Protezione dei dati sensibili del dipartimento di polizia con l'autenticazione a più fattori resistente al phishing
Quando un dipartimento di polizia del sud-est degli Stati Uniti ha ricevuto la notifica che entro la settimana sarebbero arrivati i revisori statali per condurre una verifica di conformità al CJIS composta da 360 domande, la maggior parte dei dipartimenti si sarebbe trovata in grande difficoltà. Questo invece no, perché la sua infrastruttura di identità era già stata realizzata proprio in vista di un momento come questo.
Hanno superato l'audit in circa cinque ore. Poco dopo, hanno superato un audit CJIS dell'FBI nello stesso lasso di tempo.
Il caso di studio completo illustra la soluzione RSA che hanno implementato e cosa hanno rivelato i risultati dell'audit riguardo al loro livello di sicurezza.
Scarica subito il caso di studio oppure continua a leggere per scoprire i concetti chiave e le domande più frequenti che fanno da cornice alla storia.
Il caso di studio tratta i seguenti argomenti:
- La specifica sfida in materia di conformità alle norme CJIS che il dipartimento ha dovuto affrontare — e perché il loro approccio precedente li ha lasciati esposti a rischi
- Come la serie iShield Key 2 di RSA è stata implementata tra funzionari e amministratori, sostituendo le password con un’autenticazione basata su dispositivi hardware
- Perché i revisori sono riusciti a verificare la conformità in poche ore anziché in giorni — e quale documentazione ha fatto la differenza
- In che modo la stessa implementazione ha soddisfatto sia i requisiti di audit CJIS dello Stato che quelli dell’FBI senza necessità di ulteriori preparativi
- Cosa comporta questo risultato per le altre forze dell’ordine che devono adeguarsi ai requisiti avanzati di autenticazione del CJIS
Il caso di studio fa riferimento a diverse norme tecniche fondamentali per definire le modalità con cui le forze dell’ordine sono tenute a proteggere i dati relativi alla giustizia penale. Queste definizioni forniscono il contesto alla base dei requisiti di conformità soddisfatti dal dipartimento — e che qualsiasi agenzia che acceda ai sistemi dell’FBI deve rispettare.
Informazioni sulla giustizia penale (CJI)
Per “informazioni relative alla giustizia penale” (CJI) si intendono i dati sensibili gestiti e protetti ai sensi della Politica di sicurezza CJIS, inclusi dati biometrici, cronologia dell’identità, dati biografici, dati patrimoniali e cronologia di casi e incidenti. L’accesso alle CJI è rigorosamente regolamentato dall’FBI e richiede severi controlli di autenticazione in ogni punto di accesso. Qualsiasi agenzia — federale, statale o locale — che archivi, elabori o trasmetta le CJI deve dimostrare la conformità agli standard CJIS nel corso di regolari verifiche. L’accesso non autorizzato ai sistemi CJI può compromettere le indagini in corso e comportare la sospensione dell’accesso dell’agenzia alle banche dati critiche delle forze dell’ordine.
Politica di sicurezza CJIS
La “CJIS Security Policy” è un documento emanato dalla Divisione dei Servizi Informativi di Giustizia Penale (Criminal Justice Information Services) dell’FBI che stabilisce i requisiti minimi di sicurezza per le agenzie che accedono ai sistemi informativi di giustizia penale dell’FBI. Il documento copre 13 aree tematiche, tra cui il controllo degli accessi, l’audit, la gestione delle configurazioni e, in particolare, l’autenticazione avanzata. La politica viene aggiornata regolarmente e richiede alle agenzie di adeguare il proprio livello di sicurezza man mano che le minacce cambiano. Il mancato rispetto di tali requisiti può comportare la sospensione dell’accesso a sistemi come il National Crime Information Center (NCIC), impedendo alle agenzie di accedere ai dati essenziali per le operazioni quotidiane delle forze dell’ordine.
Autenticazione a più fattori (MFA) resistente al phishing
MFA resistente al phishing è una categoria di autenticazione che utilizza meccanismi crittografici per impedire che le credenziali vengano intercettate o riprodotte dagli aggressori. A differenza dei metodi MFA tradizionali che si basano su segreti condivisi — come un codice inviato tramite SMS o generato da un’app di autenticazione — l’autenticazione multifattoriale resistente al phishing lega l’autenticazione a un dispositivo fisico specifico e a una specifica applicazione registrata. Ciò rende tecnicamente impossibile per un malintenzionato reindirizzare la risposta di autenticazione, anche se un utente venisse indotto con l’inganno a visitare un sito web fraudolento. Per le forze dell’ordine che accedono al CJI al di fuori di sedi fisicamente protette, l’autenticazione multifattoriale resistente al phishing è ora lo standard obbligatorio ai sensi della Politica di sicurezza CJIS.
