Criminal Justice Information Services (CJIS)

概要

CJIS_Logo

AWS は、米国連邦捜査局 (FBI) の Criminal Justice Information Services (CJIS) セキュリティポリシーに準拠しています。また、CJIS セキュリティポリシーに沿って従業員の必要な身元調査を許可および実行するなどの内容を盛り込んだ、CJIS セキュリティ契約をお客様と締結しています。

AWS は、CJIS ポリシー適用領域に合わせたセキュリティ計画テンプレート形式で、Criminal Justice Information Services (CJIS) ワークブックスプレッドシートを作成しています。

Criminal Justice Information (CJI) を管理する法執行機関のお客様とパートナーは、AWS のサービスを活用して CJI データのセキュリティと保護を大幅に向上させています。AWS が備える高度なセキュリティサービスと機能には、アクティビティのログ記録 (AWS CloudTrail)、転送中のデータと保存データの暗号化 (Bring Your Own Key オプション対応の S3 サーバーサイド暗号化)、包括的なキーの管理と保護 (AWS Key Management ServiceCloudHSM)、アクセス権限管理の統合 (IAM フェデレーション認証管理と多要素認証) などがあります。

  • Criminal Justice Information とは何ですか?

    Criminal Justice Information (CJI) とは、法執行機関が任務を実行し、法律を施行するために必要になるデータのことであり、例えば、生体認証情報、犯罪歴、個人、組織、資産、訴訟/事故の履歴といったデータがあります。また、雇用を決定する際に使用するデータなど、民間機関が任務を実行するのに必要なデータを指すこともあります。

  • CJIS セキュリティポリシーとは何ですか?

    CJIS セキュリティポリシー (以下、「ポリシー」) に、Criminal Justice Information (CJI) の合法的な使用と適切な保護に関する FBI CJIS、CJIS Systems Agency (CSA)、および State Identification Bureaus (SIB) の間の責任共有について明記されています。ポリシーでは、現在および将来のサービスに対するセキュリティ要件のベースラインが規定され、新しい取り組みに対する最低基準が定められています。AWS では、ポリシーと調和して、クラウドサービスプロバイダーとしての責任を果たし、AWS の各種サービスによって、AWS の IT 環境で CJIS 要件に準拠する手段を提供しています。

  • AWS を CJIS に使用できますか?

    はい。CJIS に関係するお客様のニーズを満たすため、AWS クラウドインフラストラクチャは、最も柔軟で安全なクラウドコンピューティング環境の 1 つとなるように設計されてきました。お客様は、CJIS セキュリティポリシーの要件に確実に準拠したアプリケーション、データ、サービスをデプロイできます。

  • AWS で CJIS 準拠のアプリケーションやサービスを構築する際に考慮すべきことは何ですか?

    AWS の他のコンプライアンスフレームワークと同様、CJIS セキュリティポリシーでも AWS とお客様の間で責任共有モデルが使用されます。詳細については、AWS 責任共有モデルウェブページをご覧ください。

    CJIS セキュリティ要件に準拠したクラウドサービスプロバイダー (CSP) を使用しているからといって、自動的に CSP のセキュリティ体制に対応した環境になるわけではありませんAWS を使用するお客様は、次のことを行う必要があります。

    • CJIS セキュリティポリシーの要件を確認して、お客様の環境に直接該当する項目を特定する。
    • それらの各要件に対応するためのソリューション (必要な場合) を実装する。
    • 該当する統制の要件に照らしてそのソリューションを評価し監査する。
    • AWS CJIS ワークブックを使用して CJIS ドキュメントをお客様の機関に提出し、審査と正式な CJIS 認証を受ける。

