การปฏิบัติตามข้อกำหนด CJIS และวิธีที่ Proton ปกป้องข้อมูล

หากกำลังเริ่มต้นหรือดำเนินธุรกิจที่ทำงานร่วมกับ ข้อมูลกระบวนการยุติธรรมทางอาญา (CJI) ในฐานะผู้รับจ้างกับหน่วยงานภาครัฐหรือหน่วยงานบังคับใช้กฎหมาย ก็มีแนวโน้มที่จะทราบเกี่ยวกับการปฏิบัติตามข้อกำหนด CJIS compliance อยู่แล้ว

หากไม่ บทความนี้จะช่วยให้เข้าใจว่าการปฏิบัติตามข้อกำหนด CJIS คืออะไร ใครบ้างที่ต้องปฏิบัติตาม และจะสามารถเข้าถึง เครื่องมือและบริการที่เน้นความเป็นส่วนตัวเป็นหลัก เพื่อให้ธุรกิจเป็นไปตามมาตรฐานเหล่านี้ได้อย่างไร

CJIS คืออะไร?

นโยบายความปลอดภัย CJIS(หน้าต่างใหม่) เป็นชุดมาตรฐานความปลอดภัยที่จัดทำโดย FBI (หน้าต่างใหม่)Criminal Justice Information Services(หน้าต่างใหม่) (CJIS) มาตรฐานเหล่านี้ได้รับการออกแบบมาเพื่อปกป้อง CJI ในทุกขั้นตอนของวงจรชีวิต ตั้งแต่การรวบรวม การจัดเก็บ การแชร์ ไปจนถึงการทำลาย

การปฏิบัติตามข้อกำหนด CJIS ไม่เพียงแต่จำเป็นสำหรับองค์กรในสหรัฐอเมริกาเท่านั้น แต่ยังจำเป็นสำหรับธุรกิจระหว่างประเทศที่ทำงานร่วมกับหน่วยงานบังคับใช้กฎหมายหรือรัฐบาลของสหรัฐฯ อีกด้วย การปฏิบัติตามนโยบายความปลอดภัย CJIS ได้กลายเป็นมาตรฐานอุตสาหกรรมสำหรับบริษัทที่จัดการ จัดเก็บ หรือประมวลผล CJI ไปแล้ว

ข้อมูลใดบ้างที่รวมอยู่ใน CJIS?

มีข้อมูลหลายประเภทที่อยู่ภายใต้นโยบาย CJIS:

• ข้อมูลไบโอเมตริกซ์: ข้อมูลที่สกัดจากลักษณะทางกายภาพหรือพฤติกรรม (เช่น ลายนิ้วมือ การจดจำใบหน้า) ที่ระบุตัวตนบุคคล
• ข้อมูลประวัติระบุตัวตน: ข้อมูลข้อความที่ลิงก์กับข้อมูลไบโอเมตริกซ์ ข้อมูลนี้มักใช้เพื่อรวบรวมประวัติการทำกิจกรรมทางอาญา
• ข้อมูลชีวประวัติ: ข้อมูลที่เชื่อมโยงกับคดีเฉพาะ แต่อาจไม่ได้ลิงก์กับข้อมูลระบุตัวตนของบุคคลนั้นเสมอไป
• ข้อมูลทรัพย์สิน: ข้อมูลเกี่ยวกับยานพาหนะและทรัพย์สินที่เกี่ยวข้องกับเหตุการณ์
• ประวัติคดี/เหตุการณ์: ประวัติอาชญากรรมของบุคคล
• ข้อมูลที่ระบุตัวตนของบุคคลได้ (PII): ข้อมูลใดๆ ที่สามารถใช้ระบุตัวตนของบุคคลได้ รวมถึงชื่อ หมายเลขประกันสังคม และบันทึกข้อมูลไบโอเมตริกซ์

หากหน่วยงานบังคับใช้กฎหมายของรัฐ ท้องถิ่น หรือรัฐบาลกลางเข้าถึงข้อมูลกระบวนการยุติธรรมทางอาญาผ่าน FBI จะต้องนำการควบคุมที่เหมาะสมไปใช้ตลอดวงจรชีวิตของข้อมูลทั้งหมด

ใครบ้างที่ต้องปฏิบัติตามข้อกำหนด CJIS?

