Proteção de dados confidenciais do departamento de polícia com autenticação multifator resistente a phishing
Quando um departamento de polícia do sudeste dos EUA foi informado de que auditores estaduais chegariam ainda naquela semana para realizar uma avaliação de conformidade com o CJIS composta por 360 perguntas, a maioria dos departamentos teria entrado em pânico. Esse, porém, não — porque sua infraestrutura de identidade já estava preparada exatamente para esse momento.
Eles foram aprovados na auditoria em aproximadamente cinco horas. Pouco tempo depois, foram aprovados em uma auditoria do CJIS do FBI no mesmo período.
O estudo de caso completo explica a solução da RSA que foi implantada e o que os resultados da auditoria revelaram sobre a postura de segurança da empresa.
Baixe o estudo de caso agora ou continue lendo para conhecer os conceitos-chave e as perguntas mais comuns que dão o tom da história.
O estudo de caso aborda:
- O desafio específico de conformidade com as normas do CJIS que o departamento enfrentou — e por que a abordagem anterior os deixou vulneráveis
- Como a série iShield Key 2 da RSA foi implantada entre funcionários e administradores, substituindo as senhas por autenticação por meio de hardware
- Por que os auditores conseguiram verificar a conformidade em questão de horas, em vez de dias — e qual documentação fez a diferença
- Como a mesma implantação atendeu aos requisitos de auditoria do CJIS, tanto do estado quanto do FBI, sem necessidade de preparação adicional
- O que esse resultado significa para outras agências de aplicação da lei que precisam lidar com os requisitos avançados de autenticação do CJIS
O estudo de caso faz referência a várias normas técnicas fundamentais para a forma como as agências de aplicação da lei são obrigadas a proteger os dados da justiça criminal. Essas definições fornecem o contexto por trás dos requisitos de conformidade que o departamento cumpriu — e que qualquer agência que acesse os sistemas do FBI deve respeitar.
Informações sobre Justiça Criminal (CJI)
As Informações de Justiça Criminal (CJI) referem-se aos dados confidenciais gerenciados e protegidos pela Política de Segurança do CJIS, incluindo dados biométricos, histórico de identidade, dados biográficos, dados patrimoniais e histórico de processos e incidentes. O acesso às CJI é rigidamente regulamentado pelo FBI e exige controles rigorosos de autenticação em todos os pontos de acesso. Qualquer órgão — federal, estadual ou municipal — que armazene, processe ou transmita Informações de Justiça Criminal (CJI) deve comprovar a conformidade com as normas do CJIS durante auditorias regulares. O acesso não autorizado aos sistemas de CJI pode comprometer investigações em andamento e resultar na suspensão do acesso do órgão a bancos de dados essenciais para a aplicação da lei.
Política de Segurança do CJIS
A Política de Segurança do CJIS é um documento emitido pela Divisão de Serviços de Informação da Justiça Criminal do FBI que estabelece requisitos mínimos de segurança para órgãos que acessam os sistemas de dados de justiça criminal do FBI. Ela abrange 13 áreas de política, incluindo controle de acesso, auditoria, gerenciamento de configuração e — fundamentalmente — autenticação avançada. A política é atualizada regularmente e exige que as agências adaptem suas medidas de segurança à medida que as ameaças mudam. O não cumprimento pode resultar na suspensão do acesso a sistemas como o Centro Nacional de Informações Criminais (NCIC), privando as agências de dados essenciais para as operações diárias de aplicação da lei.
Autenticação multifatorial (MFA) resistente a phishing
MFA resistente a phishing é uma categoria de autenticação que utiliza mecanismos criptográficos para impedir que credenciais sejam capturadas ou reproduzidas por invasores. Ao contrário dos métodos tradicionais de MFA que dependem de segredos compartilhados — como um código enviado por SMS ou gerado por um aplicativo autenticador —, a MFA resistente a phishing vincula a autenticação a um dispositivo físico específico e a um aplicativo registrado específico. Isso torna tecnicamente impossível para um invasor redirecionar a resposta de autenticação, mesmo que um usuário seja induzido a visitar um site fraudulento. Para órgãos de segurança pública que acessam o CJI fora de locais fisicamente seguros, a MFA resistente a phishing é agora o padrão exigido pela Política de Segurança do CJIS.
