedliwości (CJI). Stosują proaktywne podejście wspomagane narzędziami. (w tym nasze Continuum GRC IT Audit Machine, czyli ITAM) Aby proces był efektywny, minimalizował zakłócenia i koncentrował się na trwałej zgodności. Audyty CJIS są wymagane co trzy lata (co trzy lata) w celu zapewnienia stałego dostępu do CJI.

Dokładne harmonogramy różnią się w zależności od wielkości organizacji, jej złożoności, gotowości i ewentualnych luk. Oto typowy harmonogram krok po kroku oraz to, czego można się spodziewać po współpracy z Lazarus Alliance:

Faza	Aktywności	Typowy czas trwania	Kluczowe elementy i uwagi
1. Wstępne zaangażowanie i planowanie	Konsultacje, przegląd zakresu, podpisanie umowy i konfiguracja platformy ITAM w celu zautomatyzowanego gromadzenia dowodów	1-4 tygodni	Podpisane umowy, plan projektu i dostęp do platformy ITAM
2. Etap 1: Ocena luk/przegląd gotowości	Dokładna analiza luk w zabezpieczeniach polityki bezpieczeństwa CJIS przy użyciu zautomatyzowanych narzędzi i wsparcia Cybervisor™	2-8 tygodni	Szczegółowy raport dotyczący luk z priorytetowymi zaleceniami dotyczącymi napraw
3. Naprawa i przygotowanie	Wdrażanie wymaganych poprawek polityki, technicznych i szkoleniowych ze śledzeniem POA&M	1–6 miesięcy (zmienne)	Naprawione luki, zaktualizowane zasady, zweryfikowane kontrole za pomocą ITAM
4. Etap 2: Audyt formalny i gromadzenie dowodów	Oficjalny audyt obejmujący przegląd dokumentów, wywiady i testowanie systemu (zdalne lub na miejscu)	2-6 tygodni	Kompletny pakiet dowodów audytu i wstępne ustalenia
5. Raportowanie, weryfikacja i certyfikacja	Ostateczny raport z audytu, weryfikacja wszelkich pozostałych pozycji i wydanie certyfikatu zgodności z CJIS	2-4 tygodni	Raport końcowy, dokumentacja certyfikacyjna i dalsze zatwierdzanie dostępu do CJI
6. Ciągłe monitorowanie i kolejny cykl	Całodobowy dostęp do platformy ITAM umożliwiający ciągły monitoring zgodności i przygotowanie do kolejnego audytu trzyletniego	Stałe	Panel proaktywnego monitorowania i stała zgodność z CJIS

Całkowita oś czasuW przypadku przygotowanych organizacji cały proces od rozpoczęcia do certyfikacji może trwać od 3 do 6 miesięcy. Organizacje ze znacznymi lukami w certyfikacji mogą potrzebować od 6 do 12 miesięcy. Ich zautomatyzowana, zorientowana na klienta metodologia (Proactive Cyber Security®) zazwyczaj sprawia, że proces jest szybszy i mniej uciążliwy niż tradycyjne audyty.

Aby uzyskać najbardziej dokładny harmonogram dostosowany do Twojej sytuacji, skontaktuj się bezpośrednio z Lazarus Alliance pod numerem +1 (888) 896-7580 lub za pośrednictwem naszej strony internetowej (lazarusalliance.com). Posiadamy bogate doświadczenie we współpracy z klientami takimi jak Cisco Systems, Scribbles Software, RestoreVault, VeriPic i innymi, w zakresie zgodności z CJIS.

Najczęściej zadawane pytania

Jaka jest polityka bezpieczeństwa CJIS?