องค์กรใดก็ตามที่จัดการ CJI รวมถึงหน่วยงานบังคับใช้กฎหมาย ผู้รับจ้างส่วนตัว และผู้ให้บริการคลาวด์ ต้องปฏิบัติตามมาตรฐาน CJIS

แม้ว่าเดิมทีจะเป็นข้อกำหนดของ FBI แต่การปฏิบัติตามข้อกำหนด CJIS ได้กลายเป็นมาตรฐานอุตสาหกรรมไปแล้วเนื่องจากลักษณะที่ละเอียดอ่อนของข้อมูลทั้งหมดที่เกี่ยวข้อง แม้ว่าองค์กรจะไม่ได้ทำงานโดยตรงกับ FBI แต่หากมีการจัดการ CJI ก็ต้องปฏิบัติตามมาตรฐาน CJIS เพื่อดำเนินการต่อโดยไม่มีผลกระทบตามมา

ซึ่งครอบคลุมไปถึง ระบบข้อมูล การสำรองข้อมูล เครือข่าย และอุปกรณ์ เช่น เครื่องพิมพ์ ที่โต้ตอบกับ CJI ซึ่งทั้งหมดนี้ต้องได้รับการปกป้องภายใต้แนวทางปฏิบัติของ CJIS

บริษัทอาจต้องโทษทางแพ่งและทางอาญาของรัฐและรัฐบาลกลางเนื่องจากการเข้าถึงหรือเผยแพร่ข้อมูล CJIS อย่างไม่เหมาะสม โทษเหล่านั้นอาจรวมถึง ค่าปรับ ตลอดจนการระงับ การเพิกถอน หรือการตรวจสอบการเข้าถึง CJIS(หน้าต่างใหม่)

โปรดทราบว่าข้อมูลที่รวบรวมโดยหน่วยงานรัฐบาลใดๆ ที่รวบรวม ประมวลผล หรือใช้ข้อมูลกระบวนการยุติธรรมทางอาญา (CJI) ไม่อยู่ภายใต้การควบคุมของ CJIS เว้นแต่จะได้รับการส่งไปยังระบบ National Data Exchange (N-DEx)(หน้าต่างใหม่)

อย่างไรก็ตาม เมื่อส่งข้อมูลแล้ว ข้อมูลดังกล่าวต้องปฏิบัติตามมาตรฐาน CJIS ระบบ N-DEx เป็นระบบสำคัญสำหรับการแชร์ข้อมูลกระบวนการยุติธรรมทางอาญาระหว่างหน่วยงานต่างๆ ช่วยให้จัดการข้อมูลดังกล่าวได้อย่างปลอดภัยและสม่ำเสมอ

หน่วยงานตรวจสอบ Criminal Justice Information Services (CJIS) Audit Unit (CAU) ปกป้องความถูกต้องของข้อมูลกระบวนการยุติธรรมทางอาญาโดยการตรวจสอบหน่วยงานต่างๆ ที่ใช้ระบบและโปรแกรมของ CJIS หน่วยงานเหล่านั้น ได้แก่(หน้าต่างใหม่):

• CSA และแหล่งเก็บข้อมูลของรัฐ
• สำนักงานโปรแกรม UCR ของรัฐ
• CSA ของรัฐบาลกลาง
• หน่วยงานที่ควบคุมโดยรัฐบาลกลาง
• หน่วยงานภายในดินแดนของสหรัฐอเมริกาที่มีการเชื่อมต่อ Wide Area Network
• ผู้ให้บริการข้อมูลที่ได้รับอนุมัติจาก FBI (ผู้รับจ้างที่ได้รับเลือกโดย FBI ซึ่งอำนวยความสะดวกในการส่งลายนิ้วมือทางอิเล็กทรอนิกส์สำหรับการตรวจสอบประวัติที่ไม่ใช่คดีอาญาในนามของผู้รับที่ได้รับอนุญาต)
• ผู้รับที่ได้รับอนุญาตของข้อมูลบันทึกประวัติอาชญากรรม
• ทะเบียนผู้กระทำความผิดทางเพศ
• ผู้ให้บริการข้อมูลระบุตัวตนของพอร์ทัล Law Enforcement Enterprise
• ส่วนประกอบใดๆ ของ FBI

