Соответствие CJIS v6.1 теперь упирается не только в наличие средств защиты, но и в способность ведомства доказать, что они работают постоянно. Стандарт требует многофакторную аутентификацию для привилегированных и обычных учётных записей, а временные и аварийные аккаунты должны удаляться максимум за 72 часа. Для российских ИТ-команд это полезный разбор знакомой проблемы: регуляторные требования ломаются не на выборе очередного продукта, а на старых системах, правах доступа и доказательствах для аудитора.
Как сообщает BleepingComputer, компания Specops Software выделила пять практических направлений для организаций, работающих с Criminal Justice Information — данными американской системы уголовного правосудия. Материал спонсорский, поэтому рекомендации стоит воспринимать как чек-лист, а не как независимое исследование. Но сами требования CJIS v6.1 хорошо показывают, куда смотрят аудиторы: охват MFA, жизненный цикл аккаунтов, парольные политики, журналы событий и готовность предъявить всё это без аврала за неделю до проверки.
Первое и самое заметное требование — MFA для привилегированных и непривилегированных аккаунтов, включая локальный, сетевой и удалённый доступ. Формально это контролируется пунктами IA-2(1) и IA-2(2), но на практике главная проблема обычно в исключениях. Администраторский доступ к старому серверу, RDP для подрядчика, сервисная учётная запись, автономный ноутбук — именно здесь многофакторная защита чаще всего оказывается выключенной или заменённой обещанием «потом настроим». Авторы советуют отдельно проверить legacy-приложения и административные записи, а при выборе факторов аутентификации смотреть в сторону устойчивых к фишингу методов, например ключей FIDO2.
Вторая зона — управление учётными записями и привилегиями. CJIS требует вести инвентарь пользовательских, административных, сервисных и временных аккаунтов, разделять повседневную работу и администрирование, а права выдавать по принципу минимально необходимого доступа. Неактивная 90 дней учётная запись должна быть отключена в течение недели. Проверка прав — не реже раза в год, хотя ждать год между ревизиями для системы с кадровыми перестановками и подрядчиками выглядит как приглашение к инциденту. В зрелой схеме создание, изменение роли и увольнение сотрудника связаны с HR-процессами и автоматизацией, а не с письмом в общий ящик ИТ-службы.
Пароли в CJIS v6.1 никуда не исчезли, несмотря на распространение MFA. Контроль IA-5 устанавливает минимум в восемь символов и относится к приоритетным: санкции за его несоблюдение могли применяться с октября 2024 года. В заметке Specops рекомендует уходить от коротких сложных комбинаций к длинным уникальным парольным фразам и разрешённым менеджерам паролей. Также нужно проверять пароли по спискам скомпрометированных значений, обновлять такие списки как минимум ежеквартально и при подозрении на утечку, блокировать слабые и повторно используемые варианты и ограничивать число неудачных попыток входа пятью на аккаунт.
Здесь есть важная оговорка, которую легко потерять за словом «комплаенс». NIST давно не советует принудительно менять пароль по календарю без признаков компрометации, но IA-5 всё ещё содержит требование ежегодной смены или обновления. Авторы предлагают уточнять трактовку у конкретного CJIS Systems Agency. Это типичная ситуация для регулируемой безопасности: современная рекомендация и обязательная норма могут расходиться, а решение нельзя принимать по статье в блоге или по настройке по умолчанию в Active Directory.
Четвёртый приоритет — журналирование. Недостаточно включить сбор логов и считать задачу закрытой: записи должны отвечать на вопросы, кто выполнил действие, что именно произошло, когда и с каким результатом. Нужна защита журналов от подмены, регулярный просмотр событий и понятное покрытие всех систем, где обрабатываются чувствительные данные. Централизация в SIEM упрощает поиск аномалий, но не заменяет настройки источников и правил разбора. Если входы по RDP, смена привилегий или отключение MFA не попадают в единый контур, SIEM лишь быстро покажет неполную картину.
Пятый пункт — готовность к аудиту. Формальная проверка проводится как минимум раз в три года, но соответствие CJIS v6.1 должно поддерживаться между аудитами. Для этого нужны назначенные владельцы контролей, упорядоченные доказательства — конфигурации MFA, результаты ревизий доступов, логи, политики, обучение сотрудников и результаты оценок — а также план устранения слабых мест. По CA-5 такой план следует обновлять минимум раз в шесть месяцев либо при появлении новой информации. Внутренние проверки здесь полезнее красивой папки с документами: они обнаруживают расхождение между политикой и реальной инфраструктурой до прихода внешнего аудитора.
Главный вывод не связан с конкретным вендором: MFA, пароли, аккаунты и логи нельзя вести как пять разрозненных проектов. Чем больше в организации исключений, ручных согласований и неподконтрольных сервисных учётных записей, тем дороже оказывается не сам аудит, а расследование после инцидента. Следующий уровень зрелости для таких организаций — превратить контроль доступа и сбор доказательств в обычную операционную практику, где изменение системы автоматически оставляет проверяемый след.