Polityka Bezpieczeństwa CJIS to zestaw standardów ustanowionych przez Wydział Informacji Kryminalnej (CJIS) FBI w celu ochrony poufnych informacji z zakresu wymiaru sprawiedliwości (CJI), takich jak odciski palców, historia kryminalna i dane z weryfikacji przeszłości. Obejmuje ona 13 obszarów polityki opartych na: NISTSP 800-53, w tym kontrola dostępu, szyfrowanie, reagowanie na incydenty i bezpieczeństwo fizyczne, zapewniające poufność, integralność i dostępność CJI dla upoważnionych użytkowników, takich jak organy ścigania i dostawcy.

Kto musi spełniać wymogi CJIS?

Każda organizacja, która korzysta z usług CJIS, bezpośrednio (np. wydziały policji, agencje wymiaru sprawiedliwości), lub pośrednio (np. zewnętrzni dostawcy przeprowadzający weryfikację przeszłości), musi przestrzegać tych zasad. Dotyczy to również podmiotów spoza wymiaru sprawiedliwości, zatwierdzonych przez stanowe agencje systemów CJIS (CSA), z obowiązkowymi, trzyletnimi audytami weryfikującymi przestrzeganie ponad 100 kontroli bezpieczeństwa.

Dlaczego zgodność z CJIS jest ważna dla organizacji?

Zgodność chroni wrażliwe dane przed naruszeniami, zapewnia nieprzerwany dostęp do systemów FBI CJIS i pozwala uniknąć surowych kar, takich jak grzywny, postępowania sądowe czy utrata dostępu. Buduje również zaufanie partnerów, minimalizuje ryzyko związane z pojawiającymi się zagrożeniami i zapewnia przewagę konkurencyjną dostawcom współpracującym z organami ścigania.

Poziom wpływu	Kontrole bazowe (w przybliżeniu)	Kluczowe przypadki użycia	Zakres ponownego wykorzystania
Niski	~125 NIST 800-53 Niskie kontrole	Dane publiczne/o niskiej wrażliwości (np. ogólne strony internetowe)	Podmioty SLED w całym kraju
Niski+	Ulepszony niski (~150 elementów sterujących)	Nieco podwyższone dane o niskim ryzyku (np. podstawowe narzędzia administracyjne)	Podmioty SLED w całym kraju
Umiarkowany	~325 NIST 800-53 Umiarkowane sterowanie + nakładki	Dane poufne (np. dane osobowe, zapisy finansowe)	Podmioty SLED w całym kraju
Wysoki	~421 NIST 800-53 Wysokie sterowanie + nakładki	Dane o wysokiej wrażliwości (np. infrastruktura krytyczna)	Podmioty SLED w całym kraju
rdzeń (Wprowadzono w maju 2025 r.)	60 podstawowych umiarkowanych kontroli (mapowanie MITRE ATT&CK)	Walidacja na poziomie wejściowym dla produktów w toku	Szeroki dostęp przedautoryzowany dla SLED

Kompleksowe oceny Comprehensive Cybervisor™ z wykorzystaniem zaawansowanego oprogramowania dla punktów odniesienia o niskim, średnim i wysokim wpływie.
Ciągły, proaktywny monitoring i całodobowy dostęp do platformy audytowej.

Jakie są główne konsekwencje nieprzestrzegania zasad CJIS?

Nieprzestrzeganie zasad może prowadzić do natychmiastowej utraty dostępu do systemów CJIS, zakłóceń w działalności, kar finansowych, konsekwencji prawnych i utraty reputacji. Organizacje muszą być na bieżąco z aktualizacjami polityki (np. do wersji 5.9.2), aby uniknąć tych problemów, ponieważ polityka ewoluuje w odpowiedzi na nowe zagrożenia cyberbezpieczeństwa.

Jakie usługi w zakresie zgodności z CJIS świadczy Lazarus Alliance?

Jak Firma akredytowana zgodnie z normą A2LA ISO/IEC 17020 (nr certyfikatu 3822.01), Lazarus Alliance oferuje analizy luk, oficjalne audyty i wsparcie certyfikacyjne z wykorzystaniem certyfikowanych Cybervisorów 3PAO™. Wykorzystują oni narzędzia takie jak IT Audit Machine (ITAM) do gromadzenia dowodów i zarządzania ryzykiem, stosując metodologię Proactive Cyber Security®, aby usprawnić proces i zapewnić trwałą zgodność.

