Melindungi Data Sensitif Departemen Kepolisian dengan Otentikasi Multi-Faktor yang Tahan Phishing
Ketika sebuah departemen kepolisian di wilayah tenggara AS menerima pemberitahuan bahwa auditor negara bagian akan tiba dalam waktu seminggu untuk melakukan tinjauan kepatuhan CJIS yang terdiri dari 360 pertanyaan, kebanyakan departemen pasti akan panik. Namun, departemen ini tidak—karena infrastruktur identitas mereka sudah dibangun khusus untuk menghadapi situasi seperti ini.
Mereka berhasil lulus audit tersebut dalam waktu sekitar lima jam. Tak lama setelah itu, mereka juga berhasil lulus audit CJIS FBI dalam jangka waktu yang sama.
Studi kasus selengkapnya menjelaskan solusi RSA yang mereka terapkan serta temuan hasil audit mengenai kondisi keamanan mereka.
Unduh studi kasusnya sekarang atau baca terus untuk mengetahui konsep-konsep utama dan pertanyaan-pertanyaan umum yang menjadi kerangka cerita ini.
Studi kasus ini mencakup:
- Tantangan khusus terkait kepatuhan terhadap CJIS yang dihadapi departemen tersebut—dan mengapa pendekatan mereka sebelumnya membuat mereka rentan
- Bagaimana seri iShield Key 2 dari RSA diterapkan bagi para petugas dan administrator, menggantikan kata sandi dengan otentikasi yang didukung perangkat keras
- Mengapa para auditor mampu memverifikasi kepatuhan dalam hitungan jam, bukan hari—dan dokumen apa yang menjadi faktor penentu
- Bagaimana penerapan yang sama tersebut memenuhi persyaratan audit CJIS baik dari pemerintah negara bagian maupun FBI tanpa persiapan tambahan
- Apa arti hasil ini bagi lembaga penegak hukum lainnya yang sedang berupaya memenuhi persyaratan otentikasi tingkat lanjut CJIS
Studi kasus ini merujuk pada beberapa standar teknis yang menjadi inti dari cara lembaga penegak hukum diwajibkan untuk melindungi data peradilan pidana. Definisi-definisi ini memberikan konteks di balik persyaratan kepatuhan yang telah dipenuhi oleh departemen tersebut—dan yang harus dipenuhi oleh setiap lembaga yang mengakses sistem FBI.
Informasi Peradilan Pidana (CJI)
Informasi Peradilan Pidana (CJI) merujuk pada data sensitif yang dikelola dan dilindungi berdasarkan Kebijakan Keamanan CJIS, termasuk data biometrik, riwayat identitas, data biografis, data properti, serta riwayat kasus dan insiden. Akses ke CJI diatur secara ketat oleh FBI dan memerlukan kontrol otentikasi yang ketat di setiap titik akses. Setiap lembaga—baik federal, negara bagian, maupun lokal—yang menyimpan, memproses, atau mentransmisikan CJI harus membuktikan kepatuhannya terhadap standar CJIS selama audit rutin. Akses tanpa izin ke sistem CJI dapat membahayakan penyelidikan yang sedang berlangsung dan mengakibatkan penangguhan akses lembaga tersebut ke basis data penegakan hukum yang kritis.
Kebijakan Keamanan CJIS
Kebijakan Keamanan CJIS adalah dokumen yang diterbitkan oleh Divisi Layanan Informasi Peradilan Pidana FBI yang menetapkan persyaratan keamanan minimum bagi lembaga-lembaga yang mengakses sistem data peradilan pidana FBI. Dokumen ini mencakup 13 bidang kebijakan, termasuk pengendalian akses, audit, manajemen konfigurasi, dan—yang paling penting—otentikasi tingkat lanjut. Kebijakan ini diperbarui secara berkala dan mewajibkan lembaga-lembaga untuk menyesuaikan postur keamanannya seiring dengan perubahan ancaman. Ketidakpatuhan dapat mengakibatkan penangguhan akses ke sistem seperti Pusat Informasi Kejahatan Nasional (NCIC), sehingga lembaga-lembaga tersebut tidak dapat mengakses data yang sangat penting bagi operasi penegakan hukum sehari-hari.
Otentikasi Multi-Faktor (MFA) yang Tahan Phishing
MFA yang tahan phishing merupakan kategori otentikasi yang menggunakan mekanisme kriptografi untuk mencegah kredensial dicuri atau disalahgunakan oleh penyerang. Berbeda dengan metode MFA tradisional yang mengandalkan rahasia bersama—seperti kode yang dikirim melalui SMS atau dihasilkan oleh aplikasi otentikator—MFA tahan phishing mengikat proses otentikasi pada perangkat fisik tertentu dan aplikasi terdaftar tertentu. Hal ini membuat penyerang secara teknis tidak mungkin mengalihkan respons otentikasi, bahkan jika pengguna ditipu untuk mengunjungi situs web palsu. Bagi lembaga penegak hukum yang mengakses CJI di luar lokasi yang aman secara fisik, MFA tahan phishing kini menjadi standar yang wajib dipenuhi berdasarkan Kebijakan Keamanan CJIS.