    最後に、お客様の CJIS ワークロードをサポートするための重要なポイントがいくつかあります。

    • セキュリティは、共有される責任であり、AWS はお客様の環境もデータも管理しません。つまり、該当する CJIS セキュリティポリシー要件を AWS 環境に実装する責任はお客様にあります。AWS が管理するのは、AWS インフラストラクチャへのセキュリティ要件の実装のみです。
    • 保存データの暗号化は不可欠です。AWS は、この重要なソリューションの実現を支援するためにいくつかのリソースを提供しています。例えば、お客様をサポートするソリューションアーキテクトや、Encrypting Data at Rest ホワイトペーパーを提供しています。
    • AWS インフラストラクチャに適用される CJIS セキュリティポリシー要件については、AWS が直接対応します。お客様がすべてを管理する AWS のセルフプロビジョンドプラットフォームの場合、AWS は CJIS セキュリティポリシーの直接の適用対象者ではありません。ただし、AWS では、お客様のニーズを満たすうえで必要な世界第一級のクラウドセキュリティとコンプライアンスを維持するよう、最大限の努力を払っています。AWS は、第三者の評価フレームワーク (FedRAMP 公認の第三者評価機関 (3PAO) によるデータセンターのオンサイト監査を必要とする FedRAMP など) による裏付けにより、CJIS の該当要件への準拠を実証しています。
    • AWS は、責任共有モデルの理念に基づいて、CJIS ポリシー適用領域に合わせた CJIS セキュリティポリシーワークブックを (システムセキュリティ計画テンプレートで) 提供しています。このワークブックは、お客様による CJIS 要件の実装と、AWS による各要件に対するアプローチを (文書を提出して審査と認証を受けるためのガイダンスに沿って) お客様が体系的に文書化するのに役立つものです。Criminal Justice Information Services (CJIS) ワークブックスプレッドシートをご覧ください。
    • AWS では、CJIS ワークロードのサポートとして、以下のような複数の組み込みセキュリティ機能を提供しています。
  • CJIS コンプライアンスはどのように判断されますか?

    CJIS には、中心となる承認機関、公認の独立審査機関、および、特定のソリューションを CJIS 準拠と見なすかどうかを判断する標準化された評価アプローチがありません。あらゆる法執行機関に有効な標準化された CJIS 準拠ソリューションはありません。代わりに、CJIS の認証を与える法執行組織が、独自の基準に沿って、特定のソリューションが CJIS 要件に準拠しているかどうかを判断します。ある州の認証が別の州で (場合によっては、同じ州の中でも) 有効と見なされない可能性があるため、プロバイダーは認証当局にソリューションを提出して審査を受ける必要があります。場合によっては指紋の複製、素性検査、州や管轄区域に特有の他の要件が必要になることがあります。

    各承認は特定の組織のみとの合意であるため、地域によっては法執行機関ごとに同じ手続きを繰り返す必要があります。州や機関によって CJIS 準拠の定義が異なるため、AWS で CJIS 準拠のソリューションを列挙することはできません。ある州や機関で AWS が CJIS に準拠していると判断されたとしても、すべての法執行部門に適用される単独の CJIS 認証はありません。

  • CJIS データに AWS を使用しているユーザーはいますか?

    はい。例えば、AWS のパートナーソリューションの中には、法執行処理に関連するデジタル形式の証拠 (動画や音声ファイルなど) を収集、転送、管理、共有するものがいくつかあります。また、AWS には、州、郡、および都市の複数の法執行機関について、電子的な証明書をそれぞれの場所で作成し、承認を得る方法を確立し、発行するという電子証明書サービスを提供しているパートナーもいます。さらに、AWS では、法執行に対する信頼と透明性を構築するために公式ポータルで公開するデモ、市民集会、日常的な警察官のやり取りに関する警察動画の管理において、法執行機関をサポートしています。

compliance-contactus-icon
ご質問がありますか? AWS のコンプライアンス担当者と連絡を取る
コンプライアンスの役割について調べますか?
今すぐご登録ください »
AWS コンプライアンスの更新情報を入手しますか?
Twitter でフォローしてください »