FIDO2 e Passkeys
O FIDO2 é um padrão aberto de autenticação desenvolvido pela Aliança FIDO que permite o login sem senha e resistente a tentativas de phishing por meio da criptografia de chave pública. Quando um usuário registra um dispositivo FIDO2, é gerado um par exclusivo de chaves criptográficas — a chave privada nunca sai do dispositivo, enquanto a chave pública é registrada no aplicativo ou serviço. Para as autoridades policiais, as chaves FIDO2 vinculadas ao hardware oferecem o mais alto nível de segurança, pois a chave privada não pode ser extraída, copiada ou utilizada em nenhum outro dispositivo — garantindo que a autenticação permaneça vinculada a um indivíduo específico e identificável.
FIPS 140-3 Nível 3
A FIPS 140-3 é uma norma federal dos EUA publicada pelo NIST que define requisitos de segurança para módulos criptográficos. O Nível 3 exige mecanismos físicos de resistência à adulteração, autenticação baseada em identidade para acesso ao módulo criptográfico e proteções ambientais adicionais contra ataques físicos. Um autenticador de hardware certificado pela norma FIPS 140-3 Nível 3 — como o Série RSA iShield Key 2—garante que as operações criptográficas e o armazenamento de chaves atendam a rigorosos requisitos federais, e sua presença acelera significativamente a revisão de auditoria do CJIS, ao fornecer aos auditores evidências imediatas e verificáveis da qualidade dos controles de segurança.
CJIS significa Serviços de Informação da Justiça Criminal, uma divisão do FBI responsável por definir políticas de segurança que regem o acesso a dados confidenciais da justiça criminal — incluindo impressões digitais, antecedentes criminais e informações sobre mandados. Qualquer órgão de segurança pública que acesse esses dados deve cumprir os requisitos da Política de Segurança do CJIS, que abrangem gestão de identidades, controle de acesso e criptografia. O descumprimento pode resultar na perda do acesso a bancos de dados essenciais do FBI, incluindo o Centro Nacional de Informações Criminais (NCIC).
A Política de Segurança do CJIS exige autenticação avançada para qualquer usuário que acesse informações da justiça criminal de fora de um local fisicamente seguro. MFA resistente a phishing—como as chaves de segurança de hardware FIDO2—atendem a esse requisito por meio de autenticação criptográfica que não pode ser interceptada, replicada ou alvo de engenharia social, garantindo que mesmo uma senha comprometida não possa conceder acesso não autorizado aos sistemas CJI.
O Série RSA iShield Key 2 é uma chave de segurança de hardware que oferece autenticação sem senha FIDO2, certificada pela norma FIPS 140-3 Nível 3 — o padrão federal exigido para os dados governamentais mais confidenciais. Agentes e administradores utilizam a chave física para autenticar o acesso aos sistemas de justiça criminal; como ela gera uma resposta criptográfica exclusiva para cada login, não pode ser alvo de phishing, clonada ou utilizada por pessoas não autorizadas, mesmo que uma senha seja comprometida.
Uma auditoria padrão do CJIS, envolvendo 360 perguntas de segurança, normalmente exige uma semana inteira de trabalho da equipe. Ao implementar a solução da RSA plataforma de gerenciamento de identidade E, com a série iShield Key 2, um departamento de polícia do sudeste dos EUA concluiu sua auditoria estadual em aproximadamente cinco horas — uma redução de mais de 80% — e foi aprovado na auditoria CJIS do FBI realizada em seguida, no mesmo prazo reduzido.
Os métodos tradicionais de MFA — senhas de uso único por SMS, aplicativos autenticadores — dependem de segredos compartilhados que podem ser interceptados por meio de phishing, troca de SIM ou ataques do tipo “man-in-the-middle”. A MFA resistente a phishing utiliza criptografia de chave pública vinculada a um dispositivo registrado específico, tornando tecnicamente impossível reproduzir ou redirecionar credenciais para um site fraudulento. Para as agências de aplicação da lei, essa distinção separa a MFA que atende aos requisitos do CJIS daquela que não atende.
Sim. O Série RSA iShield Key 2 oferece suporte ao gerenciamento baseado em nuvem, permitindo que departamentos de pequeno ou médio porte provisionem, monitorem e revoguem autenticadores sem a necessidade de infraestrutura local. A plataforma RSA oferece visibilidade centralizada de todos os eventos de autenticação, de modo que os departamentos que antes levavam dias para reunir evidências de auditoria agora podem produzi-las em questão de horas.
Incluído