Para las agencias encargadas de proteger la Información de Justicia Penal (CJI), cumplir con los requisitos de CJIS va más allá de implementar controles de seguridad. Esos controles deben funcionar en los sistemas que el personal utiliza a diario y las agencias deben poder demostrar que son eficaces. Sin embargo, entre sistemas heredados, equipos de TI sobrecargados y necesidades de acceso en constante cambio, incluso las agencias con sólidas prácticas de seguridad pueden tener dificultades para aplicar los controles de manera consistente y mantener la evidencia que los auditores esperan.
Entonces, ¿en qué deberían enfocarse los esfuerzos? En este artículo, analizaremos cinco áreas clave que las agencias deben atender bajo CJIS v6.1, con consejos prácticos para facilitar la gestión del cumplimiento.
Autenticación multifactor
CJIS v6.1 exige autenticación multifactor (MFA) tanto para cuentas privilegiadas como no privilegiadas, según los controles IA-2(1) e IA-2(2), cubriendo accesos locales, de red y remotos. El desafío es garantizar que ninguna cuenta quede desprotegida.
Comience revisando la cobertura de MFA en su entorno, prestando especial atención a las aplicaciones heredadas y las cuentas administrativas. Al implementar MFA, considere métodos resistentes al phishing, como las claves de seguridad FIDO2. También necesitará procesos confiables para inscribir, reemplazar y revocar autenticadores.
Soluciones como Specops Secure Access ayudan a las agencias a cumplir al extender la protección MFA a inicios de sesión de Windows, RDP, RADIUS y acceso sin conexión, con opciones flexibles que incluyen aplicaciones de autenticación y YubiKeys. Sus integraciones de API de eventos también ayudan a proporcionar evidencia para auditorías de cumplimiento.
Recuerde que MFA no es una solución única. Revise sus configuraciones a medida que cambian los sistemas y las necesidades de acceso.
Proteja las contraseñas de Active Directory con Specops Password Policy
El Informe de Investigación de Brechas de Datos de Verizon encontró que las credenciales robadas están involucradas en el 44.7% de las brechas. Asegure Active Directory sin esfuerzo con políticas de contraseñas compatibles, bloqueando más de 4 mil millones de contraseñas comprometidas, mejorando la seguridad y reduciendo las molestias de soporte.
Gestión de cuentas y privilegios
Los permisos de acceso pueden quedar desactualizados rápidamente a medida que los empleados cambian de rol o se van, un riesgo que CJIS v6.1 busca reducir al exigir una gestión efectiva de cuentas y el principio de mínimo privilegio.
Comience manteniendo un inventario preciso de cuentas de usuario, administrativas, de servicio y temporales. Limite los permisos a lo necesario para cada rol, separe los privilegios administrativos de las actividades cotidianas y automatice el aprovisionamiento y la eliminación de cuentas cuando sea posible.
Revise las cuentas y privilegios al menos anualmente. Las cuentas temporales y de emergencia deben eliminarse en un plazo de 72 horas, mientras que las cuentas inactivas durante 90 días deben deshabilitarse en una semana. La clave es hacer de las revisiones de acceso un proceso continuo, no solo un ejercicio anual.
Contraseñas
IA-5 establece un mínimo de ocho caracteres para las contraseñas y es un control de Prioridad 1, por lo que es sancionable desde octubre de 2024. En línea con las recomendaciones de NIST, las agencias deben fomentar frases de contraseña más largas y únicas y utilizar gestores de contraseñas aprobados para reducir la reutilización.
Las agencias también deberían:
- Filtrar contraseñas comprometidas, actualizando las listas de bloqueo al menos trimestralmente y siempre que se sospeche un compromiso.
- Bloquear contraseñas débiles o reutilizadas durante la creación o el restablecimiento.
- Limitar los intentos fallidos de inicio de sesión a no más de cinco por cuenta.
Aquí es donde Specops Password Policy puede ayudar. Simplifica la gestión de políticas de contraseñas en Active Directory, verificando continuamente contra más de 6 mil millones de contraseñas comprometidas y escaneando diariamente en busca de credenciales recién expuestas. Los períodos de gracia personalizables ayudan a reducir los bloqueos innecesarios cuando se encuentra una contraseña comprometida, mientras que las plantillas de cumplimiento y los informes facilitan el seguimiento de su progreso.
Finalmente, verifique los requisitos anuales de cambio de contraseña con su Agencia de Sistemas CJIS, ya que IA-5 todavía especifica un cambio o actualización anual a pesar de que las directrices desaconsejan los restablecimientos innecesarios.
Registro de auditoría
Los registros de auditoría ayudan a las agencias a detectar actividades sospechosas e investigar incidentes de seguridad. Sin embargo, recolectar registros no es suficiente. Las agencias también deben capturar los eventos correctos, revisar los registros regularmente y protegerlos contra manipulaciones.
Comience verificando la cobertura de registro en los sistemas que manejan CJI. Asegúrese de que los registros capturen quién hizo qué y cuándo, así como el resultado. Centralizar los registros en un SIEM puede facilitar la detección de actividades sospechosas.
Preparación para auditorías
Las agencias son auditadas al menos una vez cada tres años, pero se espera que mantengan el cumplimiento entre auditorías. En lugar de apresurarse a reunir evidencia a última hora, es mejor tratar el cumplimiento de CJIS como una responsabilidad continua.
Algunas mejores prácticas incluyen:
- Mantener un inventario de los controles de seguridad aplicables e identificar quién es responsable de implementar, revisar y documentar cada uno.
- Mantener la evidencia organizada, incluidos registros de configuraciones de MFA, revisiones de acceso, registros de auditoría, políticas de seguridad, capacitación y resultados de evaluaciones. Eso facilita demostrar el cumplimiento.
- Documentar las debilidades identificadas y establecer plazos para resolverlas. De acuerdo con CA-5, debe actualizar los planes de remediación al menos cada seis meses o cuando haya nueva información disponible.
- Realizar evaluaciones internas para identificar problemas antes de una evaluación formal.
- Integrar la monitorización de seguridad y las revisiones de cumplimiento en las operaciones diarias de TI, para que los cambios o nuevos riesgos no pasen desapercibidos.
Al hacer de la preparación para auditorías parte de la gestión rutinaria de seguridad, las agencias pueden identificar brechas antes, reducir el trabajo involucrado en las evaluaciones formales y mantener una postura de cumplimiento más sólida entre auditorías.
Fortalezca su postura de cumplimiento de CJIS
El cumplimiento de CJIS no es un ejercicio único. A medida que cambian los sistemas y los riesgos de seguridad, las agencias deben asegurarse de que sus controles sigan el ritmo. Al revisar regularmente los controles y mantener la evidencia organizada, puede facilitar la gestión del cumplimiento mientras fortalece la seguridad de su agencia.
Las contraseñas son un buen punto de partida al evaluar su cumplimiento de CJIS. Pero, ¿cómo saber dónde están las brechas? Specops Password Auditor ofrece un escaneo gratuito y de solo lectura de Active Directory que resalta las brechas en las políticas de contraseñas frente a los requisitos de CJIS y señala riesgos, incluidas las contraseñas comprometidas. Es una forma rápida de ver dónde se encuentra actualmente y qué necesita atención.
Si busca simplificar el cumplimiento de los requisitos de contraseñas y MFA de CJIS, reserve una demostración con Specops y vea cómo podemos ayudar a su agencia a fortalecer la seguridad y mantener el cumplimiento.
Patrocinado y escrito por Specops Software.
Deja una respuesta