Uso de AWS para las soluciones de información de justicia penal

La política de seguridad de CJIS describe los “controles apropiados para proteger el ciclo de vida completo de la CJI (información de justicia penal), ya sea en reposo o en tránsito”, independientemente del modelo de tecnología de la información subyacente. Con el uso de soluciones creadas en AWS, las agencias pueden administrar y proteger sus aplicaciones y datos en la nube de AWS.

AWS proporciona componentes básicos que las agencias de seguridad pública y sus socios de aplicaciones pueden usar para crear aplicaciones altamente disponibles, resilientes y seguras en consonancia con la política de seguridad de CJIS. Los clientes de AWS mantienen la propiedad y el control total de sus datos, lo que se consigue mediante el acceso a herramientas sencillas, potentes y nativas de la nube que les permiten administrar todo el ciclo de vida de los datos sensibles de los clientes. Los clientes ejercen un control exclusivo sobre el lugar donde se almacenan los datos y los métodos usados para asegurar los datos en tránsito y en reposo; asimismo, administran el acceso a sus sistemas de información creados en AWS.

La protección adecuada de la información de justicia penal (CJI) y el mantenimiento del cumplimiento de la política de seguridad de CJIS requiere una serie de controles de seguridad destinados a garantizar que solo las personas autorizadas tengan acceso a la CJI. El principio del mínimo privilegio es uno de los pilares fundamentales de la política de seguridad de CJIS según el estándar de “necesidad de saber, derecho a saber”. Los clientes de AWS pueden hacer valer el menor privilegio; para ello, deben cifrar de forma segura su CJI y limitar todo acceso a ella solo a aquellos que tengan acceso a las claves de cifrado. Los clientes disponen de servicios y herramientas de AWS que permiten a sus agencias y socios de confianza conservar por completo el control y la propiedad de sus propios datos de justicia penal, como AWS Key Management Service (KMS) y AWS Nitro System.

AWS KMS usa módulos de seguridad de hardware (HSM) que han sido validados según la norma FIPS 140-2 y permiten a los clientes crear, poseer y administrar sus propias claves principales para todo el cifrado. Estas claves principales de cliente nunca abandonan los módulos de seguridad de hardware validados por la norma FIPS de AWS KMS sin cifrar y el personal de AWS no pueden verlas.

El AWS Nitro System usa servidores creados específicamente para ejecutar un hipervisor informático virtual, nada más, al eliminar todos los puertos, componentes y capacidades adicionales e innecesarios que se encuentran en los servidores tradicionales. El modelo de seguridad del AWS Nitro System está bloqueado y prohíbe el acceso administrativo, lo que elimina la posibilidad de errores humanos y alteraciones. Los clientes también pueden elegir AWS Nitro Enclaves, que no cuenta con almacenamiento persistente, ni acceso interactivo, ni redes externas para crear entornos informáticos aislados para proteger y procesar de forma segura los datos altamente sensibles.

Los avances tecnológicos del AWS Nitro System y el AWS Key Management Service, que usan módulos de seguridad de hardware validados por la norma FIPS 140-2 para las claves de cifrado simétricas, han eliminado la necesidad de recurrir al método tradicional de confiar en la seguridad física y las comprobaciones de antecedentes como forma de calificar el “acceso” de una persona a la CJI no cifrada. Aunque el enfoque tradicional puede ayudar a lograr un cumplimiento mínimo de la política de seguridad de CJIS, no se compara con la seguridad que se puede lograr con las prácticas de cifrado sólidas y la implementación de principios de “privilegios mínimos” para restringir el acceso a la CJI a aquellos con “necesidad de saber, derecho a saber” y su autorización explícita. Esto permite a los clientes y a los proveedores de aplicaciones crear soluciones que eliminan el acceso físico y lógico de todos los empleados de AWS a la CJI y a los dispositivos que almacenan, procesan y transmiten CJI.