W jaki sposób Lazarus Alliance przeprowadza audyt CJIS?

Cybervisors™ firmy Lazarus Alliance przeprowadzają dostosowane oceny w oparciu o kontrole CJIS, gromadząc dowody za pomocą zautomatyzowanych narzędzi, takich jak ITAM Aby zminimalizować zakłócenia. Proces obejmuje analizę luk, audyty na miejscu lub zdalnie, planowanie działań naprawczych poprzez Plany Działań i Kamieni Milowych (POA&M) oraz weryfikację, która po pomyślnej demonstracji prowadzi do uzyskania oficjalnego certyfikatu zgodności.

Jakich narzędzi i metod używa Lazarus Alliance w ramach CJIS?

Korzystają z Maszyna audytu informatycznego (ITAM) do automatycznego gromadzenia dowodów, analizy ryzyka i raportowania; Policy Machine do opracowywania standardów bezpieczeństwa; oraz sprawdzony plan projektu oparty na NISTSP 800-53 i Proactive Cyber Security®. Narzędzia te skracają czas audytu i wspierają stały monitoring w celu zapewnienia długoterminowej zgodności.

Jaki jest proces osiągnięcia i utrzymania zgodności z CJIS?

Proces obejmuje: (1) zrozumienie wymagań i przeprowadzenie oceny luk; (2) wdrożenie kontroli, takich jak uwierzytelnianie wieloskładnikowe, szyfrowanie i szkolenia; (3) zaangażowanie akredytowanych audytorów do przeglądu dowodów; (4) rozwiązywanie problemów za pośrednictwem POA&M; (5) uzyskanie certyfikatu; oraz (6) utrzymanie poprzez regularne przeglądy wewnętrzne, aktualizacje zmian polityki i ponowne audyty przeprowadzane co trzy lata.

Korzyści ze zgodności z CJIS

Zgodność z CJIS, wymagana przez Politykę Bezpieczeństwa Informacji Kryminalnych FBI, oferuje kilka kluczowych korzyści organizacjom przetwarzającym informacje dotyczące wymiaru sprawiedliwości w sprawach karnych (CJI):

Zwiększone bezpieczeństwo danych:Zgodność zapewnia solidne zabezpieczenia wrażliwych informacji CJI, redukując ryzyko naruszenia danych, nieautoryzowanego dostępu lub zagrożeń cybernetycznych.
Dostęp do systemów krytycznych:Organizacje przestrzegające zasad uzyskują autoryzowany dostęp do systemów FBI CJIS, co umożliwia bezproblemową interakcję z bazami danych wymiaru sprawiedliwości, niezbędnymi do egzekwowania prawa i operacji sprawdzania przeszłości.
Przestrzeganie prawa i przepisówSpełnienie wymogów CJIS pozwala uniknąć kar, odpowiedzialności prawnej lub utraty dostępu do CJI, gwarantując nieprzerwane działanie agencji i dostawców.
Poprawa zaufania i reputacji:Wykazanie zgodności jest sygnałem zaangażowania w kwestie bezpieczeństwa, budowania zaufania wśród partnerów, klientów i interesariuszy w ekosystemie wymiaru sprawiedliwości w sprawach karnych.
Ograniczenie ryzyka:Regularne audyty i kontrole wymagane przez CJIS pozwalają na identyfikację luk w zabezpieczeniach, co umożliwia proaktywne zarządzanie ryzykiem i wzmocnienie cyberbezpieczeństwa.
Efektywność operacyjnaUsprawnione procesy, często wspierane przez narzędzia takie jak ITAM firmy Continuum GRC, zmniejszyć złożoność i czas potrzebny do zachowania zgodności.
Przewaga konkurencyjna:Dla dostawców i podmiotów niezwiązanych z wymiarem sprawiedliwości zgodność z wymogami CJIS może wyróżnić Twoją organizację, otwierając możliwości współpracy z organami ścigania i agencjami rządowymi.

