2 Les informations relatives à la justice pénale (CJI) regroupent des données sensibles collectées, traitées et partagées par les forces de l’ordre, les tribunaux et les établissements pénitentiaires. Il peut s’agir de casiers judiciaires, de données biométriques, de dossiers d’enquête et de preuves numériques comme les enregistrements de caméras piétons. Pour protéger ces informations, la division Criminal Justice Information Services (CJIS) du FBI publie la CJIS Security Policy, qui définit les mesures de protection techniques, opérationnelles et administratives exigées des organisations qui stockent des CJI ou y accèdent. La CJIS s’applique : Aux forces de l’ordre Aux tribunaux et établissements pénitentiaires Aux administrations des États et des collectivités locales Aux sous-traitants et fournisseurs de services ayant accès aux CJI Les systèmes de stockage hébergeant, répliquant et archivant les CJI, ils sont au cœur de la conformité. Qu’elles soient déployées on-premise, dans un cloud privé ou dans un environnement hébergé, les plateformes de stockage doivent appliquer des mesures de chiffrement, de contrôle d’accès, de journalisation et de gestion du cycle de vie conformes aux exigences de la CJIS. Cette liste de contrôle du stockage conforme CJIS fournit un cadre structuré pour évaluer et concevoir des environnements de stockage alignés sur la politique et prêts pour l’audit. 1. Liste de contrôle de gouvernance et d’alignement sur la politique Avant d’évaluer les contrôles techniques, vérifiez que les éléments de gouvernance fondamentaux sont en place. ☐ Documenter le périmètre CJIS des données stockées Identifiez tous les types de données classés comme CJI. Cartographiez où les CJI sont stockées (environnements principaux, de sauvegarde, d’archivage, de test). Incluez les données structurées et non structurées (fichiers, objets, journaux, images, vidéos). ☐ Faire correspondre les sections de la CJIS Security Policy aux contrôles de stockage Alignez les exigences de chiffrement, de contrôle d’accès, d’audit et de protection des supports sur des fonctionnalités de stockage précises. Documentez la façon dont chaque exigence est satisfaite. Identifiez et documentez les contrôles compensatoires, le cas échéant. ☐ Définir le modèle de responsabilité partagée (le cas échéant) Clarifiez les responsabilités entre l’agence et le fournisseur de services. Confirmez quelle partie gère : Les clés de chiffrement L’attribution des accès utilisateurs La sécurité physique La journalisation et la supervision ☐ Tenir à jour des politiques écrites de sécurité du stockage Politique de contrôle d’accès Normes de chiffrement Procédures de manipulation des supports Procédures de réponse aux incidents Les politiques doivent être versionnées et revues périodiquement. 2. Liste de contrôle du chiffrement Le chiffrement est un élément central du stockage conforme CJIS. Les contrôles doivent être applicables et alignés sur les normes fédérales. ☐ Chiffrer les CJI en transit Imposez TLS pour toutes les connexions clientes. Désactivez les protocoles et suites de chiffrement non sécurisés. Utilisez des modules cryptographiques validés FIPS 140-2 ou plus récents. Documentez les normes de configuration TLS. ☐ Chiffrer les CJI au repos Activez le chiffrement au repos pour tous les pools de stockage contenant des CJI. Appliquez le chiffrement de façon cohérente sur : Le stockage principal Les référentiels de sauvegarde Les niveaux d’archivage Empêchez les administrateurs de désactiver le chiffrement sans contrôle des changements. ☐ Mettre en œuvre une gestion sécurisée des clés Centralisez la gestion des clés de chiffrement. Limitez l’accès aux clés au seul personnel autorisé. Renouvelez les clés selon une politique définie. Journalisez la création, le renouvellement et la suppression des clés. ☐ Valider la conformité FIPS Confirmez que les modules cryptographiques sont validés FIPS lorsque c’est requis. Conservez la documentation à des fins d’audit. Les paramètres de chiffrement doivent être testés et vérifiés périodiquement, et non supposés acquis. 3. Liste de contrôle de la gestion des identités et des accès La CJIS exige des contrôles stricts d’identité et d’authentification pour protéger les CJI. ☐ Imposer une identification unique des utilisateurs Interdisez les comptes partagés. Intégrez les systèmes de stockage aux fournisseurs d’identité de l’entreprise (par exemple Active Directory ou LDAP). Veillez à ce que les comptes de service soient identifiables de façon unique. ☐ Mettre en œuvre un contrôle d’accès basé sur les rôles (RBAC) Définissez des rôles alignés sur les fonctions. Appliquez le principe du moindre privilège. Limitez les privilèges administrateur à un groupe restreint. ☐ Imposer une authentification forte Exigez des mots de passe complexes conformes aux normes CJIS. Mettez en œuvre l’authentification multifacteur (MFA) pour : Les accès distants Les comptes administrateur Appliquez des délais d’expiration des sessions. ☐ Réaliser des revues périodiques des accès Revoyez les accès utilisateurs à intervalles définis. Supprimez rapidement les accès du personnel ayant quitté l’organisation ou changé de poste. Documentez les résultats des revues. ☐ Restreindre l’accès au niveau système Limitez l’accès direct aux nœuds de stockage. Utilisez des interfaces d’administration contrôlées. Journalisez toutes les tentatives d’accès administrateur. Le contrôle d’accès doit être appliqué à la fois au niveau de la couche de stockage et de la couche d’identité. 