Se stai avviando o gestendo un business che lavora con informazioni sul giustizia penale (CJI) come appaltatore con agenzie governative o forze dell’ordine, probabilmente sei a conoscenza della conformità CJIS.
Se non lo sei, questo articolo ti aiuterà a capire cos’è la conformità CJIS, chi deve conformarsi e come puoi accedere a strumenti e servizi orientati alla privacy in modo che la tua azienda soddisfi questi standard.
Cos’è CJIS?
La Politica di Sicurezza CJIS(nuova finestra) è un insieme di standard di sicurezza assemblati dalla FBI (nuova finestra) Informazioni dei Servizi di Giustizia Penale(nuova finestra) (CJIS) divisione. Sono stati progettati per proteggere il CJI in ogni fase del suo ciclo di vita: dalla raccolta allo stoccaggio fino alla condivisione e allo smaltimento.
La conformità CJIS non è solo essenziale per le organizzazioni con sede negli Stati Uniti, ma anche per le aziende internazionali che lavorano con le forze dell’ordine o agenzie governative statunitensi. È diventato uno standard di settore per le aziende che gestiscono, archiviano o elaborano il CJI rispettare la Politica di Sicurezza CJIS.
Quali dati include CJIS?
Ci sono molti tipi di informazioni che rientrano nella politica CJIS:
- Dati biometrici: Dati estratti da tratti fisici o comportamentali (ad es., impronte digitali, riconoscimento facciale) che identificano gli individui.
- Dati di storia professionale: Dati testuali associati ai dati biometrici. Questi dati vengono spesso utilizzati per assemblare una cronologia di attività criminale.
- Dati biografici: Informazioni legate a un caso specifico ma non necessariamente collegate all’identità di una persona.
- Dati di proprietà: Informazioni su veicoli e proprietà associate a un incidente.
- Storia di casi/incidente: La storia criminale di una persona.
- Informazioni personalmente identificabili (PII): Qualsiasi informazione che può essere utilizzata per identificare una persona, comprese le nominativi, i numeri di previdenza sociale e i registri biometrici
Se agenzie statali, locali o federali delle forze dell’ordine accedono alle informazioni sulla giustizia penale tramite l’FBI, devono essere applicati controlli appropriati durante tutto il ciclo di vita.
Chi deve essere conforme alla CJIS?
Qualsiasi organizzazione che gestisce il CJI, comprese le agenzie delle forze dell’ordine, i contrattisti privati e i fornitori di servizi cloud, deve conformarsi agli standard CJIS.
Anche se è principalmente un requisito dell’FBI, la conformità CJIS è effettivamente diventata uno standard di settore a causa della natura sensibile di tutti i dati coinvolti. Anche se un’organizzazione non lavora direttamente con l’FBI ma gestisce il CJI, deve conformarsi agli standard CJIS per continuare a operare senza ripercussioni.
Questo si estende a sistemi di dati, backup, reti e dispositivi — come le stampanti — che interagiscono con il CJI, che devono essere tutti protetti secondo le linee guida CJIS.
Un’azienda può affrontare sanzioni civili e penali federali e statali per aver accesso o disseminato in modo improprio i dati CJIS. Queste sanzioni potrebbero includere multe, così come sospensione, revoca o monitoraggio dell’accesso al CJIS(nuova finestra).
È importante notare che le informazioni raccolte da qualsiasi ente governativo che raccoglie, elabora o utilizza le informazioni sulla giustizia penale (CJI) non sono soggette ai controlli CJIS a meno che non siano state presentate al Sistema Nazionale di Scambio Dati (N-DEx)(nuova finestra).
Tuttavia, una volta presentate, le informazioni devono conformarsi agli standard CJIS. N-DEx è un sistema chiave per la condivisione delle informazioni sulla giustizia penale tra agenzie, consentendo una gestione sicura e coerente di questi dati.