FIDO2 e Passkeys
FIDO2 è uno standard di autenticazione aperto sviluppato dalla FIDO Alliance che consente l'accesso senza password e resistente al phishing tramite crittografia a chiave pubblica. Quando un utente registra un dispositivo FIDO2, viene generata una coppia di chiavi crittografiche univoca: la chiave privata non lascia mai il dispositivo, mentre la chiave pubblica viene registrata presso l’applicazione o il servizio. Per le forze dell’ordine, le chiavi FIDO2 legate all’hardware offrono il massimo livello di sicurezza poiché la chiave privata non può essere estratta, copiata o utilizzata su nessun altro dispositivo, garantendo che l’autenticazione rimanga legata a un individuo specifico e identificabile.
FIPS 140-3 Livello 3
Lo standard FIPS 140-3 è uno standard federale statunitense pubblicato dal NIST che definisce i requisiti di sicurezza per i moduli crittografici. Il Livello 3 richiede meccanismi fisici di resistenza alla manomissione, autenticazione basata sull’identità per l’accesso al modulo crittografico e ulteriori protezioni ambientali contro gli attacchi fisici. Un autenticatore hardware certificato FIPS 140-3 Livello 3, come il Serie RSA iShield Key 2—garantisce che le operazioni crittografiche e l’archiviazione delle chiavi soddisfino rigorosi requisiti federali e la sua presenza accelera notevolmente la revisione contabile CJIS, fornendo ai revisori prove immediate e verificabili della qualità dei controlli di sicurezza.
CJIS è l’acronimo di Criminal Justice Information Services, una divisione dell’FBI che definisce le politiche di sicurezza che regolano l’accesso ai dati sensibili relativi alla giustizia penale, tra cui impronte digitali, precedenti penali e informazioni sui mandati. Qualsiasi forza dell’ordine che acceda a questi dati deve rispettare i requisiti della Politica di sicurezza del CJIS in materia di gestione delle identità, controllo degli accessi e crittografia. La mancata conformità può comportare la perdita dell’accesso alle banche dati critiche dell’FBI, tra cui il National Crime Information Center (NCIC).
La politica di sicurezza CJIS richiede un'autenticazione avanzata per qualsiasi utente che acceda alle informazioni relative alla giustizia penale da una postazione non fisicamente protetta. MFA resistente al phishing—come le chiavi di sicurezza hardware FIDO2—soddisfano tale requisito ricorrendo a un’autenticazione crittografica che non può essere intercettata, replicata né soggetta a ingegneria sociale, garantendo che nemmeno una password compromessa possa consentire l’accesso non autorizzato ai sistemi CJI.
Il Serie RSA iShield Key 2 È una chiave di sicurezza hardware che fornisce un’autenticazione senza password FIDO2 certificata secondo lo standard FIPS 140-3 Livello 3, lo standard federale richiesto per i dati governativi più sensibili. I funzionari e gli amministratori utilizzano la chiave fisica per autenticare l’accesso ai sistemi di giustizia penale; poiché genera una risposta crittografica univoca per ogni accesso, non può essere oggetto di phishing, clonata o utilizzata da soggetti non autorizzati, anche nel caso in cui una password venga compromessa.
Un audit CJIS standard, che prevede 360 domande sulla sicurezza, richiede in genere un’intera settimana di lavoro da parte del personale. Implementando la soluzione RSA piattaforma di gestione delle identità e con la serie iShield Key 2, un dipartimento di polizia del sud-est degli Stati Uniti ha completato la verifica statale in circa cinque ore — con una riduzione di oltre 80% — e ha superato la successiva verifica CJIS dell’FBI nello stesso lasso di tempo ridotto.
I metodi tradizionali di autenticazione a più fattori (MFA) — password monouso via SMS, app di autenticazione — si basano su segreti condivisi che possono essere intercettati tramite attacchi di phishing, SIM swapping o attacchi man-in-the-middle. L’autenticazione a più fattori (MFA) resistente al phishing utilizza la crittografia a chiave pubblica collegata a uno specifico dispositivo registrato, rendendo tecnicamente impossibile la riproduzione o il reindirizzamento delle credenziali verso un sito fraudolento. Per le forze dell’ordine, questa distinzione separa l’autenticazione a più fattori (MFA) conforme ai requisiti CJIS da quella che non lo è.
Sì. Il Serie RSA iShield Key 2 supporta la gestione basata su cloud, consentendo ai reparti di piccole e medie dimensioni di configurare, monitorare e revocare gli autenticatori senza bisogno di un’infrastruttura in loco. La piattaforma RSA offre una visibilità centralizzata su tutti gli eventi di autenticazione, consentendo così ai reparti che in precedenza impiegavano giorni per raccogliere le prove di audit di produrle ora in poche ore.
Incluso