Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
Información general de CJIS
La División de Servicios de Información de Justicia Penal (CJIS) de la Oficina Federal de Investigaciones (FBI) de EE. UU. brinda a las agencias estatales, locales y federales de aplicación de la ley y justicia penal acceso a la información de justicia penal (CJI). CJI incluye, por ejemplo, registros de huellas dactilares y antecedentes penales. Las autoridades y otros organismos gubernamentales de Estados Unidos deben asegurarse de que el uso de los servicios en la nube para la transmisión, almacenamiento o procesamiento de CJI cumpla con la Directiva de seguridad de CJIS, que establece requisitos y controles de seguridad mínimos para proteger CJI.
La Política de Seguridad de CJIS integra directivas presidenciales y del FBI, leyes federales y decisiones de la Junta de Política Asesora (APB) de la comunidad de justicia penal, junto con la orientación del Instituto Nacional de Estándares y Tecnología (NIST). La directiva se actualiza periódicamente para reflejar la evolución de los requisitos de seguridad. La versión actual es CJIS Security Policy v6.1, con efecto a partir del 25 de junio de 2026.
A partir de la versión 6.0, la directiva de seguridad de CJIS se estructura en torno a las familias de control de seguridad definidas en NIST SP 800-53 Revisión 5, en lugar de las 13 áreas de directivas utilizadas en la versión 5.x. La Sección 5 de la Política ahora consta del Área de Política 1 (Acuerdos de Intercambio de Información) seguida de requisitos organizados bajo las familias de control NIST SP 800-53 Rev. 5, que incluyen Access Control (AC), Conciencia y Capacitación (AT), Auditoría y Responsabilidad (AU), Evaluación, Autorización y Monitoreo (CA), Gestión de Configuración (CM), Planificación de Contingencia (CP), Identificación y Autenticación (IA), Respuesta a Incidentes (IR), Mantenimiento (MA), Protección de Medios (MP), Protección Física y Ambiental (PE), Planificación (PL), Gestión de Programas (PM), Seguridad del Personal (PS), Evaluación de Riesgos (RA), Adquisición de Sistemas y Servicios (SA), Protección de Sistemas y Comunicaciones (SC), Integridad del Sistema e Información (SI) y Gestión de Riesgos de la Cadena de Suministro (SR).
Esta alineación con NIST SP 800-53 significa que los requisitos de la directiva de seguridad de CJIS se corresponden estrechamente con las líneas base de control utilizadas por el Programa federal de administración de riesgos y autorización (FedRAMP), un programa bajo el cual Microsoft ha sido autorizado para sus ofertas de Government Cloud. Los contratistas privados, como los proveedores de servicios en la nube (CSP), evalúan estas familias de control para determinar si sus servicios se pueden utilizar de forma coherente con los requisitos de CJIS.
Además, todos los contratistas privados que procesan CJI deben firmar el Anexo de seguridad de CJIS (Apéndice H de la Política), un acuerdo uniforme aprobado por el Fiscal General de los EE. UU. que ayuda a garantizar la seguridad y confidencialidad de CJI requerida por la Política de seguridad. También compromete al contratista a mantener un programa de seguridad consistente con las leyes, regulaciones y estándares federales y estatales, y limita el uso de CJI a los fines para los cuales una agencia gubernamental lo proporcionó. El Apéndice G.3 de la Política proporciona orientación complementaria específica para entornos de computación en la nube, incluidas las consideraciones de selección de personal para el personal de CSP.
Roles definidos en la directiva de seguridad de CJIS
La versión 6.x de la Política de seguridad de CJIS actualizó varias definiciones de roles en la Sección 3.2 que las agencias y contratistas deben tener en cuenta al revisar los acuerdos y responsabilidades:
- Organismo de contratación (CA): sustituye el término Organismo del Gobierno Contratante (CGA) utilizado en la versión 5.x.
- Personal de la organización con responsabilidades de seguridad : reemplaza y amplía el rol de Oficial de seguridad de la agencia local (LASO).
- Oficial de IA : reemplaza el rol de Oficial del Pacto.
- Oficial del Pacto Estatal (SCO): un rol definido por separado en la versión 6.x.
Identificación, autenticación y cifrado
La directiva de seguridad de CJIS requiere la autenticación multifactor (MFA) para los usuarios de la organización en el nivel 2 de garantía del autenticador (AAL2), como se describe en las directrices de identidad digital de NIST SP 800-63. Los autenticadores y verificadores que usan AAL2 deben validarse para cumplir con los requisitos de nivel 1 de Federal Information Processing Standard (FIPS) 140.
