Protección de datos confidenciales del Departamento de Policía con autenticación multifactor resistente al phishing
Cuando un cuerpo de policía del sureste de EE. UU. recibió la notificación de que los auditores estatales llegarían en el transcurso de la semana para llevar a cabo una revisión de cumplimiento de la normativa CJIS compuesta por 360 preguntas, la mayoría de los cuerpos se habrían visto desbordados. Este no fue el caso, ya que su infraestructura de identidad ya estaba preparada precisamente para este momento.
Superaron la auditoría en unas cinco horas. Poco después, superaron una auditoría del FBI sobre el CJIS en el mismo plazo.
El estudio de caso completo explica la solución de RSA que implementaron y lo que revelaron los resultados de la auditoría sobre su nivel de seguridad.
Descarga ahora el caso práctico o sigue leyendo para conocer los conceptos clave y las preguntas más habituales que dan marco a la historia.
El estudio de caso abarca:
- El reto concreto al que se enfrentó el departamento en materia de cumplimiento de la normativa CJIS, y por qué su enfoque anterior les dejaba en una situación de vulnerabilidad
- Cómo se implantó la serie iShield Key 2 de RSA entre el personal directivo y los administradores, sustituyendo las contraseñas por una autenticación basada en dispositivos de hardware
- Por qué los auditores pudieron verificar el cumplimiento en cuestión de horas en lugar de días, y qué documentación marcó la diferencia
- Cómo una misma implementación cumplió tanto con los requisitos de auditoría del CJIS del estado como con los del FBI sin necesidad de una preparación adicional
- Qué implica este resultado para otros cuerpos de seguridad que deben cumplir los requisitos avanzados de autenticación del CJIS
El estudio de caso hace referencia a varias normas técnicas fundamentales para la forma en que los cuerpos de seguridad deben proteger los datos de la justicia penal. Estas definiciones proporcionan el contexto en el que se enmarcan los requisitos de cumplimiento que ha cumplido el departamento —y que debe cumplir cualquier organismo que acceda a los sistemas del FBI—.
Información sobre justicia penal (CJI)
La información sobre justicia penal (CJI) hace referencia a los datos sensibles gestionados y protegidos en virtud de la Política de Seguridad del Sistema de Información sobre Justicia Penal (CJIS), incluidos los datos biométricos, el historial de identidad, los datos biográficos, los datos sobre bienes y el historial de casos e incidentes. El acceso a la CJI está estrictamente regulado por el FBI y requiere controles de autenticación rigurosos en cada punto de acceso. Cualquier organismo —federal, estatal o local— que almacene, procese o transmita información de justicia penal (CJI) debe demostrar el cumplimiento de las normas del CJIS durante las auditorías periódicas. El acceso no autorizado a los sistemas de CJI puede comprometer las investigaciones en curso y dar lugar a la suspensión del acceso de un organismo a bases de datos críticas para la aplicación de la ley.
Política de seguridad del CJIS
La Política de Seguridad del CJIS es un documento elaborado por la División de Servicios de Información de Justicia Penal del FBI que establece los requisitos mínimos de seguridad para los organismos que acceden a los sistemas de datos de justicia penal del FBI. Abarca 13 ámbitos normativos, entre los que se incluyen el control de acceso, la auditoría, la gestión de la configuración y —lo que es fundamental— la autenticación avanzada. La política se actualiza periódicamente y exige a los organismos que adapten su nivel de seguridad a medida que cambian las amenazas. El incumplimiento de esta política puede dar lugar a la suspensión del acceso a sistemas como el Centro Nacional de Información Criminal (NCIC), lo que privaría a los organismos de datos esenciales para las operaciones diarias de las fuerzas del orden.
Autenticación multifactorial (MFA) resistente al phishing
MFA resistente al phishing Es una categoría de autenticación que utiliza mecanismos criptográficos para evitar que los atacantes capturen o reproduzcan las credenciales. A diferencia de los métodos tradicionales de autenticación multifactorial (MFA), que se basan en secretos compartidos —como un código enviado por SMS o generado por una aplicación de autenticación—, la MFA resistente al phishing vincula la autenticación a un dispositivo físico específico y a una aplicación registrada concreta. Esto hace que sea técnicamente imposible que un atacante redirija la respuesta de autenticación, incluso si se engaña al usuario para que visite un sitio web fraudulento. Para los cuerpos de seguridad que acceden a la CJI desde lugares que no cuentan con seguridad física, la MFA resistente al phishing es ahora la norma obligatoria según la Política de Seguridad de la CJIS.
