刑事司法情報（CJI）の保護を担う機関にとって、CJIS要件を満たすことは、セキュリティ対策を導入するだけでは終わりません。職員が日常的に使うシステム全体で対策が機能し、その有効性を証明できなければなりません。
しかし、レガシーシステムの存在、逼迫したIT部門、絶えず変わるアクセス要件といった事情から、セキュリティ体制が整った機関でも、対策を一貫して適用し、監査人が求める証跡を維持するのは容易ではありません。
では、どこに注力すべきでしょうか。本記事では、CJIS v6.1において機関が注意を払うべき5つの重点分野を取り上げ、コンプライアンス対応を管理しやすくするための実践的なアドバイスを紹介します。
多要素認証（MFA）
CJIS v6.1は、統制項目IA-2(1)およびIA-2(2)に基づき、特権アカウントと非特権アカウントの両方にMFAを求めています。対象はローカル、ネットワーク、リモートのすべてのアクセスです。課題は、対象から漏れるアカウントを出さないことです。
まず、環境全体でMFAの適用範囲を見直してください。特にレガシーアプリケーションと管理者アカウントには注意が必要です。MFAを導入する際は、FIDO2セキュリティキーなどのフィッシング耐性のある方式を検討するとよいでしょう。
認証器の登録、交換、失効に関する確実なプロセスも必要です。
Specops Secure Accessのようなソリューションは、Windowsログオン、RDP、RADIUS、オフラインアクセスにMFA保護を拡張し、機関のコンプライアンス対応を支援します。認証アプリやYubiKeyなど、柔軟な選択肢が用意されています。イベントAPIとの連携により、コンプライアンス監査向けの証跡も確保できます。
MFAは一度設定すれば終わりという対策ではありません。システムやアクセス要件の変化に応じて、設定を見直してください。
アカウント管理と権限
職員の異動や退職に伴い、アクセス権限はすぐに実態と合わなくなります。CJIS v6.1は、効果的なアカウント管理と最小権限の徹底によって、このリスクを低減することを目指しています。
まず、一般ユーザー、管理者、サービス、一時利用の各アカウントについて、正確な一覧を維持してください。権限は各役割に必要な範囲に限定し、管理者権限は日常業務から分離します。アカウントの作成と削除も、可能な限り自動化しましょう。
アカウントと権限は、少なくとも年1回見直してください。一時アカウントと緊急用アカウントは72時間以内に削除する必要があります。90日間使われていないアカウントは、1週間以内に無効化しなければなりません。重要なのは、アクセス権の見直しを年1回の行事で終わらせず、継続的なプロセスにすることです。
パスワード
IA-5はパスワードの最小長を8文字と定めています。これは優先度1の統制項目であり、2024年10月から制裁の対象となっています。NISTの推奨に沿い、機関はより長く固有のパスフレーズを推奨し、承認されたパスワードマネージャーを使って使い回しを減らすべきです。
機関は、次の対策も講じる必要があります。
- 漏えいしたパスワードを検査する：パスワードのブロックリストを、少なくとも四半期ごと、および漏えいが疑われるたびに更新します。
- 脆弱なパスワードや使い回しのパスワードを拒否する：作成時やリセット時にブロックします。
- ログイン失敗回数を制限する：1アカウントにつき5回までとします。
ここで役立つのがSpecops Password Policyです。Active Directory全体のパスワードポリシー管理を簡素化し、60億件を超える漏えい済みパスワードと継続的に照合します。新たに流出した認証情報も毎日スキャンします。
猶予期間を柔軟に設定できるため、漏えいしたパスワードが見つかった際の不要なロックアウトを減らせます。コンプライアンス用テンプレートとレポート機能により、進捗も把握しやすくなります。
最後に、年次のパスワード変更要件については、CJISシステム機関（CSA）に確認してください。不要なリセットを避けるよう促すガイダンスがある一方で、IA-5は依然として年1回の変更または更新を定めています。
ログ管理
監査ログは、機関が不審なアクティビティを検知し、セキュリティインシデントを調査するうえで役立ちます。ただし、ログを収集するだけでは不十分です。適切なイベントを記録し、定期的に確認し、改ざんから保護する必要があります。
まず、CJIを扱うシステム全体でログの取得範囲を確認してください。誰が、いつ、何を行い、その結果がどうだったかを記録する必要があります。ログをSIEMに集約すれば、不審なアクティビティを見つけやすくなります。
監査への備え
機関は少なくとも3年に1度監査を受けますが、監査と監査の間も準拠状態を維持することが求められます。直前になって慌てて証跡をかき集めるのではなく、CJISコンプライアンスを継続的な責務として扱うほうが得策です。
ベストプラクティスには、次のようなものがあります。
- 適用されるセキュリティ統制の一覧を維持する：各統制の実装、レビュー、文書化の責任者を明確にします。
- 証跡を整理して保管する：MFAの設定、アクセス権の見直し、監査ログ、セキュリティポリシー、研修、評価結果の記録などが該当します。準拠の実証が容易になります。
- 特定した弱点を文書化し、解決期限を設定する：CA-5に従い、是正計画は少なくとも6か月ごと、または新たな情報が得られた時点で更新してください。
- 内部評価を実施する：正式な評価の前に問題を洗い出します。
- セキュリティ監視とコンプライアンスレビューを日常のIT運用に組み込む：変化や新たなリスクを見逃さないようにします。
監査準備を日常的なセキュリティ管理の一部にすれば、機関はギャップを早期に把握でき、正式な評価にかかる負担も減らせます。監査と監査の間も、より強固なコンプライアンス体制を維持できます。
CJISコンプライアンス体制を強化する
CJISコンプライアンスは、一度対応すれば終わりというものではありません。システムやセキュリティリスクが変化するなか、機関は統制がそれに追随していることを確認する必要があります。統制を定期的に見直し、証跡を整理しておけば、コンプライアンス対応を管理しやすくしながら、機関のセキュリティも強化できます。
CJISコンプライアンスの評価は、パスワードから始めるのがよいでしょう。しかし、どこにギャップがあるのかは、どうすれば分かるのでしょうか。
Specops Password Auditorは、無料の読み取り専用Active Directoryスキャンを提供します。CJIS要件に照らしたパスワードポリシーのギャップを可視化し、漏えいしたパスワードなどのリスクを指摘します。現在の状況と、対応が必要な点をすばやく把握できます。
CJISのパスワードおよびMFA要件への対応を簡素化したい場合は、Specopsのデモを予約して、貴機関のセキュリティ強化とコンプライアンス維持をどのように支援できるかをご確認ください。
