6 Criminal Justice Information (CJI) umfasst sensible Daten, die von Strafverfolgungsbehörden, Gerichten und Justizvollzugseinrichtungen erhoben, verarbeitet und geteilt werden. Dazu können Strafregisterauszüge, biometrische Daten, Ermittlungsakten und digitale Beweismittel wie Aufnahmen von Bodycams gehören. Zum Schutz dieser Informationen veröffentlicht die Criminal Justice Information Services (CJIS) Division des FBI die CJIS Security Policy (auf Englisch), die die technischen, betrieblichen und administrativen Schutzmaßnahmen für Organisationen festlegt, die CJI speichern oder darauf zugreifen. CJIS gilt für: Strafverfolgungsbehörden Gerichte und Justizvollzugseinrichtungen Behörden auf Bundesstaats- und kommunaler Ebene Auftragnehmer und Service Provider mit Zugriff auf CJI Da Speichersysteme CJI vorhalten, replizieren und archivieren, sind sie zentral für die Compliance. Ob On-Premises, in einer Private Cloud oder in einer gehosteten Umgebung bereitgestellt – Speicherplattformen müssen Verschlüsselung, Zugriffskontrolle, Logging und Schutzmaßnahmen für den Lebenszyklus gemäß den CJIS-Anforderungen durchsetzen. Diese Checkliste für CJIS-konformen Speicher bietet einen strukturierten Rahmen, um Speicherumgebungen zu bewerten und zu gestalten, die mit der Richtlinie übereinstimmen und auditbereit sind. 1. Checkliste für Governance und Ausrichtung an der Richtlinie Bevor Sie technische Kontrollen bewerten, sollten Sie sicherstellen, dass die grundlegenden Governance-Elemente vorhanden sind. ☐ CJIS-Geltungsbereich für gespeicherte Daten dokumentieren Alle als CJI eingestuften Datentypen identifizieren. Erfassen, wo CJI gespeichert sind (Primär-, Backup-, Archiv- und Testumgebungen). Strukturierte und unstrukturierte Daten einbeziehen (Dateien, Objekte, Logs, Bilder, Videos). ☐ Abschnitte der CJIS Security Policy den Speicherkontrollen zuordnen Anforderungen an Verschlüsselung, Zugriffskontrolle, Auditing und Medienschutz konkreten Speicherfunktionen zuordnen. Dokumentieren, wie jede Anforderung erfüllt wird. Ausgleichende Kontrollen, wo zutreffend, identifizieren und dokumentieren. ☐ Modell der geteilten Verantwortung festlegen (falls zutreffend) Die Verantwortlichkeiten zwischen Behörde und Service Provider klären. Festlegen, welche Partei Folgendes verwaltet: Verschlüsselungsschlüssel Bereitstellung von Benutzerzugängen Physische Sicherheit Logging und Monitoring ☐ Schriftliche Sicherheitsrichtlinien für den Speicher pflegen Richtlinie zur Zugriffskontrolle Verschlüsselungsstandards Verfahren für den Umgang mit Datenträgern Verfahren für die Incident Response Richtlinien sollten versioniert und regelmäßig überprüft werden. 2. Checkliste für Verschlüsselungskontrollen Verschlüsselung ist ein zentraler Bestandteil CJIS-konformen Speichers. Die Kontrollen müssen durchsetzbar sein und den Standards der US-Bundesbehörden entsprechen. ☐ CJI bei der Übertragung verschlüsseln TLS für alle Client-Verbindungen erzwingen. Unsichere Protokolle und Cipher deaktivieren. Nach FIPS 140-2 oder neuer validierte kryptografische Module verwenden. Standards für die TLS-Konfiguration dokumentieren. ☐ CJI im Ruhezustand verschlüsseln Verschlüsselung im Ruhezustand für alle Speicherpools mit CJI aktivieren. Verschlüsselung einheitlich anwenden auf: Primärspeicher Backup-Repositories Archivstufen Verhindern, dass Administratoren die Verschlüsselung ohne Change Control deaktivieren. ☐ Sicheres Schlüsselmanagement umsetzen Die Verwaltung der Verschlüsselungsschlüssel zentralisieren. Den Zugriff auf Schlüssel auf autorisiertes Personal beschränken. Schlüssel gemäß festgelegter Richtlinie rotieren. Erstellung, Rotation und Löschung von Schlüsseln protokollieren. ☐ FIPS-Compliance validieren Bestätigen, dass kryptografische Module, wo erforderlich, FIPS-validiert sind. Dokumentation für Audits pflegen. Verschlüsselungseinstellungen sollten regelmäßig getestet und überprüft und nicht einfach vorausgesetzt werden. 