Dzięki spełnianiu i utrzymywaniu zgodności z CJIS organizacje chronią poufne dane, zapewniają ciągłość operacyjną i wzmacniają swoją wiarygodność w zakresie postępowania z CJI.

Proces certyfikacji CJIS

Proces certyfikacji CJIS, regulowany Polityką Bezpieczeństwa FBI w zakresie Służb Informacyjnych ds. Wymiaru Sprawiedliwości (CJIS), zapewnia, że organizacje przetwarzające informacje dotyczące wymiaru sprawiedliwości (CJIS) spełniają rygorystyczne standardy bezpieczeństwa. Chociaż nie istnieje formalny „certyfikat CJIS” wydawany jako osobne poświadczenie, zgodność z Polityką Bezpieczeństwa CJIS jest weryfikowana poprzez ustrukturyzowany proces oceny i audytu. Poniżej znajduje się szczegółowy opis poszczególnych etapów:

Zrozum wymagania CJIS:
- Organizacje muszą zapoznać się z Polityką bezpieczeństwa CJIS (wersja 6 według najnowszych aktualizacji), która określa 13 obszarów polityki, w tym kontrolę dostępu, szyfrowanie, reagowanie na incydenty, bezpieczeństwo personelu i bezpieczeństwo fizyczne, mapowane na NISTSP 800-53 sterownica.
- Określ zakres dostępu CJI, czy jest on bezpośredni (np. organy ścigania), czy pośredni (np. dostawcy lub agencje niezwiązane z wymiarem sprawiedliwości, takie jak te zajmujące się sprawdzaniem przeszłości).
Przeprowadź ocenę luk:
- Przeprowadź przegląd wewnętrzny w celu zidentyfikowania luk między obecnymi praktykami bezpieczeństwa a wymogami CJIS. Obejmuje to ocenę kontroli technicznych (np. zapór sieciowych, szyfrowania), polityk administracyjnych (np. szkoleń, planów reagowania na incydenty) oraz zabezpieczeń fizycznych (np. bezpiecznych obiektów).
- Wiele organizacji korzysta z usług akredytowanych firm, takich jak Lazarus Alliance, w celu przeprowadzenia wstępnej oceny, wykorzystując narzędzia takie jak Continuum GRC IT Audit Machine (ITAM) do automatycznego gromadzenia dowodów i analizy luk.
Wdrażaj kontrolę bezpieczeństwa:
- Należy zająć się zidentyfikowanymi lukami, wdrażając wymagane kontrole, takie jak:
  - Uwierzytelnianie wieloskładnikowe (MFA) w celu uzyskania dostępu do systemu.
  - Szyfrowanie danych w trakcie przesyłu i w stanie spoczynku (np. algorytmy zgodne ze standardem FIPS 140-2).
  - Weryfikacja przeszłości personelu posiadającego dostęp do CJI.
  - Szkolenie w zakresie świadomości bezpieczeństwa dla wszystkich pracowników.
- Opracowywanie lub aktualizowanie zasad i procedur zgodnych ze standardami CJIS, w tym planów reagowania na incydenty i protokołów kontroli dostępu.
Zatrudnij akredytowanego audytora:
- W przypadku organizacji podlegających audytom przeprowadzanym co trzy lata (zazwyczaj agencje stanowe, lokalne lub plemienne z bezpośrednim dostępem do CJIS) należy zatrudnić akredytowaną firmę, np. Lazarus Alliance, do przeprowadzenia oficjalnego audytu zgodności.
- Agencje niebędące organami wymiaru sprawiedliwości (np. dostawcy) mogą wymagać ocen jako części upoważnienia do dostępu do CJI, często koordynowanego przez państwo Agencja Systemów CJIS (CSA) lub podmiotu zamawiającego.
Audyt i gromadzenie dowodów:
- Audyt obejmuje kompleksowy przegląd poziomu bezpieczeństwa organizacji, obejmujący dokumentację, konfigurację systemów i środki bezpieczeństwa fizycznego.
- Audytorzy zbierają dowody w celu weryfikacji zgodności z kontrolami CJIS, często korzystając ze zautomatyzowanych narzędzi w celu usprawnienia procesu i zapewnienia dokładności.
- Na przykład Cybervisors™ firmy Lazarus Alliance wykorzystują technologię ITAM do gromadzenia i analizowania dowodów, co pozwala skrócić czas audytu i zminimalizować zakłócenia.
Ustalenia adresowe i środki zaradcze:
- Jeśli zostaną zidentyfikowane problemy związane z niezgodnością, organizacja otrzymuje raport szczegółowo opisujący niedociągnięcia i zalecane działania korygujące.
- Opracuj Plan działań i kamieni milowych (POA&M) w celu zajęcia się ustaleniami w określonym czasie, zazwyczaj skoordynowany z audytorami CSA lub FBI CJIS.
- W celu potwierdzenia podjęcia działań naprawczych konieczne mogą być ponowne oceny.
Otrzymaj weryfikację zgodności:
- Po pomyślnym audycie i przeprowadzeniu działań naprawczych, organizacja uznaje się za zgodną z Polityką Bezpieczeństwa CJIS. W przypadku agencji dokumentacja odbywa się za pośrednictwem stanowego CSA lub Wydziału FBI ds. CJIS. W przypadku dostawców zgodność często jest powiązana z konkretnymi umowami lub porozumieniami.
- Status zgodności pozwala na ciągły dostęp do systemów i danych CJIS, pod warunkiem bieżącego monitorowania i trzyletnich audytów.
Utrzymywanie ciągłej zgodności:
- Organizacje muszą stale monitorować i utrzymywać zgodność z przepisami poprzez regularne szkolenia, aktualizacje systemu i zgłaszanie incydentów.
- Bądź na bieżąco z aktualizacjami Polityki bezpieczeństwa CJIS i zmieniającymi się wymogami mającymi na celu stawienie czoła nowym zagrożeniom cybernetycznym.
- Przeprowadzaj okresowe przeglądy wewnętrzne lub angażuj firmy zewnętrzne, aby zapewnić gotowość do audytów trzyletnich.