La Política también enfatiza la protección de CJI a lo largo de su ciclo de vida (en tránsito, en reposo y en uso) y requiere que CJI se almacene y procese dentro de los Estados Unidos. Las agencias son responsables de evaluar su enfoque de cifrado y administración de claves, incluidas las claves administradas por el cliente (CMK), al determinar cómo se aplican los requisitos de CJIS a su uso de servicios en la nube.
Directiva de seguridad de Microsoft y CJIS
Microsoft firma el anexo de seguridad de CJIS en los estados con contratos de información de CJIS. Estos acuerdos informan a las autoridades estatales responsables del cumplimiento de la directiva de seguridad de CJIS cómo los controles de seguridad en la nube de Microsoft ayudan a proteger el ciclo de vida completo de los datos y garantizan una detección en segundo plano adecuada del personal operativo con acceso a CJI. Microsoft sigue trabajando con los gobiernos estatales para celebrar contratos de información de CJIS.
Microsoft ha evaluado las directivas y procedimientos operativos de Microsoft Azure Government, Microsoft Office 365 U.S. Government y Microsoft Dynamics 365 U.S. Government, y dará fe de su capacidad en los contratos de servicios aplicables para cumplir con los requisitos del FBI para el uso de servicios dentro del ámbito.
Servicios y plataformas en la nube incluidos en el ámbito de Microsoft
- Azure Government
- Dynamics 365 Administración Pública de EE. UU.
- Office 365 EE. UU. Administración Pública
- Servicio en la nube de Power BI como parte de un plan o conjunto de aplicaciones de la marca de la comunidad de Office 365 Administración Pública
Azure, Dynamics 365 y CJIS
Para obtener más información sobre el cumplimiento normativo de Azure, Dynamics 365 y otros servicios en línea, consulte la oferta de CJIS de Azure.
Office 365 y CJIS
Entornos de Office 365
Microsoft Office 365 es una plataforma en la nube multiempresa a hiperescala y una experiencia integrada de aplicaciones y servicios disponibles para los clientes de varias regiones de todo el mundo. La mayoría de los servicios de Office 365 permiten a los clientes especificar la región en la que se encuentran los datos de sus clientes. Microsoft puede replicar los datos del cliente en otras regiones dentro de la misma área geográfica (por ejemplo, Estados Unidos) para fomentar la resistencia de los datos, pero Microsoft no replicará los datos del cliente fuera del área geográfica elegida.
En esta sección se tratan los siguientes entornos de Office 365:
- Software cliente (cliente): Software cliente comercial que se ejecuta en dispositivos cliente.
- Office 365 (comercial): El servicio en la nube público comercial de Office 365 disponible a nivel mundial.
- Office 365 Government Community Cloud (GCC): El servicio en la nube GCC de Office 365 está disponible para el Gobierno federal de los Estados Unidos, así como para los gobiernos estatales, locales y tribales, y los contratistas que mantienen o procesan datos en nombre del Gobierno de los Estados Unidos.
- Office 365 Administración Pública Community Cloud - High (GCC High): el servicio en la nube GCC High de Office 365 está diseñado de acuerdo con los controles de nivel 4 de las directrices sobre requisitos de seguridad del Departamento de Defensa (DoD) y admite información federal y de defensa regulada rigurosamente. Este entorno lo usan las agencias federales, la Base Industrial de Defensa (DIB) y los contratistas gubernamentales.
- Office 365 DoD (DoD): el servicio en la nube del DoD de Office 365 está diseñado de acuerdo con los controles de nivel 5 de las directrices sobre requisitos de seguridad del DoD y admite estrictas regulaciones federales y de defensa. Este entorno es para uso exclusivo del Departamento de Defensa de EE. UU.
Use esta sección para ayudarle a cumplir sus obligaciones relativas al cumplimiento en los sectores regulados y en los mercados globales. Para averiguar qué servicios están disponibles en qué regiones, consulte la información de disponibilidad internacional y el artículo Dónde se almacenan los datos del cliente de Microsoft 365. Para más información sobre el entorno de nube de Office 365 Administración Pública, consulte el artículo Nube de Office 365 Administración Pública.
Su organización es totalmente responsable de garantizar el cumplimiento de todas las leyes y normativas aplicables. La información proporcionada en esta sección no constituye asesoramiento legal. Debe consultar a asesores legales para cualquier pregunta relacionada con el cumplimiento normativo de su organización.
