Politica di sicurezza dei servizi di informazione sulla giustizia penale (CJIS)

Panoramica di CJIS

La divisione Criminal Justice Information Services (CJIS) del Federal Bureau of Investigation (FBI) degli Stati Uniti fornisce alle forze dell'ordine statali, locali e federali e alle agenzie di giustizia penale l'accesso alle informazioni sulla giustizia penale (CJI). La CJI include, ad esempio, i registri delle impronte digitali e i precedenti penali. Le forze dell'ordine e altre agenzie governative negli Stati Uniti devono garantire che l'utilizzo dei servizi cloud per la trasmissione, l'archiviazione o l'elaborazione di CJI sia conforme alla politica di sicurezza CJIS, che stabilisce i requisiti minimi di sicurezza e i controlli per salvaguardare CJI.

La politica di sicurezza CJIS integra le direttive presidenziali e dell'FBI, le leggi federali e le decisioni dell'Advisory Policy Board (APB) della comunità della giustizia penale, insieme alle indicazioni del National Institute of Standards and Technology (NIST). I criteri vengono aggiornati periodicamente per riflettere l'evoluzione dei requisiti di sicurezza. La versione corrente è CJIS Security Policy v6.1, in vigore dal 25 giugno 2026.

A partire dalla versione 6.0, la policy di sicurezza CJIS è strutturata attorno alle famiglie di controlli di sicurezza definite in NIST SP 800-53 Revisione 5, anziché alle 13 aree di policy utilizzate nella versione 5.x. La sezione 5 della politica è ora composta dall'area politica 1 (Accordi per lo scambio di informazioni) seguita dai requisiti organizzati nell'ambito delle famiglie di controllo NIST SP 800-53 Rev. 5, tra cui Controllo di accesso (AC), Consapevolezza e formazione (AT), Audit e responsabilità (AU), Valutazione, autorizzazione e monitoraggio (CA), Gestione della configurazione (CM), Pianificazione di emergenza (CP), Identificazione e autenticazione (IA), Risposta agli incidenti (IR), Manutenzione (MA), Protezione dei media (MP), Protezione fisica e ambientale (PE), Pianificazione (PL), Gestione dei programmi (PM), Sicurezza del personale (PS), Valutazione del rischio (RA), Acquisizione di sistemi e servizi (SA), Protezione dei sistemi e delle comunicazioni (SC), Integrità dei sistemi e delle informazioni (SI) e Gestione dei rischi della catena di approvvigionamento (SR).

Questo allineamento con NIST SP 800-53 significa che i requisiti dei criteri di sicurezza CJIS corrispondono strettamente alle linee di base di controllo usate dal Federal Risk and Authorization Management Program (FedRAMP), un programma in base al quale Microsoft è stata autorizzata per le sue offerte cloud per enti pubblici. Gli appaltatori privati come i fornitori di servizi cloud (CSP) valutano queste famiglie di controllo per determinare se i loro servizi possono essere utilizzati in modo coerente con i requisiti CJIS.

Inoltre, tutti gli appaltatori privati che elaborano CJI devono firmare l'Addendum di sicurezza CJIS (Appendice H della Politica), un accordo uniforme approvato dal Procuratore generale degli Stati Uniti che aiuta a garantire la sicurezza e la riservatezza di CJI richieste dalla Politica di sicurezza. Impegna inoltre l'appaltatore a mantenere un programma di sicurezza coerente con le leggi, i regolamenti e gli standard federali e statali e limita l'uso di CJI agli scopi per i quali un'agenzia governativa lo ha fornito. L'Appendice G.3 della Politica fornisce indicazioni supplementari specifiche per gli ambienti di cloud computing, comprese le considerazioni sullo screening del personale per il personale CSP.

Ruoli definiti nel criterio di sicurezza CJIS

La versione 6.x della politica di sicurezza CJIS ha aggiornato diverse definizioni di ruolo nella sezione 3.2 che le agenzie e gli appaltatori dovrebbero prendere in considerazione durante la revisione di accordi e responsabilità:

• Agenzia appaltante (CA) — sostituisce il termine Agenzia governativa contraente (CGA) utilizzato nella versione 5.x.
• Personale organizzativo con responsabilità di sicurezza : sostituisce e amplia il ruolo di responsabile della sicurezza dell'agenzia locale (LASO).
• Funzionario IA — sostituisce il ruolo di Compact Officer.
• State Compact Officer (SCO) — un ruolo definito separatamente nella versione 6.x.

