حماية البيانات الحساسة لقسم الشرطة باستخدام المصادقة متعددة العوامل المقاومة للتصيد الاحتيالي
عندما تلقى قسم شرطة في جنوب شرق الولايات المتحدة إخطارًا بوصول مراجعي الحسابات التابعين للولاية في غضون الأسبوع لإجراء مراجعة للامتثال لنظام المعلومات الجنائية (CJIS) تتألف من 360 سؤالًا، كانت معظم الأقسام ستدخل في حالة من الفوضى. لكن هذا القسم لم يفعل ذلك — لأن البنية التحتية الخاصة بالهوية لديه كانت قد أُنشئت بالفعل استعدادًا لهذه اللحظة بالذات.
وقد اجتازوا عملية التدقيق في غضون خمس ساعات تقريبًا. وبعد ذلك بوقت قصير، اجتازوا تدقيقًا أجراه مكتب التحقيقات الفيدرالي (FBI) في نظام المعلومات الجنائية (CJIS) خلال نفس الفترة الزمنية.
تشرح دراسة الحالة الكاملة الحل الذي طورته شركة RSA وما كشفت عنه نتائج التدقيق بشأن وضعهم الأمني.
قم بتنزيل دراسة الحالة الآن أو تابع القراءة للتعرف على المفاهيم الأساسية والأسئلة الشائعة التي تشكل إطار القصة.
تتناول دراسة الحالة ما يلي:
- التحدي المحدد الذي واجهته الإدارة في مجال الامتثال لنظام المعلومات القضائية الجنائية (CJIS) — والأسباب التي جعلت نهجها السابق يعرضها للخطر
- كيف تم نشر سلسلة iShield Key 2 من RSA بين الموظفين والإداريين، لتحل المصادقة المدعومة بالأجهزة محل كلمات المرور
- لماذا تمكن المدققون من التحقق من الامتثال في غضون ساعات بدلاً من أيام — وما هي الوثائق التي أحدثت الفارق
- كيف استوفى نفس النشر متطلبات التدقيق الخاصة بـ CJIS لكل من الولاية ومكتب التحقيقات الفيدرالي (FBI) دون الحاجة إلى أي استعدادات إضافية
- ماذا تعني هذه النتيجة بالنسبة لوكالات إنفاذ القانون الأخرى التي تتعامل مع متطلبات المصادقة المتقدمة لنظام المعلومات القضائية (CJIS)
تشير دراسة الحالة إلى عدة معايير فنية أساسية تتعلق بالطريقة التي يتعين على وكالات إنفاذ القانون اتباعها لحماية بيانات العدالة الجنائية. وتوضح هذه التعريفات السياق الكامن وراء متطلبات الامتثال التي استوفتها الإدارة — والتي يجب على أي وكالة تصل إلى أنظمة مكتب التحقيقات الفيدرالي (FBI) الالتزام بها.
معلومات العدالة الجنائية (CJI)
تشير «معلومات العدالة الجنائية» (CJI) إلى البيانات الحساسة التي تتم إدارتها وحمايتها بموجب «سياسة أمن نظام معلومات العدالة الجنائية» (CJIS)، بما في ذلك البيانات البيومترية، وسجل الهوية، والبيانات السيرة الذاتية، وبيانات الممتلكات، وسجل القضايا والحوادث. ويخضع الوصول إلى معلومات العدالة الجنائية (CJI) لرقابة صارمة من قبل مكتب التحقيقات الفيدرالي (FBI)، ويتطلب ضوابط مصادقة صارمة عند كل نقطة وصول. ويجب على أي وكالة — سواء كانت اتحادية أو ولائية أو محلية — تقوم بتخزين معلومات العدالة الجنائية (CJI) أو معالجتها أو نقلها أن تثبت امتثالها لمعايير نظام معلومات العدالة الجنائية (CJIS) خلال عمليات التدقيق الدورية. وقد يؤدي الوصول غير المصرح به إلى أنظمة معلومات العدالة الجنائية (CJI) إلى تعريض التحقيقات الجارية للخطر، مما قد يؤدي إلى تعليق وصول الوكالة إلى قواعد البيانات الحيوية الخاصة بإنفاذ القانون.
