CJIS v6.1 is de nieuwste versie van de Amerikaanse Criminal Justice Information Services-beveiligingseisen, het kader waaraan Amerikaanse opsporings- en justitiediensten en hun IT-leveranciers moeten voldoen om met zogeheten Criminal Justice Information te mogen werken. Securitybedrijf Specops zet vijf praktische prioriteiten op een rij voor agentschappen die zich voorbereiden op een audit.
Allereerst multifactorauthenticatie, verplicht voor zowel bevoorrechte als gewone accounts bij lokale, netwerk- en externe toegang. Phishingbestendige methoden zoals FIDO2-sleutels verdienen de voorkeur, en agentschappen moeten vaste processen hebben voor het registreren, vervangen en intrekken van authenticators.
Ten tweede accountbeheer: een actuele inventaris van gebruikers-, beheer-, service- en tijdelijke accounts, met least privilege en een scheiding tussen beheerdersrechten en dagelijks gebruik. Tijdelijke en noodaccounts moeten binnen 72 uur worden verwijderd, accounts die 90 dagen inactief zijn binnen een week worden uitgeschakeld, en reviews gebeuren minstens jaarlijks.
De derde prioriteit is wachtwoordbeleid. Control IA-5 schrijft een minimale lengte van acht tekens voor en is sinds oktober 2024 een zogeheten Priority 1-control, wat betekent dat overtreding sanctioneerbaar is. Specops adviseert langere, unieke wachtwoordzinnen, goedgekeurde wachtwoordmanagers en blocklists tegen gelekte wachtwoorden die minstens elk kwartaal worden bijgewerkt. Mislukte inlogpogingen horen te worden beperkt tot maximaal vijf per account.
Logging is de vierde prioriteit: elk systeem met CJI moet vastleggen wie wat deed en wanneer, met logs die beschermd zijn tegen manipulatie en idealiter centraal samenkomen in een SIEM. Tot slot auditgereedheid. Agentschappen worden minstens eens per drie jaar extern getoetst, maar moeten de naleving daartussen op peil houden: een inventaris van controls met eigenaren, georganiseerd bewijsmateriaal en remediatieplannen die volgens control CA-5 minstens elke zes maanden worden bijgewerkt.
CJIS raakt alleen Amerikaanse opsporings- en justitiediensten en de bedrijven die met ze samenwerken; voor Nederlandse of Europese organisaties heeft dit kader zelf geen directe werking. Wie binnen de Nederlandse of Europese overheid met vergelijkbare verplichtingen te maken heeft, kijkt eerder naar NIS2 en de onderliggende normen voor overheidsinformatiebeveiliging. De kern van de vijf CJIS-prioriteiten is wel herkenbaar: sterke authenticatie, opgeruimd accountbeheer, goed wachtwoordbeleid, sluitende logging en aantoonbaar bewijs vormen ook daar de basishygiëne.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
CJIS geldt alleen voor Amerikaanse opsporings- en justitiediensten en hun leveranciers; Nederlandse of Europese overheidsorganisaties vallen er niet onder. Zij kijken voor vergelijkbare verplichtingen eerder naar NIS2, al is de onderliggende basishygiëne, sterke authenticatie, opgeruimd accountbeheer en sluitende logging, in beide kaders vrijwel hetzelfde.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.