3. Checkliste für Identity and Access Management CJIS verlangt strenge Identitäts- und Authentifizierungskontrollen zum Schutz von CJI. ☐ Eindeutige Benutzeridentifikation durchsetzen Gemeinsam genutzte Konten verbieten. Speichersysteme in Identitätsanbieter des Unternehmens integrieren (z. B. Active Directory oder LDAP). Sicherstellen, dass Dienstkonten eindeutig identifizierbar sind. ☐ Rollenbasierte Zugriffskontrolle (RBAC) umsetzen Rollen entsprechend den Aufgabenbereichen festlegen. Das Prinzip der minimalen Rechte anwenden. Administrative Rechte auf eine kleine Gruppe beschränken. ☐ Starke Authentifizierung durchsetzen Komplexe Passwörter verlangen, die den CJIS-Standards entsprechen. Multi-Faktor-Authentifizierung (MFA) einführen für: Fernzugriff Administrative Konten Kontrollen für Sitzungs-Timeouts anwenden. ☐ Regelmäßige Überprüfungen der Zugriffsrechte durchführen Benutzerzugänge in festgelegten Abständen überprüfen. Zugänge ausgeschiedener oder versetzter Mitarbeitender umgehend entfernen. Ergebnisse der Überprüfung dokumentieren. ☐ Zugriff auf Systemebene einschränken Den direkten Zugriff auf Speicherknoten begrenzen. Kontrollierte Verwaltungsoberflächen nutzen. Alle administrativen Zugriffsversuche protokollieren. Zugriffskontrollen sollten sowohl auf der Speicher- als auch auf der Identitätsebene durchgesetzt werden. 4. Checkliste für Audit-Logging und Monitoring CJIS verlangt Nachvollziehbarkeit durch umfassendes Logging. ☐ Detaillierte Audit-Logs für den Speicher aktivieren Logs sollten Folgendes erfassen: Erfolgreiche und fehlgeschlagene Anmeldeversuche Datenzugriffsereignisse Administrative Aktionen Konfigurationsänderungen Rechteausweitungen ☐ Integrität der Logs sicherstellen Logs vor unbefugter Veränderung schützen. Rechte zum Löschen von Logs einschränken. Unveränderliche oder manipulationssichere Logging-Mechanismen in Betracht ziehen. ☐ Uhrzeit über alle Systeme synchronisieren Vertrauenswürdige Zeitquellen nutzen (z. B. NTP). Einheitliche Zeitstempel über Speicherknoten und Monitoring-Systeme sicherstellen. ☐ In ein SIEM integrieren Logs exportieren in ein zentrales System für Security Information and Event Management. Auf auffällige Zugriffsmuster überwachen. Alarmschwellen für verdächtige Aktivitäten festlegen. ☐ Logs gemäß Richtlinie aufbewahren Aufbewahrungsfristen für Logs gemäß CJIS- und Behördenanforderungen festlegen. Ältere Logs sicher archivieren. Aufbewahrungspläne dokumentieren. Audit-Funktionen sollten sowohl die routinemäßige Überwachung als auch forensische Untersuchungen unterstützen. 5. Checkliste für physische und umgebungsbezogene Sicherheit CJIS umfasst Anforderungen an den physischen Schutz von Systemen, die CJI speichern. ☐ Zugang zum Rechenzentrum sichern Den physischen Zugang auf autorisiertes Personal beschränken. Zugangsprotokolle führen. Ausweiskontrollen oder gleichwertige Kontrollen nutzen. ☐ Zugang zur Einrichtung überwachen Besucherzugänge protokollieren. Nicht autorisierte Besucher begleiten. Besucherprotokolle gemäß Richtlinie aufbewahren. ☐ Schutzmaßnahmen für die Umgebung umsetzen Brandschutzsysteme Klimatisierung Redundante Stromversorgung ☐ Kontrollen von Cloud- oder Hosting-Anbietern validieren Wird der Speicher gehostet: Bestätigen, dass der Anbieter physische Sicherheitskontrollen durchsetzt. Audit-Berichte Dritter prüfen. Sicherstellen, dass die Anforderungen des CJIS Security Addendum erfüllt sind. Physische Kontrollen sind für CJIS-konformen Speicher ebenso wichtig wie logische Kontrollen. 