CJIS 合规以及 Proton 如何保护您的数据

如果您作为政府或执法机构的承包商经营着一家处理刑事司法信息（CJI）的企业，那么您很可能已了解CJIS 合规。

如果不了解，本文将帮助您理解什么是 CJIS 合规、谁需要遵守相关规定，以及如何访问隐私优先的工具和服务，让您的企业达到这些标准。

CJIS 是什么？

CJIS 安全策略（新窗口）是由 FBI （新窗口）刑事司法信息服务（新窗口）（CJIS）部门制定的一套安全标准。这些标准旨在保护 CJI 生命周期各阶段的安全——从收集到存储空间，再到分享和销毁。

CJIS 合规不仅对美国本土组织至关重要，对于与美国执法或政府机构合作的国际企业同样重要。对于处理、存储或使用 CJI 的企业而言，遵守 CJIS 安全策略已成为行业标准。

CJIS 包括哪些数据？

CJIS 策略涵盖多种类型的信息：

生物特征数据：从身体或行为特征（例如指纹、面部识别）中提取的、可识别个人身份的数据。
身份历史数据：与生物特征数据相关联的文本数据。这些数据通常用于汇编犯罪活动历史。
个人履历数据：与特定案件相关的信息，但不一定与个人身份相关联。
财产数据：与事件相关的车辆和财产信息。
案件/事件历史：某人的犯罪历史。
个人身份信息（PII）：任何可用于识别个人身份的信息，包括姓名、社会安全号和生物特征记录

如果州、地方或联邦执法机构通过 FBI 访问刑事司法信息，则必须在其整个生命周期中应用适当的控制措施。

谁需要遵守 CJIS？

任何处理 CJI 的组织，包括执法机构、私人承包商和云服务提供商，都必须遵守 CJIS 标准。

虽然这主要是 FBI 的要求，但由于所涉数据的敏感性，CJIS 合规实际上已成为行业标准。即使组织不直接与 FBI 合作，只要处理 CJI，也必须遵守 CJIS 标准，才能不受影响地继续运营。

这同样适用于与 CJI 交互的数据系统、备份、网络和设备，例如打印机，这些都必须根据 CJIS 指南受到保护。

企业如不当访问或传播 CJIS 数据，可能面临联邦和州的民事及刑事处罚。这些处罚可能包括罚款，以及暂停、撤销或监控 CJIS 访问权限（新窗口）。

需要注意的是，任何收集、处理或使用刑事司法信息（CJI）的政府实体所收集的信息，均不受 CJIS 控制约束，除非该信息已提交至National Data Exchange（N-DEx）（新窗口）系统。

但信息一经提交，就必须遵守 CJIS 标准。N-DEx 是跨机构分享刑事司法信息的关键系统，可确保这些数据得到安全且一致的管理。

刑事司法信息服务（CJIS）审计部门（CAU）通过审计使用 CJIS 系统和项目的机构来保护刑事司法信息的完整性。这些机构包括（新窗口）：

州 CSA 和存储库
州 UCR 项目办公室
联邦 CSA
联邦监管机构
美国领地内拥有广域网连接的机构
FBI 认可的渠道商（由 FBI 选定的承包商，代表授权收件人以电子方式提交指纹，用于非刑事司法背景调查）
犯罪历史记录信息的授权收件人
性犯罪者登记系统
执法企业门户身份提供商
FBI 的任何组成部门

对于 CJIS 合规而言，加密是关键

要访问 CJIS 数据库，组织必须遵守一系列安全标准，包括实施多因素身份验证（MFA）以验证用户身份、维持严格的访问控制以限制谁可以查看或更改敏感数据，以及执行物理安全措施以保护处理 CJI 的系统和设备。

然而，加密是 CJIS 合规的关键。

什么是加密？

加密是一种隐藏信息的方法，除目标接收者外，任何人都无法访问这些信息。这是通过使用数学算法来锁定和解锁信息的计算机程序实现的。

CJIS 安全策略中有两个章节明确提到了加密：

第 5.10.1.2.1 节：当 CJI 在物理安全位置边界之外传输时，必须立即通过加密保护数据。采用加密时，所使用的加密模块必须通过 FIPS 140-2 认证，并使用强度至少为 128 位的对称密码密钥来保护 CJI。
第 5.10.1.2.2 节：当 CJI 以静态形式（即以数字方式已存储）存在于物理安全位置边界之外时，必须通过加密保护数据。采用加密时，机构应按照上文第 5.10.1.2.1 节中的标准对 CJI 进行加密，或使用通过 FIPS 197 认证（AES）且强度至少为 256 位的对称密码。

加密有助于确保 CJI 在静态存储和传输过程中都受到保护。遗憾的是，许多在线服务，例如云存储空间和电子邮件服务，默认并不使用端到端加密，导致数据在传输过程中容易受到攻击。

我们于 2014 年创建了 Proton，正是为了满足这一需求。Proton 由在瑞士 CERN（欧洲核子研究组织）相识的科学家开发，凭借强大的端到端加密来保护敏感的电子邮件、文件、密码和其他数据，同时任何人都能轻松使用。如今，包括政府、军队和财富 500 强企业在内的超过 1 亿用户信任 Proton 来保护他们的信息并遵守数据保护标准。

使用 Proton 保护您的数据

无论您是通过 Proton Mail 发送信息、在 Proton Drive 中存储文件，还是使用 Proton Pass 管理凭证，Proton 都能确保您的数据安全，防止未经授权的访问。

默认私有

使用 Proton Mail 时，组织内发送的电子邮件默认进行端到端加密，这意味着消息和附件在传输到我们的服务器之前会先在您的设备上锁定，只有收件人才能解锁和阅读。对于发送到非 Proton Mail 帐户的电子邮件，还可以发送密码保护的电子邮件，同时系统采用零访问加密自动保护收到的电子邮件。

无论如何，消息在我们的服务器上始终是已加密的。这意味着即使发生服务器泄露事件，您公司的电子邮件仍然安全，除您之外任何人都无法读取，从而保护您的机密信息免受网络攻击。

从数学上讲，Proton 不可能解密您的消息、文件和多种元数据。（了解哪些内容是已加密的。）此外，由于 Proton 总部位于瑞士，所收集的有关您的少量数据受瑞士隐私法保护，且不受外国执法要求的约束。

抵御黑客

Proton 还拥有多层防御机制来应对潜在的网络攻击：

PhishGuard：Proton 的 PhishGuard 过滤器旨在识别并标记网络钓鱼企图。当检测到网络钓鱼攻击时，您会看到警告。
双因素身份验证（2FA）：Proton Mail 通过双因素身份验证（2FA）提供超越密码的安全性。Proton 支持多种双重验证（2FA）方法，包括身份验证器应用和实体安全密钥，这意味着您可以选择最方便、最安全的选项。使用 Proton for Business 套餐，管理员还可以在其组织中强制执行双重验证，以加强员工之间的安全性。
Proton Sentinel：这是 Proton 的高级帐户保护计划，适用于 Proton Mail Professional 或 Proton Business Suite 套餐。它通过结合 AI 与人工分析，为有需要的用户提供最高级别的安全性。如果您是高管，或者需要处理敏感数据和通信，这项功能尤为实用。Proton Sentinel 提供 24/7 全天候支持，将可疑的登录尝试上报给安全分析师。