La Política de Seguridad CJIS del FBI ha experimentado una evolución significativa. La versión 6.0, publicada el 27 de diciembre de 2024, culminó un proceso de modernización que alineó CJIS con un enfoque basado en controles, en consonancia con NIST SP 800-53. La versión 6.1, dada a conocer el 25 de junio de 2026, refina aún más esta política al corregir omisiones y añadir elementos identificados durante 2025. Para los equipos de seguridad que ya aplican los requisitos de la v6.0, la orientación general se mantiene, pero hay actualizaciones relevantes que deben considerarse, especialmente porque las medidas de cumplimiento son cada vez más rigurosas. Las organizaciones que manejan Información de Justicia Penal (CJI) deben entender estos cambios para mantener sus controles de seguridad y programas de cumplimiento alineados con los estándares más recientes.
¿Qué ha cambiado entre CJIS v6.0 y v6.1?
Uno de los cambios técnicos más claros afecta al cifrado. En el control SC-13, que abarca la protección criptográfica de la CJI en tránsito fuera de una ubicación físicamente segura, la v6.0 especificaba una clave de cifrado simétrico de al menos 128 bits. La versión 6.1 eleva ese requisito a un mínimo de 256 bits. El control SC-28, que protege la CJI en reposo fuera de ubicaciones físicamente seguras, también se ha endurecido y exige una intensidad de cifrado de al menos 256 bits.
Otro cambio notable está en la gestión de vulnerabilidades. Con la v6.0, CJIS requería que las agencias utilizaran herramientas de escaneo de vulnerabilidades al menos trimestralmente para determinar si se habían instalado las actualizaciones de software y firmware relacionadas con la seguridad, así como después de incidentes de seguridad que involucraran CJI. La versión 6.1 modifica esa frecuencia de trimestral a al menos mensual.
¿Cambia la v6.1 los requisitos de auditoría?
La versión 6.1 es ahora la Política de Seguridad CJIS vigente, pero las agencias no deben asumir que su publicación implica un cambio inmediato a una única línea base de auditoría. La política modernizada utiliza niveles de prioridad y fechas de auditoría y sanción por fases, con los controles de Prioridad 1 sujetos a sanción desde el 1 de octubre de 2024. Los controles de Prioridad 2, 3 y 4 están en estado de "ciclo cero" hasta el 30 de septiembre de 2027.
Las Agencias de Sistemas CJIS estatales (CSA) también pueden proporcionar sus propias guías de implementación y evaluación. Por ejemplo, Texas continúa auditando con la versión 5.9.5 hasta el 31 de marzo de 2027, mientras las agencias se preparan para la v6.1. Un paso práctico es confirmar las expectativas de auditoría actuales con la CSA correspondiente mientras se avanza hacia los nuevos requisitos. Esperar a que un control sea sancionable antes de abordarlo puede generar trabajo innecesario más adelante, especialmente cuando los programas de auditoría avanzan hacia una evaluación más continua.
Asegure las contraseñas de Active Directory con Specops Password Policy
El Informe de Investigación de Brechas de Datos de Verizon encontró que las credenciales robadas están involucradas en el 44,7% de las brechas. Asegure Active Directory sin esfuerzo con políticas de contraseñas compatibles, bloqueando más de 4 mil millones de contraseñas comprometidas, mejorando la seguridad y reduciendo las molestias de soporte.
¿Qué encuentran las agencias en las auditorías?
En su reunión de la Junta CJIS de octubre de 2025, la Policía Estatal de Míchigan (MSP) incluyó la autenticación multifactor (MFA) entre sus principales hallazgos de auditoría. Otros problemas recurrentes fueron las nuevas políticas, las políticas y procedimientos de BYOD, la capacitación, los acuerdos de seguridad, el registro de eventos y la toma de huellas dactilares. En la misma reunión se esbozó un alejamiento de la dependencia principal de las visitas de auditoría trienales. El modelo por fases de MSP incluye evaluaciones de seguridad de referencia, reuniones trimestrales, planes de seguridad del sistema, envío seguro de evidencias y revisiones periódicas de progreso, con evaluación continua planificada más adelante en el proceso.
Identificación y Autenticación es una de las familias de controles programadas para evaluación durante el año fiscal 2027. Ese es un punto importante para las agencias que planifican su trabajo CJIS: el cumplimiento depende cada vez más no solo de tener un control, sino de poder demostrar de manera consistente que funciona.