6. Checkliste für Medienschutz und Datenlebenszyklus CJIS verlangt einen strengen Umgang mit Speichermedien und Daten über den gesamten Lebenszyklus. ☐ Physischen Transport von Datenträgern kontrollieren Die Bewegung von Laufwerken oder Backup-Medien nachverfolgen. Sichere Behälter für den Transport verwenden. Dokumentation der Beweiskette (Chain of Custody) führen. ☐ Datenträger vor Entsorgung oder Wiederverwendung bereinigen Zugelassene Verfahren zur Datenlöschung verwenden. Verfahren zur Vernichtung oder Löschung dokumentieren. Aufzeichnungen über ausgemusterte Laufwerke führen. ☐ Richtlinien für sicheres Löschen von Daten umsetzen Fristen für die Datenaufbewahrung festlegen. Lifecycle-Richtlinien nach Möglichkeit automatisieren. Die Löschung abgelaufener Daten überprüfen. ☐ Unveränderlichkeit anwenden, wo erforderlich Für digitale Beweismittel oder Aufzeichnungen: WORM-Funktionen (Write Once, Read Many) oder Object Lock aktivieren. Unbefugtes Löschen während der Aufbewahrungsfristen verhindern. Lifecycle-Management sollte richtliniengesteuert und prüfbar sein. 7. Checkliste für Backup und Wiederherstellung Backup-Systeme, die CJI speichern, müssen dieselben Sicherheitsstandards erfüllen wie der Primärspeicher. ☐ Backup-Daten verschlüsseln Backups im Ruhezustand und bei der Übertragung verschlüsseln. Einheitliche Verschlüsselungsstandards über alle Umgebungen hinweg anwenden. ☐ Zugriff auf Backup-Systeme einschränken Den administrativen Zugriff auf die Backup-Infrastruktur begrenzen. Restore- und Wiederherstellungsaktionen protokollieren. ☐ Externe Speicherung absichern Sicherstellen, dass der physische Schutz den CJIS-Anforderungen entspricht. Vereinbarungen über Speicherung bei Dritten, falls zutreffend, dokumentieren. ☐ Wiederherstellungsverfahren testen Regelmäßige Wiederherstellungstests durchführen. Ergebnisse dokumentieren. Prüfen, ob wiederhergestellte Daten weiterhin durch CJIS-Kontrollen geschützt sind. Backup-Umgebungen werden oft übersehen, fallen aber in den Geltungsbereich der Compliance. 8. Checkliste für Netzwerksicherheit Speichersysteme müssen innerhalb einer sicheren Netzwerkarchitektur betrieben werden. ☐ Speichernetzwerke segmentieren Speicherverkehr von allgemeinen Netzwerken isolieren. Den Zugriff auf genehmigte Subnetze beschränken. ☐ Externen Zugriff einschränken Unnötige eingehende Verbindungen blockieren. Sichere Gateways oder VPNs für den Fernzugriff nutzen. ☐ Netzwerkverkehr überwachen Speicherbezogene Netzwerkereignisse protokollieren. Auffällige Muster erkennen. ☐ Speicherschnittstellen härten Nicht genutzte Dienste deaktivieren. Verwaltungsschnittstellen regelmäßig patchen. Konfigurations-Baselines anwenden. Das Netzwerkdesign wirkt sich direkt auf das Risiko aus, dass CJI offengelegt werden. 9. Checkliste für personelle Sicherheit CJIS enthält Anforderungen an das Personal, die den Speicherbetrieb betreffen. ☐ Vorgeschriebene Hintergrundprüfungen durchführen Sicherstellen, dass Personal mit Zugriff auf CJI die vorgeschriebenen Überprüfungen durchläuft. Den Status der Überprüfungen dokumentieren. ☐ Mitarbeitende zu CJIS-Anforderungen schulen Schulungen zum Sicherheitsbewusstsein anbieten. Administratoren über speicherspezifische Verantwortlichkeiten informieren. Abgeschlossene Schulungen dokumentieren. ☐ Zugriff durch Dritte begrenzen Zugriff nur gewähren, wo er vertraglich autorisiert ist. Das Prinzip der minimalen Rechte für Anbieter und Auftragnehmer durchsetzen. Personelle Maßnahmen sind ein wesentlicher Bestandteil des Betriebs von CJIS-konformem Speicher. 