FIDO2 y Passkeys
FIDO2 es un estándar de autenticación abierto desarrollado por la Alianza FIDO que permite el inicio de sesión sin contraseña y resistente al phishing mediante criptografía de clave pública. Cuando un usuario registra un dispositivo FIDO2, se genera un par de claves criptográficas único: la clave privada nunca sale del dispositivo, mientras que la clave pública se registra en la aplicación o el servicio. Para las fuerzas del orden, las claves FIDO2 vinculadas al hardware ofrecen el máximo nivel de seguridad, ya que la clave privada no puede extraerse, copiarse ni utilizarse en ningún otro dispositivo, lo que garantiza que la autenticación siga estando vinculada a una persona concreta e identificable.
FIPS 140-3, nivel 3
FIPS 140-3 es una norma federal de EE. UU. publicada por el NIST que define los requisitos de seguridad para los módulos criptográficos. El nivel 3 exige mecanismos físicos de resistencia a la manipulación, autenticación basada en la identidad para acceder al módulo criptográfico y protecciones ambientales adicionales contra ataques físicos. Un autenticador de hardware certificado según la norma FIPS 140-3 de nivel 3 —como el Serie RSA iShield Key 2—garantiza que las operaciones criptográficas y el almacenamiento de claves cumplen los rigurosos requisitos federales, y su presencia agiliza considerablemente la revisión de auditoría del CJIS, al proporcionar a los auditores pruebas inmediatas y verificables de la calidad de los controles de seguridad.
CJIS son las siglas de «Criminal Justice Information Services» (Servicios de Información de Justicia Penal), una división del FBI que establece las políticas de seguridad que rigen el acceso a datos sensibles de justicia penal, entre los que se incluyen huellas dactilares, antecedentes penales e información sobre órdenes judiciales. Cualquier cuerpo policial que acceda a estos datos debe cumplir los requisitos de la Política de Seguridad del CJIS en materia de gestión de identidades, control de acceso y cifrado. El incumplimiento de estos requisitos puede dar lugar a la pérdida del acceso a bases de datos fundamentales del FBI, como el Centro Nacional de Información Criminal (NCIC).
La Política de Seguridad del CJIS exige una autenticación avanzada para cualquier usuario que acceda a información sobre justicia penal desde fuera de una ubicación físicamente segura. MFA resistente al phishing—como las llaves de seguridad de hardware FIDO2— cumplen este requisito mediante una autenticación criptográfica que no puede ser interceptada, replicada ni objeto de ingeniería social, lo que garantiza que ni siquiera una contraseña comprometida pueda otorgar acceso no autorizado a los sistemas de la CJI.
En Serie RSA iShield Key 2 Es una llave de seguridad física que ofrece autenticación sin contraseña FIDO2, certificada según la norma FIPS 140-3 Nivel 3 —el estándar federal exigido para los datos gubernamentales más sensibles—. Los agentes y administradores utilizan la llave física para autenticarse en los sistemas de justicia penal; dado que genera una respuesta criptográfica única para cada inicio de sesión, no puede ser objeto de phishing, clonada ni utilizada por personas no autorizadas, incluso si se filtra una contraseña.
Una auditoría estándar del CJIS que incluya 360 preguntas de seguridad suele requerir una semana completa de trabajo del personal. Al implementar la solución de RSA plataforma de gestión de identidades Y con la serie iShield Key 2, un departamento de policía del sureste de EE. UU. completó su auditoría estatal en aproximadamente cinco horas —lo que supone una reducción de más de 80%— y superó la posterior auditoría CJIS del FBI en el mismo plazo reducido.
Los métodos tradicionales de autenticación multifactorial (MFA) —contraseñas de un solo uso por SMS, aplicaciones de autenticación— se basan en secretos compartidos que pueden ser interceptados mediante phishing, suplantación de SIM o ataques de «hombre en el medio». La autenticación multifactorial (MFA) resistente al phishing utiliza criptografía de clave pública vinculada a un dispositivo registrado específico, lo que hace técnicamente imposible reproducir o redirigir las credenciales a un sitio fraudulento. Para los cuerpos de seguridad, esta distinción separa la MFA que cumple los requisitos del CJIS de la que no los cumple.
Sí. El Serie RSA iShield Key 2 Admite la gestión basada en la nube, lo que permite a los departamentos pequeños o medianos asignar, supervisar y revocar dispositivos de autenticación sin necesidad de una infraestructura local. La plataforma RSA ofrece una visibilidad centralizada de todos los eventos de autenticación, por lo que los departamentos que antes tardaban días en recopilar pruebas de auditoría ahora pueden hacerlo en cuestión de horas.
Incluye