¿Son iguales los requisitos de contraseñas y MFA en CJIS v6.1?
Los requisitos de Identificación y Autenticación en sí no han cambiado materialmente entre la v6.0 y la v6.1. IA-2 exige que los usuarios organizacionales se identifiquen y autentiquen de forma única. Sus mejoras de Prioridad 1 requieren MFA tanto para cuentas privilegiadas como no privilegiadas, independientemente de si el acceso es local, en red o remoto.
Los controles de contraseñas son igualmente explícitos. Según IA-5, las agencias deben mantener una lista de contraseñas de uso común, esperadas o comprometidas, actualizarla al menos trimestralmente y cuando las contraseñas puedan haberse visto comprometidas, y comparar los secretos memorizados actuales con esa lista cada trimestre. También se deben verificar las contraseñas prospectivas contra la lista cuando los usuarios las crean o cambian.
Cómo ayuda Specops con la Identificación y Autenticación de CJIS
Specops ofrece soporte completo para los requisitos de contraseñas y MFA a través de las siguientes soluciones:
- Specops Password Auditor proporciona un buen punto de partida al realizar un escaneo de solo lectura de Active Directory para identificar brechas en las políticas de contraseñas y resaltar contraseñas comprometidas ya en uso. Esto brinda a los equipos de seguridad visibilidad sobre áreas que pueden necesitar remediación antes de una evaluación.
- Specops Password Policy aplica longitud de contraseña y reglas granulares definidas por la organización, al tiempo que verifica las contraseñas contra credenciales comprometidas. Su capacidad Breached Password Protection utiliza una base de datos actualizada continuamente con más de seis mil millones de contraseñas comprometidas, lo que ayuda a las organizaciones a cumplir con el requisito IA-5 de bloquear credenciales de uso común o comprometidas. La retroalimentación dinámica en la pantalla de cambio de contraseña también indica a los usuarios por qué se rechazó una contraseña en lugar de dejarlos adivinar.
- Specops Secure Access aborda otro punto frecuente de dolor en las auditorías al agregar MFA a la autenticación de Windows. Admite inicio de sesión de Windows, RDP y RADIUS, así como autenticación fuera de línea y remota para cuentas privilegiadas y no privilegiadas. Esto lo hace particularmente relevante para los requisitos IA-2(1) e IA-2(2) de MFA. También admite SSO para aplicaciones SaaS y envía eventos de autenticación y seguridad a plataformas SOC, SIEM y de análisis a través de su Event API, lo cual es útil cuando los equipos necesitan tanto una autenticación más sólida como evidencia más clara de cómo funcionan esos controles.
¿Se está moviendo CJIS hacia Zero Trust?
CJIS v6.1 no es un estándar de Zero Trust, pero muchos de sus controles apuntan en una dirección similar. La política hace mayor hincapié en establecer la identidad del usuario, autenticar tanto a usuarios privilegiados como no privilegiados, identificar dispositivos gestionados y aplicar el mínimo privilegio. En lugar de tratar la ubicación de red por sí sola como prueba de confianza, estos controles se centran en verificar quién, y cada vez más qué, solicita acceso.
Eso hace que tecnologías como Specops Device Trust sean un complemento natural para la dirección de la política. Vincular identidades a hardware aprobado y verificar la postura de seguridad del dispositivo puede agregar otra capa de garantía en torno al acceso a sistemas sensibles. Futuras revisiones de CJIS podrían desarrollar más este enfoque, pero las agencias no necesitan esperar para hacerlo. Una identidad sólida, MFA, garantía del dispositivo y acceso restringido ya son formas útiles de reducir el riesgo en torno a la CJI.
Prepárese para CJIS v6.1 cerrando brechas de identidad
CJIS v6.1 puede ser una actualización incremental, pero refuerza un cambio más amplio en cómo se aborda el cumplimiento: controles técnicos más fuertes, verificación más frecuente y más evidencia de que esos controles siguen funcionando. Para las organizaciones que no saben en qué situación se encuentran, revisar la exposición de contraseñas y la cobertura de MFA es un punto de partida práctico. Para ver cómo Specops puede ayudar, reserve una demostración y vea nuestras soluciones en acción.
Patrocinado y escrito por Specops Software.
Deja una respuesta