フィッシングに強い多要素認証で警察庁の機密データを守る
米国南東部のある警察署が、州の監査官が今週中に到着し、360問からなるCJISコンプライアンス審査を実施するという通知を受けたとき、ほとんどの警察署なら慌てふためいたことでしょう。しかし、この警察署はそうなりませんでした。なぜなら、まさにこのような事態に備えて、すでにアイデンティティインフラが整備されていたからです。.
彼らは約5時間で監査に合格した。その直後、同じ時間枠内でFBIのCJIS監査にも合格した。.
このケーススタディの全文では、同社が導入したRSAのソリューションと、監査結果から明らかになった同社のセキュリティ態勢について解説しています。.
今すぐケーススタディをダウンロード あるいは、この物語の骨子となる重要な概念やよくある質問について、以下を読み進めてください。.
このケーススタディでは、以下の内容を取り上げています：
- 同部門が直面したCJISコンプライアンスに関する具体的な課題――そして、従来の取り組みがなぜセキュリティ上のリスクを招いたのか
- RSAの「iShield Key 2シリーズ」が、役員や管理職を対象にどのように導入され、パスワードをハードウェアによる認証に置き換えたか
- 監査人が、数日ではなく数時間でコンプライアンスの遵守状況を確認できた理由――そして、その決定的な要因となった文書とは
- 追加の準備を一切行わずに、同一の導入で州およびFBIのCJIS監査要件の両方を満たすことができた経緯
- この結果が、CJISの高度な認証要件に対応している他の法執行機関にとってどのような意味を持つのか
この事例研究では、法執行機関が刑事司法データを保護するために遵守が求められる、いくつかの技術基準について言及している。これらの定義は、同省が満たしたコンプライアンス要件の背景となる文脈を示しており、FBIのシステムにアクセスするあらゆる機関が対応しなければならない事項である。.
刑事司法情報（CJI）
刑事司法情報（CJI）とは、CJISセキュリティポリシーに基づき管理・保護される機密データを指し、生体認証データ、身元履歴、個人経歴データ、財産データ、および事件・事案の履歴などが含まれます。CJIへのアクセスはFBIによって厳格に規制されており、すべてのアクセスポイントにおいて厳格な認証管理が求められます。 CJIを保管、処理、または送信する連邦、州、地方を問わず、あらゆる機関は、定期的な監査においてCJIS基準への準拠を実証しなければなりません。CJIシステムへの不正アクセスは、進行中の捜査に支障をきたす可能性があり、その結果、当該機関の重要な法執行データベースへのアクセスが停止されることになりかねません。.
CJISセキュリティポリシー
CJISセキュリティポリシーは、FBIの刑事司法情報サービス部門が発行した文書であり、FBIの刑事司法データシステムにアクセスする機関に対する最低限のセキュリティ要件を定めています。このポリシーは、アクセス制御、監査、構成管理、そして特に重要な「高度な認証」を含む13の政策分野を網羅しています。 このポリシーは定期的に更新されており、脅威の変化に応じて各機関がセキュリティ体制を適宜見直すことが求められています。これに準拠しない場合、全米犯罪情報センター（NCIC）などのシステムへのアクセスが停止され、日常の法執行業務に不可欠なデータを利用できなくなる可能性があります。.
フィッシング対策機能を備えた多要素認証（MFA）
フィッシングに強いMFA これは、攻撃者による認証情報の傍受や再利用を防ぐために暗号化メカニズムを用いる認証の一種です。SMSで送信されるコードや認証アプリで生成されるコードなど、共有秘密鍵に依存する従来のMFA手法とは異なり、フィッシング耐性のあるMFAでは、認証を特定の物理デバイスおよび特定の登録済みアプリケーションに紐付けます。 これにより、たとえユーザーが騙されて偽のウェブサイトにアクセスしてしまったとしても、攻撃者が認証応答をリダイレクトすることは技術的に不可能となります。物理的に安全な場所以外からCJIにアクセスする法執行機関については、CJISセキュリティポリシーに基づき、フィッシング耐性のあるMFAが必須の基準となっています。.
