La versione 6.1 delle normative CJIS introduce requisiti più stringenti per la protezione delle Criminal Justice Information (CJI). Questo articolo analizza le cinque aree prioritarie per le agenzie, dalla autenticazione a più fattori alla gestione degli accessi e delle password, fino alla registrazione degli eventi e alla preparazione agli audit.
Le agenzie che gestiscono Criminal Justice Information (CJI) devono affrontare sfide significative per garantire la conformità con la versione 6.1 delle normative CJIS (Criminal Justice Information Services). Non si tratta solo di implementare controlli di sicurezza, ma di assicurarsi che questi siano efficaci, operativi sui sistemi quotidiani e documentabili per gli auditor. Tra sistemi legacy, team IT sottodimensionati e necessità di accesso in continua evoluzione, mantenere la coerenza e la prova dell'efficacia dei controlli può essere arduo.
La CJIS v6.1 impone l'uso dell'autenticazione a più fattori (MFA) sia per gli account privilegiati che per quelli non privilegiati, coprendo accessi locali, di rete e remoti (controlli IA-2(1) e IA-2(2)). La sfida principale è evitare che account non conformi sfuggano al controllo. È fondamentale effettuare una revisione completa della copertura MFA nell'ambiente, prestando particolare attenzione alle applicazioni legacy e agli account amministrativi. Per l'implementazione, si consiglia di privilegiare metodi resistenti al phishing, come le chiavi di sicurezza FIDO2. Inoltre, è necessario stabilire processi affidabili per la registrazione, la sostituzione e la revoca degli autenticatori. La MFA non è una soluzione statica; le configurazioni devono essere rivalutate periodicamente in base all'evoluzione dei sistemi e delle esigenze di accesso.
Le autorizzazioni di accesso possono diventare obsolete rapidamente a causa di cambi di ruolo o dimissioni del personale. La CJIS v6.1 mira a mitigare questo rischio attraverso una gestione efficace degli account e il principio del privilegio minimo. È essenziale mantenere un inventario accurato di tutti gli account (utenti, amministrativi, di servizio, temporanei). Le autorizzazioni devono essere limitate allo stretto necessario per ogni ruolo, i privilegi amministrativi devono essere separati dalle attività quotidiane e, ove possibile, l'approvvigionamento e la rimozione degli account dovrebbero essere automatizzati. Le revisioni degli account e dei privilegi dovrebbero avvenire almeno annualmente. Gli account temporanei e di emergenza devono essere rimossi entro 72 ore, mentre quelli inattivi per 90 giorni devono essere disabilitati entro una settimana. La revisione degli accessi deve diventare un processo continuo.
Il controllo IA-5 stabilisce un requisito minimo di otto caratteri per le password ed è un controllo di Priorità 1, sanzionabile dall'ottobre 2024. In linea con le raccomandazioni del NIST, le agenzie dovrebbero incoraggiare l'uso di passphrase più lunghe e uniche, e promuovere l'adozione di password manager approvati per evitare il riutilizzo. Altre pratiche raccomandate includono: la scansione delle password compromesse (aggiornando le blocklist almeno trimestralmente o al sospetto di compromissione), il blocco di password deboli o riutilizzate durante la creazione o il reset, e la limitazione dei tentativi di accesso falliti a un massimo di cinque per account. La gestione delle policy delle password in ambienti come Active Directory può essere semplificata utilizzando strumenti che verificano continuamente le password rispetto a database di credenziali compromesse e scansionano quotidianamente le nuove esposizioni. Periodi di grazia personalizzabili possono ridurre i blocchi non necessari, mentre i modelli di conformità e i report facilitano il monitoraggio dei progressi. È importante verificare i requisiti specifici di cambio password annuale con la propria CJIS Systems Agency, poiché IA-5 potrebbe ancora specificare un cambio annuale nonostante le indicazioni contrarie.
I log di audit sono cruciali per rilevare attività sospette e indagare sugli incidenti di sicurezza. Tuttavia, la semplice raccolta dei log non è sufficiente. È necessario catturare gli eventi pertinenti, esaminare regolarmente i record e proteggerli da manomissioni. Bisogna verificare la copertura della registrazione su tutti i sistemi che gestiscono CJI, assicurandosi che i record documentino chi ha fatto cosa, quando e con quale esito. La centralizzazione dei log in un sistema SIEM (Security Information and Event Management) può facilitare l'individuazione di attività anomale.
Le agenzie sono soggette ad audit almeno ogni tre anni, ma la conformità deve essere mantenuta costantemente. Invece di affrettarsi a raccogliere le prove all'ultimo minuto, è preferibile considerare la conformità CJIS come una responsabilità continua. Le best practice includono il mantenimento di un inventario dei controlli di sicurezza applicabili, l'identificazione dei responsabili per l'implementazione, la revisione e la documentazione di ciascuno. È fondamentale mantenere la documentazione organizzata, includendo registri delle configurazioni MFA, revisioni degli accessi, log di audit, policy di sicurezza, registri di formazione e risultati delle valutazioni. Questo facilita la dimostrazione della conformità e la documentazione delle debolezze identificate e dei piani di mitigazione.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