Identificazione, autenticazione e crittografia

I criteri di sicurezza CJIS richiedono l'autenticazione a più fattori (MFA) per gli utenti dell'organizzazione con livello di garanzia 2 (AAL2) dell'autenticatore, come descritto nelle linee guida sull'identità digitale NIST SP 800-63. Gli autenticatori e i verificatori utilizzati in AAL2 devono essere convalidati per soddisfare i requisiti del Federal Information Processing Standard (FIPS) 140 Livello 1.

La politica sottolinea inoltre la protezione delle CJI durante tutto il suo ciclo di vita - in transito, a riposo e in uso - e richiede che le CJI siano archiviate ed elaborate negli Stati Uniti. Le agenzie sono responsabili della valutazione della crittografia e dell'approccio alla gestione delle chiavi, comprese le chiavi gestite dal cliente (CMK), nel determinare in che modo i requisiti CJIS si applicano all'utilizzo dei servizi cloud.

Criteri di sicurezza Microsoft e CJIS

Microsoft firma l'addendum per la sicurezza CJIS negli stati con accordi di informazione CJIS. Questi accordi indicano alle autorità di polizia statali responsabili della conformità ai criteri di sicurezza CJIS in che modo i controlli di sicurezza cloud di Microsoft consentono di proteggere l'intero ciclo di vita dei dati e garantire un appropriato screening in background del personale operativo con accesso a CJI. Microsoft continua a collaborare con gli enti pubblici statali per stipulare accordi di informazione CJIS.

Microsoft ha valutato i criteri e le procedure operative di Microsoft Azure per enti pubblici, Microsoft Office 365 U.S. Government e Microsoft Dynamics 365 U.S. Government e attesterà la loro capacità nei contratti di servizi applicabili di soddisfare i requisiti dell'FBI per l'uso di servizi nell'ambito.

Piattaforme e servizi cloud nell'ambito Microsoft

• Azure per enti pubblici
• Dynamics 365 U.S. Government
• Office 365 U.S. Government
• Servizio cloud Power BI come parte di un piano o una famiglia di prodotti di Office 365 Government Community Cloud

Azure, Dynamics 365 e CJIS

Per altre informazioni sulla conformità di Azure, Dynamics 365 e altri Servizi online, vedere l'offerta CJIS di Azure.

Office 365 e CJIS

Ambienti di Office 365

Microsoft Office 365 è una piattaforma cloud iperscalabile multi-tenant e un'esperienza integrata di app e servizi disponibili per i clienti in diverse aree geografiche del mondo. La maggior parte dei servizi di Office 365 consente ai clienti di specificare l'area geografica in cui si trovano i dati dei clienti. Microsoft potrebbe replicare i dati dei clienti in altre parti all'interno della stessa area geografica (ad esempio, gli Stati Uniti) per la resilienza dei dati. Tuttavia, Microsoft non replicherà i dati dei clienti al di fuori dell'area geografica prescelta.

Questa sezione riguarda i seguenti ambienti di Office 365:

• Software client (client): software client commerciale in esecuzione nei dispositivi dei clienti.
• Office 365 (commerciale): il servizio cloud pubblico commerciale di Office 365 disponibile a livello globale.
• Office 365 Government Community Cloud (GCC): il servizio cloud Office 365 GCC è disponibile per i governi federali, statali, locali e tribali degli Stati Uniti, nonché per i terzisti che detengono o elaborano dati per conto del governo degli Stati Uniti.
• Office 365 Government Community Cloud - High (GCC High): il servizio cloud Office 365 GCC High è progettato secondo i controlli di livello 4 delle linee guida sui requisiti di sicurezza del Dipartimento della Difesa (DoD) e controlla e supporta le informazioni federali e di difesa rigorosamente regolamentate. Questo ambiente viene usato dalle agenzie federali, dalla Defense Industrial Base (DIB) e dai terzisti governativi.
• Office 365 DoD (DoD): il servizio cloud Office 365 DoD è progettato secondo i controlli di livello 5 delle linee guida sui requisiti di sicurezza del Dipartimento della Difesa e supporta rigide normative federali e di difesa. Questo ambiente è destinato all'uso esclusivo da parte del Dipartimento della Difesa degli Stati Uniti.

Usare questa sezione per soddisfare gli obblighi di conformità in settori regolamentati e mercati globali. Per scoprire quali servizi sono disponibili in quali aree geografiche, vedere le informazioni sulla disponibilità internazionale e l'articolo Dove sono archiviati i dati dei clienti Microsoft 365. Per altre informazioni sull'ambiente cloud di Office 365 Government, vedere l'articolo Office 365 Government Cloud.