FIDO2 dan Kunci Sandi
FIDO2 adalah standar otentikasi terbuka yang dikembangkan oleh Aliansi FIDO yang memungkinkan proses masuk tanpa kata sandi dan tahan terhadap serangan phishing dengan menggunakan kriptografi kunci publik. Saat pengguna mendaftarkan perangkat FIDO2, sepasang kunci kriptografi unik akan dihasilkan—kunci pribadi tidak pernah meninggalkan perangkat, sedangkan kunci publik didaftarkan ke aplikasi atau layanan. Bagi penegak hukum, kunci FIDO2 yang terikat pada perangkat keras memberikan tingkat jaminan tertinggi karena kunci pribadi tidak dapat diekstraksi, disalin, atau digunakan pada perangkat lain mana pun—sehingga memastikan otentikasi tetap terikat pada individu tertentu yang dapat dipertanggungjawabkan.
FIPS 140-3 Tingkat 3
FIPS 140-3 adalah standar federal AS yang diterbitkan oleh NIST yang menetapkan persyaratan keamanan untuk modul kriptografi. Tingkat 3 mensyaratkan mekanisme ketahanan terhadap gangguan fisik, otentikasi berbasis identitas untuk mengakses modul kriptografi, serta perlindungan lingkungan tambahan terhadap serangan fisik. Sebuah otentikator perangkat keras bersertifikasi FIPS 140-3 Tingkat 3—seperti Seri RSA iShield Key 2—memberikan jaminan bahwa operasi kriptografi dan penyimpanan kunci memenuhi persyaratan federal yang ketat, dan keberadaannya secara signifikan mempercepat proses peninjauan audit CJIS dengan memberikan bukti yang langsung dan dapat diverifikasi kepada auditor mengenai kualitas pengendalian keamanan.
CJIS adalah singkatan dari Criminal Justice Information Services, sebuah divisi FBI yang menetapkan kebijakan keamanan yang mengatur akses ke data peradilan pidana yang sensitif—termasuk sidik jari, riwayat kriminal, dan informasi surat perintah penangkapan. Setiap lembaga penegak hukum yang mengakses data ini wajib mematuhi persyaratan Kebijakan Keamanan CJIS yang mencakup manajemen identitas, kontrol akses, dan enkripsi. Ketidakpatuhan dapat mengakibatkan hilangnya akses ke basis data penting FBI, termasuk National Crime Information Center (NCIC).
Kebijakan Keamanan CJIS mewajibkan otentikasi tingkat lanjut bagi setiap pengguna yang mengakses informasi peradilan pidana dari luar lokasi yang terjamin keamanannya secara fisik. MFA yang tahan phishing—seperti kunci keamanan perangkat keras FIDO2—memenuhi persyaratan ini dengan menggunakan otentikasi kriptografis yang tidak dapat disadap, ditiru, atau dimanipulasi melalui teknik rekayasa sosial, sehingga memastikan bahwa bahkan kata sandi yang telah diretas pun tidak dapat memberikan akses tidak sah ke sistem CJI.
The Seri RSA iShield Key 2 adalah kunci keamanan perangkat keras yang menyediakan otentikasi tanpa kata sandi FIDO2 yang bersertifikasi FIPS 140-3 Level 3—standar federal yang diwajibkan untuk data pemerintah yang paling sensitif. Petugas dan administrator menggunakan kunci fisik ini untuk mengautentikasi akses ke sistem peradilan pidana; karena kunci ini menghasilkan respons kriptografis yang unik untuk setiap kali login, kunci ini tidak dapat menjadi sasaran phishing, dikloning, atau digunakan oleh pihak yang tidak berwenang, bahkan jika kata sandi telah bocor.
Audit CJIS standar yang mencakup 360 pertanyaan keamanan biasanya membutuhkan waktu satu minggu penuh dari para staf. Dengan menerapkan RSA’s platform manajemen identitas dan Seri iShield Key 2, sebuah departemen kepolisian di wilayah tenggara AS berhasil menyelesaikan audit negara bagiannya dalam waktu sekitar lima jam—penyusutan waktu lebih dari 80%—dan lulus audit CJIS FBI berikutnya dalam jangka waktu yang sama singkatnya.
Metode MFA tradisional—kata sandi sekali pakai via SMS, aplikasi otentikator—bergantung pada rahasia bersama yang dapat disadap melalui serangan phishing, penggantian SIM, atau serangan man-in-the-middle. MFA yang tahan phishing menggunakan kriptografi kunci publik yang terikat pada perangkat terdaftar tertentu, sehingga secara teknis mustahil untuk memutar ulang atau mengalihkan kredensial ke situs penipuan. Bagi lembaga penegak hukum, perbedaan ini membedakan MFA yang memenuhi persyaratan CJIS dari MFA yang tidak memenuhinya.
Ya. Yang Seri RSA iShield Key 2 mendukung pengelolaan berbasis cloud, sehingga departemen skala kecil maupun menengah dapat menyiapkan, memantau, dan mencabut akses autentikator tanpa perlu infrastruktur di lokasi. Platform RSA memberikan visibilitas terpusat atas semua peristiwa otentikasi, sehingga departemen yang sebelumnya membutuhkan waktu berhari-hari untuk mengumpulkan bukti audit kini dapat menyiapkannya dalam hitungan jam.
Termasuk