L’Unità di Audit dei Servizi Informativi sulla Giustizia Penale (CJIS) (CAU) protegge l’integrità delle informazioni sulla giustizia penale auditando le agenzie che utilizzano i sistemi e i programmi CJIS. Le agenzie includono(nuova finestra):
- CSA statali e repository
- Ufficio del Programma UCR statale
- CSA federale
- Agenzia regolamentata a livello federale
- Agenzia in un territorio statunitense con connessione Wide Area Network
- Channeler approvato dall’FBI (un appaltatore scelto dall’FBI che facilita la presentazione elettronica di impronte per controlli di background non criminali a nome di un destinatario autorizzato)
- Destinatario autorizzato delle informazioni sui dati di storia criminale
- Registro degli autori di reato
- Fornitore di identità del Portale per le Forze dell’Ordine
- Qualsiasi componente dell’FBI
Per la conformità CJIS, la crittografia è fondamentale
Per accedere ai database CJIS, le organizzazioni devono conformarsi a una serie di standard di sicurezza, tra cui implementare autenticazione a due fattori (MFA) per verificare le identità degli utenti, mantenere controlli di accesso rigorosi per limitare chi può visualizzare o modificare i dati sensibili ed applicare misure di sicurezza fisica per proteggere i sistemi e i dispositivi che gestiscono il CJI.
La crittografia, comunque, è fondamentale per la conformità CJIS.
Cos’è la crittografia?
La crittografia è un modo per oscurare le informazioni in modo che nessuno tranne le persone a cui sono destinate possa accedervi. Questo viene effettuato con programmi per computer che utilizzano algoritmi matematici che bloccano e sbloccano le informazioni.
Ci sono due sezioni della Politica di Sicurezza CJIS che menzionano esplicitamente la crittografia:
- Sezione 5.10.1.2.1: Quando il CJI viene trasmesso fuori dal confine della posizione fisicamente sicura, i dati devono essere immediatamente protetti tramite crittografia. Quando viene utilizzata la crittografia, il modulo crittografico utilizzato deve essere certificato FIPS 140-2 e utilizzare una chiave di cifra simmetrica con una forza di almeno 128 bit per proteggere il CJI.
- Sezione 5.10.1.2.2: Quando il CJI è a riposo (cioè memorizzato digitalmente) fuori dal confine della posizione fisicamente sicura, i dati devono essere protetti tramite crittografia. Quando viene utilizzata la crittografia, le agenzie devono crittografare il CJI in conformità con lo standard nella Sezione 5.10.1.2.1 sopra, oppure utilizzare una crittografia simmetrica certificata FIPS 197 (AES) e con forza di almeno 256 bit.
La crittografia aiuta a garantire che il CJI sia protetto sia a riposo che in transito. Sfortunatamente, molti servizi online, come per archiviazione cloud e email, non utilizzano la crittografia end-to-end per impostazione predefinita, lasciando i dati vulnerabili durante la trasmissione.
Abbiamo creato Proton nel 2014 per soddisfare questa esigenza. Sviluppato da scienziati che si sono incontrati al CERN (l’Organizzazione Europea per la Ricerca Nucleare) in Svizzera, Proton protegge email, file, password e altri dati sensibili con robusta crittografia end-to-end in modo che sia facile per chiunque usarlo. Oggi oltre 100 milioni di utenti, tra cui governi, unità militari e aziende della Fortune 500, si affidano a Proton per proteggere le loro informazioni e conformarsi agli standard di protezione dei dati.
Proteggi i tuoi dati con Proton
Se stai inviando informazioni tramite Proton Mail, memorizzando file in Proton Drive, o gestendo credenziali con Proton Pass, Proton mantiene i tuoi dati sicuri e protetti da accessi non autorizzati.
Privato per impostazione predefinita
Quando usi Proton Mail, le email inviate all’interno della tua organizzazione sono crittografate end-to-end per impostazione predefinita, il che significa che i messaggi e gli allegati sono bloccati sul tuo dispositivo prima di essere trasmessi ai nostri server e possono essere sbloccati e letti solo dal destinatario. Per le email inviate a account non Proton Mail, puoi inviare email protette da password, e la crittografia zero-access è attiva per proteggere automaticamente le email in arrivo.