L'organizzazione è interamente responsabile di garantire la conformità a tutte le leggi e normative applicabili. Le informazioni fornite in questa sezione non costituiscono una consulenza legale. Pertanto, è consigliabile consultare i propri consulenti legali per eventuali domande relative alla conformità normativa della propria organizzazione.

Applicabilità di Office 365 e servizi inclusi nell'ambito

Usare la tabella seguente per determinare l'applicabilità per i servizi e l'abbonamento a Office 365:

Controlli, report e certificati di Office 365

L'FBI non offre la certificazione della conformità di Microsoft ai requisiti CJIS. Al contrario, un'attestazione Microsoft è inclusa nei contratti tra Microsoft e l'autorità CJIS di uno stato e tra Microsoft e i suoi clienti.

Stato CJIS negli Stati Uniti (aggiornato al 24 agosto 2026)

Esistono accordi di gestione CJIS che coprono le agenzie di giustizia penale in 47 stati e nel Distretto di Columbia:

Alabama, Alaska, Arizona, Arkansas, California, Colorado, Connecticut, Florida, Georgia, Hawaii, Idaho, Illinois, Indiana, Iowa, Kansas, Kentucky, Louisiana, Maine, Maryland, Massachusetts, Michigan, Minnesota, Mississippi, Missouri, Montana, Nebraska, Nevada, New Hampshire, New Jersey, Nuovo Messico, New York, North Carolina, North Dakota, Ohio, Oklahoma, Oregon, Pennsylvania, Rhode Island, South Carolina, Tennessee, Texas, Utah, Vermont, Virginia, Washington, West Virginia, Wisconsin, e il Distretto di Columbia.

L'impegno di Microsoft a soddisfare i controlli normativi CJIS applicabili consente alle organizzazioni di giustizia penale di implementare soluzioni basate sul cloud ed essere conformi ai criteri di sicurezza CJIS v6.1.

Domande frequenti

Dove è possibile richiedere informazioni sulla conformità?

Per informazioni sulla giurisdizione a cui sei interessato, contatta il rappresentante dell'account Microsoft. Contatta cjis@microsoft.com per informazioni su quali servizi sono attualmente disponibili in quali stati.

In che modo Microsoft dimostra che i suoi servizi cloud consentono la conformità ai requisiti del mio stato?

Microsoft firma un accordo di informazioni con un'agenzia statale per i sistemi CJIS (CSA); puoi richiederne una copia al CSA del tuo stato. Inoltre, Microsoft fornisce ai clienti informazioni approfondite su sicurezza, privacy e conformità. I clienti possono anche esaminare i report di sicurezza e conformità preparati da revisori indipendenti in modo che possano verificare che Microsoft abbia implementato i controlli di sicurezza (ad esempio ISO 27001) appropriati per l'ambito di controllo pertinente.

Da dove comincio l'impegno di conformità della mia agenzia?

La politica di sicurezza CJIS copre le precauzioni che l'agenzia deve adottare per proteggere CJI. Inoltre, il rappresentante dell'account Microsoft può metterti in contatto con persone che hanno familiarità con i requisiti della giurisdizione di appartenenza.

In che modo i criteri di sicurezza CJIS v6.1 modificano le operazioni che l'agenzia deve eseguire?

La versione 6.x ha riorganizzato la politica intorno alle famiglie di controllo NIST SP 800-53 Rev. 5 e ha aggiornato diverse definizioni di ruolo. La versione 6.1 è entrata in vigore il 25 giugno 2026. Le agenzie dovrebbero rivedere i loro accordi esistenti, le politiche di sicurezza e gli artefatti di audit rispetto all'attuale struttura della famiglia di controllo e confermare che le pratiche di MFA, crittografia e screening del personale siano in linea con i requisiti attuali. Consulta il CSA del tuo stato e il Centro risorse per i criteri di sicurezza CJIS per i requisiti autorevoli e le eventuali tempistiche di transizione.

Usare Microsoft Purview Compliance Manager per valutare il rischio

Microsoft Purview Compliance Manager è una funzionalità del portale Microsoft Purview che consente di comprendere il comportamento di conformità dell'organizzazione e di intraprendere azioni per ridurre i rischi. Compliance Manager offre un modello premium per creare una valutazione per questa normativa. Individuare il modello nella pagina modelli di valutazioni in Compliance Manager. Informazioni su come creare valutazioni in Compliance Manager.

Risorse

• Divisione servizi di informazione sulla giustizia penale dell'FBI
• Centro risorse per i criteri di sicurezza CJIS
• NIST SP 800-53 Rev. 5
• Cloud Microsoft per enti pubblici
• Conformità in Microsoft Trust Center