4. Liste de contrôle de la journalisation d’audit et de la supervision La CJIS exige une traçabilité assurée par une journalisation complète. ☐ Activer des journaux d’audit détaillés du stockage Les journaux doivent enregistrer : Les tentatives de connexion réussies et échouées Les accès aux données Les actions d’administration Les changements de configuration Les élévations de privilèges ☐ Garantir l’intégrité des journaux Protégez les journaux contre toute modification non autorisée. Restreignez les droits de suppression des journaux. Envisagez des mécanismes de journalisation immuables ou infalsifiables. ☐ Synchroniser l’heure entre les systèmes Utilisez des sources de temps fiables (par exemple NTP). Garantissez des horodatages cohérents entre les nœuds de stockage et les systèmes de supervision. ☐ S’intégrer au SIEM Exportez les journaux vers un système centralisé de gestion des informations et des événements de sécurité. Surveillez les schémas d’accès anormaux. Définissez des seuils d’alerte pour les activités suspectes. ☐ Conserver les journaux conformément à la politique Définissez des durées de conservation des journaux alignées sur les exigences de la CJIS et de l’agence. Archivez de façon sécurisée les journaux plus anciens. Documentez les calendriers de conservation. Les capacités d’audit doivent permettre à la fois la supervision courante et les enquêtes forensiques. 5. Liste de contrôle de la sécurité physique et environnementale La CJIS comporte des exigences de protection physique pour les systèmes qui stockent des CJI. ☐ Sécuriser l’accès au datacenter Limitez l’accès physique au personnel autorisé. Tenez des registres d’accès. Utilisez des badges d’accès ou des contrôles équivalents. ☐ Surveiller l’accès aux installations Enregistrez les accès des visiteurs. Accompagnez les visiteurs non autorisés. Conservez les registres des visiteurs conformément à la politique. ☐ Mettre en place des protections environnementales Systèmes d’extinction d’incendie Climatisation Redondance électrique ☐ Valider les contrôles du fournisseur cloud ou d’hébergement Si le stockage est hébergé : Confirmez que le fournisseur applique des contrôles de sécurité physique. Examinez les rapports d’audit tiers. Vérifiez que les exigences du CJIS Security Addendum sont respectées. Les contrôles physiques sont aussi essentiels que les contrôles logiques pour un stockage conforme CJIS. 6. Liste de contrôle de la protection des supports et du cycle de vie des données La CJIS exige une manipulation stricte des supports de stockage et des données tout au long de leur cycle de vie. ☐ Contrôler le transport des supports physiques Suivez les déplacements des disques ou des supports de sauvegarde. Utilisez des conteneurs sécurisés pour le transport. Tenez à jour une documentation de chaîne de traçabilité. ☐ Assainir les supports avant leur mise au rebut ou leur réutilisation Utilisez des méthodes d’effacement approuvées. Documentez les procédures de destruction ou d’effacement. Conservez des registres des disques mis hors service. ☐ Mettre en œuvre des politiques de suppression sécurisée des données Définissez des délais de conservation des données. Automatisez les politiques de cycle de vie lorsque c’est possible. Vérifiez la suppression des données arrivées à expiration. ☐ Appliquer l’immuabilité lorsque c’est requis Pour les preuves numériques ou les dossiers : Activez les fonctions WORM (write once, read many) ou object lock. Empêchez toute suppression non autorisée pendant les périodes de conservation. La gestion du cycle de vie doit être pilotée par des politiques et auditable. 7. Liste de contrôle de la sauvegarde et de la restauration Les systèmes de sauvegarde qui stockent des CJI doivent respecter les mêmes normes de sécurité que le stockage principal. ☐ Chiffrer les données de sauvegarde Chiffrez les sauvegardes au repos et en transit. Appliquez des normes de chiffrement cohérentes dans tous les environnements. ☐ Restreindre l’accès aux systèmes de sauvegarde Limitez l’accès administrateur à l’infrastructure de sauvegarde. Journalisez les actions de restauration et de récupération. ☐ Sécuriser le stockage hors site Assurez-vous que les protections physiques sont conformes aux exigences de la CJIS. Documentez les contrats de stockage auprès de tiers, le cas échéant. ☐ Tester les procédures de restauration Réalisez des tests de restauration périodiques. Documentez les résultats. Vérifiez que les données restaurées restent protégées par les contrôles CJIS. Les environnements de sauvegarde sont souvent négligés, mais ils entrent dans le périmètre de conformité. 