In ogni caso, i messaggi sono sempre crittografati sui nostri server. Questo significa che anche in caso di violazione del server, le email della tua azienda rimangono sicure e illeggibili da chiunque tranne te, proteggendo le tue informazioni riservate dagli attacchi informatici.
È matematicamente impossibile per Proton decrittografare i tuoi messaggi, file e molti tipi di metadati. (Scopri cosa è crittografato.) E poiché Proton è sede in Svizzera, i pochi dati su di te che vengono raccolti sono protetti dalle leggi sulla privacy svizzere e non sono soggetti a richieste delle forze dell’ordine straniere.
Difendersi dagli hacker
Proton ha anche diversi livelli di difesa contro attacchi informatici potenziali:
- PhishGuard: Il filtro PhishGuard di Proton è progettato per identificare e segnalare tentativi di phishing. Quando viene rilevato un attacco di phishing, vedrai un avviso.
- Autenticazione a due fattori (2FA): Proton Mail offre sicurezza oltre a una semplice password con autenticazione a due fattori (2FA). Proton supporta diversi metodi 2FA, comprese le app di autenticazione e le chiavi di sicurezza fisiche, il che significa che puoi scegliere l’opzione più conveniente e sicura. Con un piano Proton for Business, gli amministratori possono anche imporre l’2FA come obbligatorio per le loro organizzazioni per rafforzare la sicurezza tra i dipendenti.
- Proton Sentinel: Questo è il programma avanzato di protezione account di Proton, disponibile con un piano Proton Mail Professionale o Proton Business Suite. È progettato per fornire la massima sicurezza a chi ne ha bisogno, combinando intelligenza artificiale e analisi umana. Questo è particolarmente utile se sei un dirigente — o qualcuno che si occupa di dati e comunicazioni sensibili. Proton Sentinel offre supporto 24/7 per segnalare tentativi di accesso sospetti agli analisti di sicurezza.
Rimani conforme con Proton
Il nostro obiettivo è rimodellare internet per mettere persone e organizzazioni al controllo dei propri dati.
Passare a Proton Mail è semplice con la nostra funzione Easy Switch, che ti permette di trasferire senza problemi tutte le email, i contatti e i calendari della tua organizzazione da altri servizi senza necessità di formazione per il tuo team.
Il nostro team di supporto è anche disponibile 24/7 per fornire assistenza live in caso avessi bisogno di ulteriore aiuto. Proton Mail, la nostra email crittografata end-to-end, e Proton Drive, il nostro servizio di cloud storage crittografato end-to-end, semplificano il rispetto delle normative sulla protezione dei dati e della privacy.
Usare Proton for Business offre vantaggi aggiuntivi, inclusi:
- Proton Mail: Proteggi le comunicazioni della tua azienda con email crittografata end-to-end, garantendo che solo tu e i tuoi destinatari intendenti possiate leggere i tuoi messaggi.
- Proton VPN(nuova finestra): Proteggi la tua connessione internet e la tua attività online con l’accesso VPN ad alta velocità.
- Proton Calendar: Gestisci il tuo programma con un calendario crittografato che mantiene riservati gli eventi aziendali.
- Proton Pass: Memorizza e gestisci le tue password in modo sicuro con il nostro gestore password crittografato.
- Proton Drive: Memorizza e condividi file in modo sicuro con crittografia end-to-end, garantendo che i tuoi dati rimangano privati e protetti.
Scopri come Proton può semplificare la conformità per la tua organizzazione registrandoti a Proton for Business o contattando il nostro team vendite per soluzioni più personalizzate.
Quando sposti la tua azienda nell’ecosistema Proton, stai proteggendo contemporaneamente te stesso e i dati a te affidati, rimanendo conforme e contribuendo a costruire un futuro in cui la privacy è la norma.
