我想了解有关云中的 CJIS 的信息

 

 

AWS 上的 CJIS

AWS 符合 FBI 刑事司法信息服务 (CJIS) 的标准。我们与客户签署了 CJIS 安全协议,包括根据 CJIS 安全政策允许或执行任何要求的员工背景调查。

AWS 采用安全计划模板格式创建了与 CJIS 政策领域一致的刑事司法信息服务 (CJIS) 业务手册

执法部门的客户(以及管理 CJI 的合作伙伴)正在利用 AWS 服务,他们希望通过 AWS 的高级安全服务和功能显著改善 CJI 数据的安全性和保护,这些服务和功能包括活动日志记录 (AWS CloudTrail)、对运转数据和静态数据的加密(S3 服务器端加密,可选择使用自己的密钥)、全面的密钥管理和保护(AWS Key Management ServiceCloudHSM)以及综合权限管理(IAM 联合身份管理、多重验证)等。


CJI 是指 FBI CJIS 向执法机构提供的、其履行使命和执行法律所必需的数据,如生物特征、身份历史、个人、组织、财产以及案件/事件历史数据。CJI 也指民事机构履行他们的使命所必需的数据,包括用于决定是否聘用的数据。

AWS 上的 CJIS 合规性

适用于 AWS 的 CJIS 业务手册

CJIS 安全政策与要求(以下简称“政策”)反映了 FBI CJIS、CJIS 系统机构 (CSA) 及国家鉴定局 (SIB) 在合法使用和恰当保护刑事司法信息 (CJI) 方面的共同责任。该政策为当前和计划的服务提供了安全性要求的基准,而现有制度为新计划设定了最低标准。与该政策相一致,我们正在发挥着作为一家云服务提供商的作用,即通过我们的服务为客户提供相关方法,以使其符合 CJIS 对 AWS 中 IT 环境的要求。

可以。为了满足 CJIS 客户的需求,AWS 云基础设施的架构已设计为最为灵活、安全的可用云计算环境之一。客户可以部署应用程序、数据和服务,所有这些都完全符合 CJIS 安全政策的要求。

AWS CJIS 安全政策业务手册

与我们的其他合规性框架类似,CJIS 政策采用的是 AWS 和我们的客户分担责任的模式。使用符合 CJIS 安全要求的云服务并不意味着您的环境在 CSP 安全态势的覆盖范围内。使用 AWS 时,您仍然必须:

  • 审查政策要求,以确定哪些要求正好适用于您的环境
  • 实施解决方案(如有必要),以满足所有这些要求
  • 根据适用的控制要求评估和审核解决方案
  • 通过 AWS CJIS 业务手册向您的客户机构提交 CJIS 文档,以供审查并获得 CJIS 的正式授权。

最后,在支持客户 CJIS 工作负载方面还有几个关键点:

  • 安全是共同责任 – 由于 AWS 并不管理客户的环境或数据,这就意味着您有责任在 AWS 环境中贯彻适用的 CJIS 安全政策要求,并使之高于 AWS 在基础设施中贯彻的安全要求。
  • 静态数据的加密至关重要 – AWS 提供了多种“关键”资源来帮助您获得这一重要解决方案。从可帮助您的解决方案架构师到我们的加密静态数据白皮书,AWS 努力为您提供实施安全解决方案所需的资源。
  • AWS 可直接满足适用于 AWS 基础设施的相关 CJIS 安全政策的要求。由于 AWS 提供的是完全由客户管理的自助配置平台,所以 AWS 不直接受制于 CJIS 安全政策。但我们会尽力维护世界级云安全和合规性计划,以支持客户的需求。在经第三方评估的框架(如 FedRAMP)的支持下,加上经 FedRAMP 认可的 3PAO 的现场数据中心审核,AWS 证明了其符合适用的 CJIS 要求。
  • 本着共同责任理念的精神,AWS 提供了与 CJIS 政策领域一致的 CJIS 安全政策业务手册(通过系统安全计划模板)。该业务手册旨在帮助客户系统地记录他们对 CJIS 要求的贯彻情况,并为其提供贯彻每项要求的 AWS 方法(连同有关提交文档以供审查并获得授权的指导)。该业务手册可供客户使用
  • AWS 提供了可支持 CJIS 工作负载的多项内置安全功能,如:
    o 使用带多重验证的 AWS Identity and Access Management (IAM) 进行安全访问
    o 借助 AWS 提供的选项或客户维护的选项进行加密数据存储
    o 通过 S3 日志记录AWS CloudTrailAmazon CloudWatchAWS Trusted Advisor 进行日志记录和监控
    o 通过 AWS CloudHSMAWS Key Management Service (KMS) 进行集中的、由客户控制的密钥管理

与 AWS 支持的许多合规性框架不同,没有主要的 CJIS 授权机构、公认的独立评估人或标准化的评估方法来确定特定的解决方案是否“符合 CJIS”。简而言之,不存在适用于所有执法机构的标准化“CJIS 合规”解决方案。

相反,每个授予 CJIS 授权的执法机构应根据各自的风险接受标准(可理解为符合 CJIS 要求)解释解决方案。一个州的授权不能与另一个州实行互惠(甚至在同一个州内也不一定可以);提供商必须提交解决方案以与每个机构授权官员一同进行审核,在此过程中可能会涉及重复的指纹、背景调查以及其他州/管辖区的具体要求。

每一个授权都是与特定组织达成的协议;是必须在每个执法机构当地执行的条款。AWS 不会自吹自擂,因此我们不会笼统地声明我们满足“CJIS 合规性”。虽然某个州或机构可能已从自身角度确定 AWS 符合 CJIS,但还没有适用于所有执法部门的 CJIS 认证。

当然有。我们有多个合作伙伴解决方案,它们可以收集、传输、管理和共享与执法部门互动相关的数字证据(如视频和音频文件)。AWS 还与提供电子授权服务的合作伙伴合作,通过这些服务创设领域权证、传送权证以供审批并以电子方式在多个州、县和市执法机构发行。此外,AWS 还支持执法机构管理与示威游行、公众集会以及一般警民互动相关的警方视频,以通过公共门户创建透明度,从而在执法机构内部建立信任和透明度。

 

联系我们