สำหรับการปฏิบัติตามข้อกำหนด CJIS การเข้ารหัสลับคือหัวใจสำคัญ

ในการเข้าถึงฐานข้อมูล CJIS องค์กรต่างๆ ต้องปฏิบัติตามมาตรฐานความปลอดภัยหลายประการ รวมถึงการใช้งาน การยืนยันตัวตนแบบหลายปัจจัย (MFA) เพื่อตรวจสอบยืนยันข้อมูลระบุตัวตนของผู้ใช้ การรักษาการควบคุมการเข้าถึงที่เข้มงวดเพื่อจำกัดผู้ที่สามารถดูหรือแก้ไขข้อมูลที่ละเอียดอ่อน และการบังคับใช้มาตรการรักษาความปลอดภัยทางกายภาพเพื่อปกป้องระบบและอุปกรณ์ที่จัดการ CJI

อย่างไรก็ตาม การเข้ารหัสลับ เป็นกุญแจสำคัญในการปฏิบัติตามข้อกำหนดของ CJIS

การเข้ารหัสลับคืออะไร?

การเข้ารหัสลับ คือวิธีปิดบังข้อมูลเพื่อให้ไม่มีใครเข้าถึงได้ยกเว้นผู้ที่ข้อมูลนั้นมีเจตนาส่งถึง ซึ่งทำได้ด้วยโปรแกรมคอมพิวเตอร์ที่ใช้อัลกอริทึมทางคณิตศาสตร์ในการล็อกและปลดล็อกข้อมูล

มีสองส่วนในนโยบายความปลอดภัยของ CJIS ที่ระบุถึงการเข้ารหัสลับอย่างชัดเจน:

• ส่วนที่ 5.10.1.2.1: เมื่อมีการรับส่ง CJI นอกขอบเขตของตำแหน่งที่ปลอดภัยทางกายภาพ ข้อมูลจะต้องได้รับการปกป้องทันทีผ่านการเข้ารหัสลับ เมื่อมีการใช้งานการเข้ารหัสลับ โมดูลวิทยาการเข้ารหัสลับที่ใช้จะต้องได้รับการรับรอง FIPS 140-2 และใช้รหัสลับแบบสมมาตรที่มีความยาวคีย์อย่างน้อย 128 บิตเพื่อปกป้อง CJI
• ส่วนที่ 5.10.1.2.2: เมื่อ CJI อยู่ในสถานะพัก (นั่นคือ ที่จัดเก็บในรูปแบบดิจิทัล) นอกขอบเขตของตำแหน่งที่ปลอดภัยทางกายภาพ ข้อมูลจะต้องได้รับการปกป้องผ่านการเข้ารหัสลับ เมื่อมีการใช้งานการเข้ารหัสลับ หน่วยงานต่างๆ จะต้องเข้ารหัส CJI ตามมาตรฐานในส่วนที่ 5.10.1.2.1 ด้านบน หรือใช้รหัสลับแบบสมมาตรที่ได้รับการรับรอง FIPS 197 (AES) และมีความยาวคีย์อย่างน้อย 256 บิต

การเข้ารหัสลับช่วยให้แน่ใจได้ว่า CJI จะได้รับการปกป้องทั้งในสถานะพักและระหว่างการส่ง น่าเสียดายที่บริการออนไลน์หลายแห่ง เช่น สำหรับ พื้นที่จัดเก็บข้อมูลบนคลาวด์ และ อีเมล ไม่ได้ใช้ การเข้ารหัสลับจากต้นทางถึงปลายทาง เป็นค่าเริ่มต้น ซึ่งทำให้ข้อมูลเปราะบางในระหว่างการรับส่ง

Proton ได้รับการสร้างขึ้นในปี 2014 เพื่อตอบสนองความต้องการนี้ โดยได้รับการพัฒนาโดยนักวิทยาศาสตร์ที่พบกันที่ CERN (องค์การเพื่อการวิจัยนิวเคลียร์แห่งยุโรป) ในสวิตเซอร์แลนด์ Proton ช่วยรักษาความปลอดภัยให้อีเมล ไฟล์ รหัสผ่าน และข้อมูลที่ละเอียดอ่อนอื่นๆ ด้วยการเข้ารหัสลับจากต้นทางถึงปลายทางที่แข็งแกร่งในรูปแบบที่ใช้งานง่ายสำหรับทุกคน ปัจจุบันผู้ใช้กว่า 100 ล้านราย รวมถึงรัฐบาล หน่วยงานทางทหาร และบริษัทในกลุ่ม Fortune 500 ต่างไว้วางใจให้ Proton รักษาความปลอดภัยของข้อมูลและปฏิบัติตามมาตรฐานการคุ้มครองข้อมูล