10. Checkliste für Incident Response und Auditbereitschaft Speicherumgebungen müssen eine schnelle Reaktion auf Sicherheitsvorfälle unterstützen. ☐ Verfahren für die Incident Response pflegen Eskalationspfade festlegen. Speicherspezifische Schritte zur Eindämmung aufnehmen. Verfahren an den Meldepflichten nach CJIS ausrichten. ☐ Forensische Beweise sichern Sicherstellen, dass Logs schnell abgerufen werden können. Eine Manipulation von Logs während Untersuchungen verhindern. Verfahren für den Umgang mit Beweismitteln dokumentieren. ☐ Interne Audits durchführen Speicherkonfigurationen regelmäßig überprüfen. Verschlüsselung und Zugriffskontrollen validieren. Feststellungen und Abhilfemaßnahmen dokumentieren. ☐ Audit-Dokumentation vorbereiten Aufzeichnungen führen über: Verschlüsselungskonfigurationen Überprüfungen der Zugriffsrechte Richtlinien zur Aufbewahrung von Logs Protokolle zur Vernichtung von Datenträgern Schulungsnachweise Auditbereitschaft erfordert eine kontinuierliche Dokumentation, keine Vorbereitung in letzter Minute. 11. Checkliste für die Bewertung der Architektur Bei der Auswahl oder Überprüfung einer Speicherplattform für CJI sollten Sie folgende Fähigkeiten bestätigen: ☐ Unterstützt FIPS-validierte Verschlüsselung ☐ Lässt sich in Identitätssysteme des Unternehmens integrieren ☐ Bietet granulare RBAC ☐ Erzeugt detaillierte, exportierbare Audit-Logs ☐ Unterstützt Unveränderlichkeit für die Aufbewahrung von Beweismitteln ☐ Ermöglicht zentrales Richtlinienmanagement ☐ Skaliert, ohne die Sicherheitskontrollen zu schwächen ☐ Wahrt einheitliche Kontrollen über Bereitstellungen an mehreren Standorten Die Architektur sollte die Durchsetzung der CJIS-Kontrollen vereinfachen, statt umfangreiche Anpassungen zu erfordern. Checkliste für die laufende Compliance CJIS-Compliance ist nicht statisch. Speicherumgebungen müssen sich mit Aktualisierungen der Richtlinie und betrieblichen Veränderungen weiterentwickeln. ☐ Aktualisierungen der CJIS Security Policy verfolgen ☐ Konfigurationen nach größeren Upgrades überprüfen ☐ Zugriffskontrollen regelmäßig neu bewerten ☐ Verschlüsselungseinstellungen bei Audits validieren ☐ Logging- und Monitoring-Workflows testen ☐ Alle Konfigurationsänderungen dokumentieren Kontinuierliche Validierung hilft sicherzustellen, dass CJIS-konformer Speicher dauerhaft konform bleibt. Abschließende Prüfung: Validierung CJIS-konformen Speichers Bevor Sie feststellen, dass der Speicher CJIS-konform ist, sollten Sie bestätigen: Alle Speicherorte von CJI sind identifiziert. Verschlüsselung wird einheitlich durchgesetzt. Zugriffskontrollen folgen dem Prinzip der minimalen Rechte. Logs sind umfassend, geschützt und werden aufbewahrt. Physische Kontrollen und Kontrollen für Datenträger sind dokumentiert. Personelle Verfahren und Verfahren für die Incident Response sind an der Richtlinie ausgerichtet. CJIS-konformer Speicher entsteht durch abgestimmte technische, betriebliche und administrative Kontrollen. Ein strukturierter Checklisten-Ansatz hilft Behörden und Service Providern, die Übereinstimmung mit der CJIS Security Policy nachzuweisen und zugleich sichere, resiliente und skalierbare Datenumgebungen zu betreiben.