Aplicabilidad y servicios dentro Office 365
Use la siguiente tabla para determinar la aplicabilidad de los servicios y la suscripción de Office 365:
| Aplicabilidad | Servicios incluidos |
|---|---|
| GCC | Servicio de fuente de actividades, servicios de Bing, Bookings, Delve, Exchange Online, Exchange Online Protection, Infraestructura, Servicios inteligentes, Microsoft Copilot, Microsoft Teams, Portal de clientes de Office 365, Office Online, Servicio de Office, Informes de uso de Office, OneDrive para la Empresa, tarjeta People, SharePoint Online, Windows Ink |
Auditorías, informes y certificados de Office 365
El FBI no ofrece una certificación de cumplimiento de Microsoft con los requisitos de CJIS. En su lugar, una atestación de Microsoft se incluye en los acuerdos entre Microsoft y la autoridad de CJIS de un estado, y entre Microsoft y sus clientes.
Estado de CJIS en Estados Unidos (actual a partir del 24 de agosto de 2026)
Existen acuerdos de gestión de CJIS que cubren las agencias de justicia penal en 47 estados y el Distrito de Columbia:
Alabama, Alaska, Arizona, Arkansas, California, Colorado, Connecticut, Florida, Georgia, Hawái, Idaho, Illinois, Indiana, Iowa, Kansas, Kentucky, Luisiana, Maine, Maryland, Massachusetts, Michigan, Minnesota, Misisipi, Misuri, Montana, Nebraska, Nevada, Nuevo Hampshire, Nueva Jersey, Nuevo México, Nueva York, Carolina del Norte, Dakota del Norte, Ohio, Oklahoma, Oregón, Pensilvania, Rhode Island, Carolina del Sur, Tennessee, Texas, Utah, Vermont, Virginia, Washington, Virginia Occidental, Wisconsin, y el Distrito de Columbia.
El compromiso de Microsoft de cumplir con los controles reglamentarios de CJIS aplicables permite a las organizaciones de justicia penal implementar soluciones basadas en la nube y cumplir con la directiva de seguridad de CJIS v6.1.
Preguntas frecuentes
¿Dónde puedo solicitar información sobre cumplimiento?
Ponte en contacto con el representante de la cuenta de Microsoft para obtener información sobre la jurisdicción en la que estás interesado. Póngase en contacto cjis@microsoft.com para obtener información sobre qué servicios están disponibles actualmente en qué estados.
¿Cómo demuestra Microsoft que sus servicios en la nube permiten el cumplimiento de los requisitos de mi estado?
Microsoft firma un acuerdo de información con una agencia estatal de sistemas CJIS (CSA); puede solicitar una copia de la CSA de su estado. Además, Microsoft proporciona a los clientes información detallada sobre seguridad, privacidad y cumplimiento. Los clientes también pueden revisar los informes de seguridad y cumplimiento preparados por auditores independientes para que puedan validar que Microsoft implementó controles de seguridad (como ISO 27001) adecuados para el ámbito de auditoría relevante.
¿Por dónde empiezo con el esfuerzo de cumplimiento de mi agencia?
La Política de seguridad de CJIS cubre las precauciones que su agencia debe tomar para proteger a CJI. Además, el representante de su cuenta de Microsoft puede ponerle en contacto con personas familiarizadas con los requisitos de su jurisdicción.
¿Cómo cambia la Política de seguridad de CJIS v6.1 lo que mi agencia debe hacer?
La versión 6.x reorganizó la directiva en torno a las familias de control NIST SP 800-53 Rev. 5 y actualizó varias definiciones de roles. La versión 6.1 entró en vigor el 25 de junio de 2026. Las agencias deben revisar sus acuerdos existentes, políticas de seguridad y artefactos de auditoría contra la estructura actual de la familia de control, y confirmar que las prácticas de MFA, cifrado y selección de personal se alinean con los requisitos actuales. Consulte al CSA de su estado y al Centro de recursos de directivas de seguridad de CJIS para conocer los requisitos autoritativos y los plazos de transición.
Usar el Administrador de cumplimiento de Microsoft Purview para evaluar el riesgo
El Administrador de cumplimiento de Microsoft Purview es una característica del portal de Microsoft Purview que te ayuda a comprender la postura de cumplimiento de tu organización y a tomar medidas que ayuden a reducir los riesgos. El Administrador de cumplimiento ofrece una plantilla premium para crear una evaluación de esta normativa. Busque la plantilla en la página plantillas de evaluación en el Administrador de cumplimiento. Obtenga información sobre cómo crear evaluaciones en el Administrador de cumplimiento.