ปกป้องข้อมูลด้วย Proton

ไม่ว่าจะส่งข้อมูลผ่าน Proton Mail จัดเก็บไฟล์ใน Proton Drive หรือจัดการข้อมูลยืนยันตัวตนด้วย Proton Pass Proton จะรักษาข้อมูลให้ปลอดภัยและได้รับการปกป้องจากการเข้าถึงที่ไม่ได้รับอนุญาต

เป็นส่วนตัวโดยค่าเริ่มต้น

เมื่อใช้งาน Proton Mail อีเมลที่ส่งภายในองค์กรจะได้รับการ เข้ารหัสลับจากต้นทางถึงปลายทาง เป็นค่าเริ่มต้น ซึ่งหมายความว่าข้อความและไฟล์แนบจะถูกล็อกบนอุปกรณ์ก่อนที่จะส่งไปยังเซิร์ฟเวอร์ และมีเพียงผู้รับเท่านั้นที่สามารถปลดล็อกและอ่านได้ สำหรับอีเมลที่ส่งไปยังบัญชีที่ไม่ได้ใช้ Proton Mail สามารถส่ง อีเมลที่ได้รับการปกป้องด้วยรหัสผ่าน ได้ และมีการใช้งาน การเข้ารหัสลับแบบไม่มีการเข้าถึงข้อมูล เพื่อรักษาความปลอดภัยของอีเมลที่ส่งเข้ามาโดยอัตโนมัติ

ไม่ว่าจะในกรณีใดก็ตาม ข้อความจะได้รับการเข้ารหัสบนเซิร์ฟเวอร์เสมอ ซึ่งหมายความว่าแม้ในกรณีที่เกิดการละเมิดข้อมูลเซิร์ฟเวอร์ อีเมลของบริษัทจะยังคงปลอดภัยและไม่มีใครสามารถอ่านได้ยกเว้นตนเอง ซึ่งช่วยปกป้องข้อมูลที่เป็นความลับจากการโจมตีทางไซเบอร์

เป็นไปไม่ได้ในทางคณิตศาสตร์ที่ Proton จะถอดรหัสข้อความ ไฟล์ และข้อมูลเมตาหลายประเภท (ดูว่าสิ่งใดบ้างที่ได้รับการเข้ารหัส) และเนื่องจาก Proton ตั้งอยู่ในสวิตเซอร์แลนด์ ข้อมูลเล็กๆ น้อยๆ ที่จัดเก็บจึงได้รับการ ปกป้องโดยกฎหมายความเป็นส่วนตัวของสวิส และไม่ต้องปฏิบัติตามคำขอการบังคับใช้กฎหมายของต่างประเทศ

ป้องกันแฮกเกอร์

Proton ยังมีระบบป้องกันหลายชั้นเพื่อรับมือกับการโจมตีทางไซเบอร์ที่อาจเกิดขึ้น:

• PhishGuard: ตัวกรอง PhishGuard ของ Proton ได้รับการออกแบบมาเพื่อระบุและทำเครื่องหมายความพยายามในการทำฟิชชิ่ง และเมื่อตรวจพบการโจมตีแบบฟิชชิ่ง จะเห็นคำเตือน
• การยืนยันตัวตนผ่านสองขั้นตอน (2FA): Proton Mail มอบความปลอดภัยที่เหนือกว่าเพียงแค่รหัสผ่านด้วยการยืนยันตัวตนผ่านสองขั้นตอน (2FA) โดย Proton รองรับวิธี 2FA หลายวิธี รวมถึงแอปยืนยันตัวตนและคีย์รักษาความปลอดภัยทางกายภาพ ซึ่งหมายความว่าสามารถเลือกตัวเลือกที่สะดวกและปลอดภัยที่สุดได้ ด้วยแผน Proton for Business ผู้ดูแลระบบยังสามารถบังคับใช้ 2FA เป็นข้อกำหนดขั้นบังคับสำหรับองค์กรเพื่อเพิ่มความปลอดภัยให้กับพนักงานได้ด้วย
• Proton Sentinel: นี่คือโปรแกรมปกป้องบัญชีขั้นสูงของ Proton ซึ่งมีให้ใช้งานในแผน Proton Mail Professional หรือ Proton Business Suite โดยได้รับการออกแบบมาเพื่อให้ความปลอดภัยสูงสุดสำหรับผู้ที่ต้องการความปลอดภัยเป็นพิเศษโดยการรวม AI เข้ากับการวิเคราะห์โดยมนุษย์ ซึ่งมีประโยชน์อย่างยิ่งสำหรับผู้บริหาร หรือผู้ที่ต้องจัดการกับข้อมูลและการสื่อสารที่ละเอียดอ่อน Proton Sentinel เสนอการสนับสนุนตลอด 24/7 เพื่อรายงานความพยายามในการเข้าสู่ระบบที่น่าสงสัยไปยังนักวิเคราะห์ความปลอดภัย

ปฏิบัติตามข้อกำหนดอยู่เสมอด้วย Proton

เป้าหมายคือการปรับเปลี่ยนรูปแบบอินเทอร์เน็ตเพื่อให้ผู้คนและองค์กรต่างๆ สามารถควบคุมข้อมูลของตนเองได้

การเปลี่ยนมาใช้ Proton Mail เป็นเรื่องง่ายด้วยคุณสมบัติ Easy Switch ที่ช่วยให้สับเปลี่ยนอีเมล ผู้ติดต่อ และปฏิทินทั้งหมดขององค์กรจากบริการอื่นๆ ได้อย่างราบรื่นโดยที่ทีมงานไม่จำเป็นต้องเข้ารับการฝึกอบรมใดๆ

ทีมฝ่ายสนับสนุนพร้อมให้บริการตลอด 24/7 เพื่อช่วยเหลือแบบสดหากต้องการความช่วยเหลือเพิ่มเติม Proton Mail ซึ่งเป็นอีเมลที่เข้ารหัสลับจากต้นทางถึงปลายทาง และ Proton Drive ซึ่งเป็นบริการ พื้นที่จัดเก็บข้อมูลบนคลาวด์ ที่เข้ารหัสลับจากต้นทางถึงปลายทาง ช่วยให้การปฏิบัติตามข้อกำหนดการคุ้มครองข้อมูลและความเป็นส่วนตัวเป็นเรื่องง่าย

การใช้งาน Proton for Business มอบประโยชน์เพิ่มเติมดังนี้:

• Proton Mail: ปกป้องการสื่อสารทางธุรกิจด้วยอีเมลที่เข้ารหัสลับจากต้นทางถึงปลายทาง เพื่อให้มั่นใจว่ามีเพียงผู้รับที่กำหนดเท่านั้นที่สามารถอ่านข้อความได้
• Proton VPN: รักษาความปลอดภัยในการเชื่อมต่ออินเทอร์เน็ตและปกป้องกิจกรรมออนไลน์ด้วยการเข้าถึง VPN ความเร็วสูง
• Proton Calendar: จัดการตารางเวลาด้วยปฏิทินที่เข้ารหัสซึ่งจะช่วยรักษากิจกรรมทางธุรกิจให้เป็นส่วนตัว
• Proton Pass: จัดเก็บและจัดการรหัสผ่านอย่างปลอดภัยด้วยโปรแกรมจัดการรหัสผ่านที่เข้ารหัส
• Proton Drive: จัดเก็บและ แชร์ไฟล์ทางธุรกิจ อย่างปลอดภัยด้วยการเข้ารหัสลับจากต้นทางถึงปลายทาง เพื่อให้มั่นใจว่าข้อมูลจะยังคงเป็นส่วนตัวและได้รับการปกป้อง

เมื่อย้ายธุรกิจเข้าสู่ระบบนิเวศของ Proton จะเป็นการปกป้องตนเองและข้อมูลที่ได้รับความไว้วางใจไปพร้อมกัน ทั้งยังช่วยให้ปฏิบัติตามข้อกำหนด และร่วมสร้างอนาคตที่ความเป็นส่วนตัวเป็นค่าเริ่มต้น