8. Liste de contrôle de la sécurité réseau Les systèmes de stockage doivent fonctionner dans une architecture réseau sécurisée. ☐ Segmenter les réseaux de stockage Isolez le trafic de stockage des réseaux généralistes. Limitez l’accès aux sous-réseaux approuvés. ☐ Restreindre l’accès externe Bloquez les connexions entrantes inutiles. Utilisez des passerelles sécurisées ou des VPN pour les accès distants. ☐ Surveiller le trafic réseau Journalisez les événements réseau liés au stockage. Détectez les schémas anormaux. ☐ Durcir les interfaces de stockage Désactivez les services inutilisés. Appliquez régulièrement les correctifs aux interfaces d’administration. Appliquez des référentiels de configuration. La conception du réseau influe directement sur le risque d’exposition des CJI. 9. Liste de contrôle de la sécurité du personnel La CJIS comporte des exigences relatives au personnel qui concernent l’exploitation du stockage. ☐ Réaliser les vérifications d’antécédents requises Assurez-vous que le personnel ayant accès aux CJI a suivi les contrôles requis. Conservez la documentation sur l’état de ces contrôles. ☐ Former le personnel aux exigences de la CJIS Proposez une formation de sensibilisation à la sécurité. Informez les administrateurs de leurs responsabilités propres au stockage. Documentez la réalisation des formations. ☐ Limiter l’accès des tiers N’accordez l’accès que lorsqu’il est autorisé contractuellement. Appliquez le moindre privilège aux fournisseurs et sous-traitants. Les pratiques relatives au personnel sont un volet essentiel de l’exploitation d’un stockage conforme CJIS. 10. Liste de contrôle de la réponse aux incidents et de la préparation aux audits Les environnements de stockage doivent permettre une réponse rapide aux incidents de sécurité. ☐ Tenir à jour les procédures de réponse aux incidents Définissez les circuits d’escalade. Incluez des étapes de confinement propres au stockage. Alignez les procédures sur les exigences de signalement de la CJIS. ☐ Préserver les preuves forensiques Veillez à pouvoir récupérer rapidement les journaux. Empêchez la falsification des journaux pendant les enquêtes. Documentez les procédures de traitement des preuves. ☐ Réaliser des audits internes Revoyez périodiquement les configurations de stockage. Vérifiez les contrôles de chiffrement et d’accès. Documentez les constats et les actions correctives. ☐ Préparer la documentation d’audit Conservez des traces : Des configurations de chiffrement Des revues d’accès Des politiques de conservation des journaux Des registres de destruction des supports Des dossiers de formation Être prêt pour un audit exige une documentation continue, et non une préparation de dernière minute. 11. Liste de contrôle de l’évaluation de l’architecture Lors du choix ou de la revue d’une plateforme de stockage pour les CJI, vérifiez les capacités suivantes : ☐ Prend en charge un chiffrement validé FIPS ☐ S’intègre aux systèmes d’identité de l’entreprise ☐ Offre un RBAC granulaire ☐ Génère des journaux d’audit détaillés et exportables ☐ Prend en charge l’immuabilité pour la conservation des preuves ☐ Permet une gestion centralisée des politiques ☐ Évolue sans affaiblir les contrôles de sécurité ☐ Maintient des contrôles cohérents dans les déploiements multisites L’architecture doit simplifier l’application des contrôles CJIS au lieu d’exiger une personnalisation importante. Liste de contrôle du maintien de la conformité La conformité CJIS n’est pas figée. Les environnements de stockage doivent évoluer avec les mises à jour de la politique et les changements opérationnels. ☐ Suivre les mises à jour de la CJIS Security Policy ☐ Revoir les configurations après les mises à niveau majeures ☐ Réévaluer périodiquement les contrôles d’accès ☐ Vérifier les paramètres de chiffrement lors des audits ☐ Tester les flux de journalisation et de supervision ☐ Documenter tous les changements de configuration Une validation continue permet de garantir que le stockage conforme CJIS reste aligné dans la durée. Revue finale : valider un stockage conforme CJIS Avant de conclure qu’un stockage est conforme CJIS, vérifiez que : Tous les emplacements des CJI sont identifiés. Le chiffrement est appliqué de façon cohérente. Les contrôles d’accès respectent le principe du moindre privilège. Les journaux sont complets, protégés et conservés. Les contrôles physiques et des supports sont documentés. Les procédures relatives au personnel et à la réponse aux incidents sont alignées sur la politique. Un stockage conforme CJIS repose sur des contrôles techniques, opérationnels et administratifs coordonnés. Une approche structurée par liste de contrôle aide les agences et les fournisseurs de services à démontrer leur alignement sur la CJIS Security Policy tout en maintenant des environnements de données sécurisés, résilients et évolutifs.