سياسة الأمن الخاصة بنظام المعلومات القضائية المركزي (CJIS)
تعد «سياسة أمن CJIS» وثيقة صادرة عن قسم خدمات معلومات العدالة الجنائية التابع لمكتب التحقيقات الفيدرالي (FBI)، وتحدد المتطلبات الأمنية الدنيا للوكالات التي تصل إلى أنظمة بيانات العدالة الجنائية التابعة لمكتب التحقيقات الفيدرالي. وتغطي هذه السياسة 13 مجالًا، بما في ذلك التحكم في الوصول، والتدقيق، وإدارة التكوين، و—الأهم من ذلك—المصادقة المتقدمة. يتم تحديث هذه السياسة بانتظام، وتُلزم الوكالات بتطوير إجراءات أمنها تبعًا لتغير طبيعة التهديدات. وقد يؤدي عدم الامتثال لها إلى تعليق الوصول إلى أنظمة مثل المركز الوطني لمعلومات الجريمة (NCIC)، مما يحرم الوكالات من البيانات الضرورية لعمليات إنفاذ القانون اليومية.
المصادقة متعددة العوامل (MFA) المقاومة للتصيد الاحتيالي
MFA المقاوم للتصيد الاحتيالي هي فئة من المصادقة تستخدم آليات تشفيرية لمنع المهاجمين من الاستيلاء على بيانات الاعتماد أو إعادة استخدامها. وعلى عكس طرق المصادقة متعددة العوامل (MFA) التقليدية التي تعتمد على الأسرار المشتركة — مثل الرمز المرسل عبر الرسائل القصيرة (SMS) أو الذي يتم إنشاؤه بواسطة تطبيق المصادقة — فإن المصادقة متعددة العوامل المقاومة للتصيد تربط عملية المصادقة بجهاز مادي محدد وتطبيق مسجل محدد. وهذا يجعل من المستحيل تقنيًّا على المهاجم إعادة توجيه استجابة المصادقة، حتى لو تم خداع المستخدم لزيارة موقع ويب احتيالي. وبالنسبة لوكالات إنفاذ القانون التي تصل إلى معلومات العدالة الجنائية (CJI) من خارج المواقع الآمنة ماديًّا، أصبحت المصادقة متعددة العوامل المقاومة للتصيد الاحتيالي هي المعيار المطلوب بموجب سياسة أمن معلومات العدالة الجنائية (CJIS).
FIDO2 ومفاتيح المرور
FIDO2 هو معيار مصادقة مفتوح طورته تحالف FIDO، ويتيح تسجيل الدخول بدون كلمة مرور ومقاومًا لعمليات التصيد الاحتيالي باستخدام تشفير المفتاح العام. عندما يقوم المستخدم بتسجيل جهاز FIDO2، يتم إنشاء زوج فريد من مفاتيح التشفير — حيث لا يغادر المفتاح الخاص الجهاز أبدًا، بينما يتم تسجيل المفتاح العام لدى التطبيق أو الخدمة. بالنسبة لجهات إنفاذ القانون، توفر مفاتيح FIDO2 المرتبطة بالأجهزة أعلى مستوى من الضمان، حيث لا يمكن استخراج المفتاح الخاص أو نسخه أو استخدامه على أي جهاز آخر — مما يضمن بقاء المصادقة مرتبطة بشخص محدد وخاضع للمساءلة.
FIPS 140-3 المستوى 3
FIPS 140-3 هو معيار فيدرالي أمريكي نشره المعهد الوطني للمعايير والتقنية (NIST)، ويحدد متطلبات الأمان لوحدات التشفير. ويتطلب المستوى 3 آليات مادية لمقاومة التلاعب، ومصادقة قائمة على الهوية للوصول إلى وحدة التشفير، وحماية بيئية إضافية ضد الهجمات المادية. جهاز مصادقة معتمد وفقًا لمعيار FIPS 140-3 المستوى 3 — مثل RSA iShield Key 2 Series—يضمن أن عمليات التشفير وتخزين المفاتيح تستوفي المتطلبات الفيدرالية الصارمة، كما أن وجوده يسرع بشكل كبير من عملية المراجعة والتدقيق الخاصة بنظام المعلومات الجنائية (CJIS)، من خلال تزويد المدققين بأدلة فورية وقابلة للتحقق منها بشأن جودة الضوابط الأمنية.