Współpracując z doświadczonymi audytorami, takimi jak Lazarus Alliance, organizacje mogą usprawnić ten proces, wykorzystując wiedzę specjalistyczną i narzędzia do efektywnego osiągania i utrzymywania zgodności z CJIS.

Kupujący Uwaga!

Usługi Informacji Kryminalnej (CJIS) opierają się na ramach zgodności z normą NIST SP 800-53, która jest złożona i obszerna. Bardzo niewielu dostawców usług posiada kwalifikacje do prawidłowego przeprowadzania oceny usług informacji karnej (CJIS).

Lazarus Alliance jest jedną z niewielu akredytowanych organizacji zajmujących się oceną zewnętrzną (3PAO) przez Numer certyfikatu ISO/IEC 17020 Amerykańskiego Stowarzyszenia Akredytacji Laboratoriów (A2LA) 3822.01. Jesteśmy również uznanym Program zarządzania dokumentami rządowymi i dostępem (GovRAMP - StateRAMP) akredytowana organizacja trzeciej strony przeprowadzająca ocenę (3PAO).

Każda Służba Informacji o Wymiarze Sprawiedliwości (CJIS), która nie może potwierdzić, że jest również akredytowana organizacja trzeciej strony dokonująca oceny (3PAO), taka jak Lazarus Alliance, nie będzie w stanie uzyskać dla Twojej organizacji pełnej autoryzacji na mocy nowy program.