CJIS v6.1 establece cinco prioridades de cumplimiento para las agencias

Artículo patrocinado por Specops Software. Presenta cinco áreas que las agencias que gestionan Criminal Justice Information (CJI) deberían abordar conforme a CJIS v6.1: autenticación multifactor (MFA), gestión de cuentas, contraseñas, registros de auditoría y preparación para auditorías.

El artículo afirma que CJIS v6.1 exige MFA para las cuentas privilegiadas y no privilegiadas en el acceso local, de red y remoto. Recomienda revisar la cobertura, incluidas las aplicaciones heredadas y las cuentas administrativas, y mantener procesos para inscribir, sustituir y revocar autenticadores. Cita las claves de seguridad FIDO2 como opción resistente al phishing y describe Specops Secure Access como compatible con los inicios de sesión de Windows, RDP, RADIUS y el acceso sin conexión.

Para gestionar las cuentas, el artículo recomienda mantener un inventario preciso de las cuentas de usuario, administrativas, de servicio y temporales; aplicar el principio de mínimo privilegio; separar las tareas administrativas de las actividades cotidianas; y automatizar los cambios de cuentas cuando sea posible. Las cuentas y los privilegios deben revisarse al menos una vez al año. Las cuentas temporales y de emergencia deben eliminarse en un plazo de 72 horas, mientras que las cuentas inactivas durante 90 días deben deshabilitarse en una semana.

El artículo indica que el control IA-5 establece un mínimo de ocho caracteres para las contraseñas y que puede dar lugar a sanciones desde octubre de 2024. Recomienda frases de contraseña más largas y únicas y gestores de contraseñas aprobados, y señala que IA-5 todavía especifica un cambio o renovación anual de contraseña. También recomienda recopilar y proteger los registros de auditoría, revisarlos con regularidad y mantener las pruebas de cumplimiento entre auditorías, que, según el artículo, se realizan al menos una vez cada tres años. Describe Specops Password Auditor como un análisis gratuito y de solo lectura de Active Directory que detecta deficiencias en las políticas de contraseñas y riesgos.