FIDO2とパスキー
FIDO2は、FIDOアライアンスによって開発されたオープンな認証規格であり、公開鍵暗号技術を用いて、パスワード不要かつフィッシング攻撃に強いログインを実現します。 ユーザーが FIDO2 デバイスを登録すると、一意の暗号鍵ペアが生成されます。秘密鍵はデバイス外に出ることは決してありませんが、公開鍵はアプリケーションやサービスに登録されます。 法執行機関にとって、ハードウェアに紐づけられた FIDO2 鍵は、秘密鍵を抽出・複製したり、他のデバイスで使用したりすることができないため、最高レベルの保証を提供し、認証が特定の責任ある個人に確実に紐づけられることを保証します。.
FIPS 140-3 レベル 3
FIPS 140-3 は、NIST が公表した米国連邦規格であり、暗号モジュールのセキュリティ要件を規定しています。レベル 3 では、物理的な改ざん防止メカニズム、暗号モジュールへのアクセスにおける ID ベースの認証、および物理的攻撃に対する追加の環境保護措置が求められます。 FIPS 140-3 レベル 3 認定のハードウェア認証装置（例えば、 RSA iShield Key 2 シリーズ—暗号処理および鍵の保管が厳格な連邦政府の要件を満たしていることを保証するものであり、監査担当者にセキュリティ管理の品質に関する即座に確認可能な証拠を提供することで、CJIS監査の審査を大幅に迅速化します。.
CJISとは「刑事司法情報サービス（Criminal Justice Information Services）」の略称であり、FBIの一部門として、指紋、犯罪歴、逮捕状情報など、機密性の高い刑事司法データへのアクセスを規定するセキュリティポリシーを策定しています。 このデータにアクセスする法執行機関はすべて、ID管理、アクセス制御、暗号化などを規定するCJISセキュリティポリシーの要件を遵守しなければなりません。要件を遵守しない場合、全米犯罪情報センター（NCIC）を含むFBIの重要なデータベースへのアクセス権を失う可能性があります。.
CJISセキュリティポリシーでは、物理的に安全な場所の外から刑事司法情報にアクセスするすべてのユーザーに対し、高度な認証を義務付けています。. フィッシングに強いMFA—FIDO2ハードウェアセキュリティキーなど—は、傍受や複製、ソーシャルエンジニアリングが不可能な暗号認証を用いてこの要件を満たしており、たとえパスワードが漏洩した場合でも、CJIシステムへの不正アクセスを許さないよう保証しています。.
アメリカの RSA iShield Key 2 シリーズ FIPS 140-3 レベル 3（最も機密性の高い政府データに求められる連邦規格）の認証を取得した、FIDO2 パスワードレス認証を実現するハードウェアセキュリティキーです。 担当官や管理者は、この物理キーを使用して刑事司法システムへのアクセスを認証します。ログインのたびに一意の暗号応答が生成されるため、たとえパスワードが漏洩したとしても、フィッシング攻撃や複製、権限のない者による不正利用を防ぐことができます。.
360のセキュリティ質問を含む標準的なCJIS監査には、通常、担当者の作業時間が1週間かかります。RSAの ID管理プラットフォーム また、iShield Key 2シリーズを導入した米国南東部の某警察署は、州による監査を約5時間で完了させ（80%以上の短縮）、その後のFBIのCJIS監査も同様に短縮された期間で合格しました。.
従来のMFA手法（SMSによるワンタイムパスワードや認証アプリなど）は、フィッシング、SIMスワッピング、あるいは中間者攻撃によって傍受される可能性のある共有秘密鍵に依存しています。 フィッシング耐性のあるMFAは、特定の登録済みデバイスに紐付けられた公開鍵暗号技術を採用しており、認証情報の再利用や不正サイトへのリダイレクトを技術的に不可能にしています。法執行機関にとって、この違いこそが、CJIS要件を満たすMFAと満たさないMFAを区別する基準となります。.
はい。その RSA iShield Key 2 シリーズ クラウドベースの管理に対応しており、中小規模の部門でも、オンプレミスのインフラを必要とせずに認証デバイスのプロビジョニング、監視、および無効化を行うことができます。RSAプラットフォームは、すべての認証イベントを一元的に可視化するため、以前は監査証拠の収集に数日かかっていた部門でも、今では数時間で作成できるようになりました。.
含まれる