CJIS هي اختصار لـ «خدمات معلومات العدالة الجنائية» (Criminal Justice Information Services)، وهي إدارة تابعة لمكتب التحقيقات الفيدرالي (FBI) تتولى وضع السياسات الأمنية التي تنظم الوصول إلى البيانات الحساسة المتعلقة بالعدالة الجنائية — بما في ذلك بصمات الأصابع والسجلات الجنائية ومعلومات أوامر التوقيف. ويجب على أي وكالة إنفاذ قانون تصل إلى هذه البيانات أن تمتثل لمتطلبات سياسة الأمن الخاصة بـ CJIS التي تشمل إدارة الهوية، والتحكم في الوصول، والتشفير. وقد يؤدي عدم الامتثال إلى فقدان حق الوصول إلى قواعد بيانات مكتب التحقيقات الفيدرالي (FBI) الحيوية، بما في ذلك المركز الوطني لمعلومات الجريمة (NCIC).
تتطلب سياسة الأمن الخاصة بنظام معلومات العدالة الجنائية (CJIS) إجراء مصادقة متقدمة لأي مستخدم يصل إلى معلومات العدالة الجنائية من خارج موقع آمن ماديًا. MFA المقاوم للتصيد الاحتيالي—مثل مفاتيح الأمان المادية من طراز FIDO2—تستوفي هذا الشرط باستخدام المصادقة التشفيرية التي لا يمكن اعتراضها أو نسخها أو التلاعب بها عبر الهندسة الاجتماعية، مما يضمن أنه حتى في حالة اختراق كلمة المرور، فلن يتمكن المخترق من الوصول غير المصرح به إلى أنظمة CJI.
إن RSA iShield Key 2 Series هو مفتاح أمان مادي يوفر مصادقة بدون كلمة مرور بنظام FIDO2، معتمد وفقًا لمعيار FIPS 140-3 المستوى 3 — وهو المعيار الفيدرالي المطلوب لأكثر البيانات الحكومية حساسية. يستخدم الضباط والمسؤولون المفتاح المادي للمصادقة على الوصول إلى أنظمة العدالة الجنائية؛ ونظرًا لأنه يولد استجابة تشفيرية فريدة لكل عملية تسجيل دخول، فلا يمكن اختراقه أو استنسابه أو استخدامه من قبل أفراد غير مصرح لهم حتى في حالة تعرض كلمة المرور للاختراق.
عادةً ما يتطلب إجراء تدقيق قياسي لنظام المعلومات القضائية الجنائية (CJIS) يتضمن 360 سؤالاً أمنياً أسبوعاً كاملاً من وقت الموظفين. ومن خلال استخدام حلول RSA منصة إدارة الهوية وبفضل سلسلة iShield Key 2، تمكنت إحدى إدارات الشرطة في جنوب شرق الولايات المتحدة من إتمام عملية التدقيق التي أجرتها الولاية في غضون خمس ساعات تقريبًا — وهو ما يمثل انخفاضًا بنسبة تزيد عن 80% — واجتازت عملية التدقيق اللاحقة التي أجراها مكتب التحقيقات الفيدرالي (FBI) بشأن نظام معلومات العدالة الجنائية (CJIS) في نفس الإطار الزمني المضغوط.
تعتمد طرق المصادقة متعددة العوامل (MFA) التقليدية — مثل كلمات المرور لمرة واحدة عبر الرسائل القصيرة (SMS) وتطبيقات المصادقة — على أسرار مشتركة يمكن اعتراضها من خلال التصيد الاحتيالي أو استبدال شريحة SIM أو هجمات «الرجل في الوسط». أما المصادقة متعددة العوامل (MFA) المقاومة للتصيد الاحتيالي، فتستخدم تشفير المفتاح العام المرتبط بجهاز مسجل محدد، مما يجعل من المستحيل تقنيًا إعادة استخدام بيانات الاعتماد أو إعادة توجيهها إلى موقع احتيالي. وبالنسبة لوكالات إنفاذ القانون، فإن هذا الفرق يميز بين المصادقة متعددة العوامل (MFA) التي تفي بمتطلبات نظام المعلومات الجنائية (CJIS) وتلك التي لا تفي بها.
نعم. الـ RSA iShield Key 2 Series يدعم الإدارة القائمة على السحابة، مما يتيح للأقسام الصغيرة أو المتوسطة الحجم توفير أدوات المصادقة ومراقبتها وإلغاءها دون الحاجة إلى بنية تحتية محلية. توفر منصة RSA رؤية مركزية لجميع أحداث المصادقة، بحيث أصبح بإمكان الأقسام التي كانت تستغرق في السابق أيامًا في تجميع أدلة التدقيق أن تنتجها الآن في غضون ساعات.
متضمنة