CJIS の概要
米国連邦捜査局 (FBI) の刑事司法情報サービス (CJIS) 部門は、州、地方、連邦の法執行機関と刑事司法機関に刑事司法情報 (CJI) へのアクセスを提供します。 CJI には、たとえば、指紋記録や犯罪歴が含まれます。 米国の法執行機関およびその他の政府機関は、CJI の送信、ストレージ、または処理のためのクラウド サービスの使用が、CJI を保護するための最小限のセキュリティ要件と制御を確立する CJIS セキュリティ ポリシーに準拠していることを確認する必要があります。
CJIS セキュリティ ポリシーは、米国国立標準技術研究所 (NIST) からのガイダンスとともに、大統領と FBI の指令、連邦法、刑事司法コミュニティの諮問政策委員会 (APB) の決定を統合しています。 ポリシーは、進化するセキュリティ要件を反映するために定期的に更新されます。 現在のバージョンは CJIS セキュリティ ポリシー v6.1 で、2026 年 6 月 25 日に有効になります。
バージョン 6.0 以降、CJIS セキュリティー・ポリシーは、バージョン 5.x で使用されていた 13 のポリシー領域ではなく、 NIST SP 800-53 改訂 5 で定義されているセキュリティー・コントロール・ファミリを中心に構成されています。 ポリシーのセクション 5 は、ポリシー領域 1 (情報交換契約) で構成され、その後に NIST SP 800-53 Rev. 5 コントロール ファミリ (Access Control (AC)、Awareness and Training (AT)、Audit and Accountability (AU)、Assessment, Authorization and Monitoring (CA)、Configuration Management (CM)、Contingency Planning (CP)、Identification and Authentication (IA)、Incident Response (IR)、Maintenance (MA)、 メディア保護 (MP)、物理的および環境保護 (PE)、計画 (PL)、プログラム管理 (PM)、人事セキュリティ (PS)、リスク評価 (RA)、システムとサービスの取得 (SA)、システムと通信の保護 (SC)、システムと情報の整合性 (SI)、サプライ チェーン リスク管理 (SR)。
NIST SP 800-53 とのこの整合性は、CJIS セキュリティ ポリシーの要件が、Microsoft が政府機関向けクラウド製品に対して認可されているプログラムである連邦 リスクおよび承認管理プログラム (FedRAMP) で使用される管理ベースラインに密接に対応していることを意味します。 クラウド サービス プロバイダー (CSP) などの民間請負業者は、これらの制御ファミリを評価して、サービスを CJIS 要件と一致して使用できるかどうかを判断します。
さらに、CJIを処理するすべての民間請負業者は、セキュリティポリシーで要求されるCJIのセキュリティと機密性を確保するのに役立つ、米国司法長官によって承認された統一契約であるCJISセキュリティ補遺(ポリシーの付録H)に署名する必要があります。 また、請負業者は、連邦および州の法律、規制、および基準に一致するセキュリティ プログラムを維持することを約束し、CJI の使用を政府機関が提供した目的に限定します。 ポリシーの付録 G.3 には、CSP 担当者の人事スクリーニングに関する考慮事項など、クラウド コンピューティング環境に固有の補足ガイダンスが記載されています。
CJIS セキュリティ ポリシーで定義されているロール
CJIS セキュリティ ポリシーのバージョン 6.x では、セクション 3.2 で、政府機関および請負業者が契約と責任を確認する際に注意すべきいくつかのロール定義が更新されました。
- 契約機関 (CA) — バージョン 5.x で使用されていた契約政府機関 (CGA) という用語を置き換えます。
- セキュリティ責任を持つ組織担当者 — ローカル機関セキュリティ責任者 (LASO) の役割に取って代わり、拡大します。
- IA 公式 — コンパクト オフィサーの役割を置き換えます。
- State Compact Officer (SCO) — バージョン 6.x で個別に定義された役割。
識別、認証、暗号化
CJIS セキュリティ ポリシーでは、NIST SP 800-63デジタル ID ガイドラインに記載されているように、Authenticator Assurance Level 2 (AAL2) の組織ユーザーに対して多要素認証 (MFA) が必要です。 AAL2 で運用されるオーセンティケーターと検証ツールは、Federal Information Processing Standard (FIPS) 140 レベル 1 要件を満たすために検証する必要があります。
このポリシーはまた、輸送中、保管中、使用中など、ライフサイクル全体にわたるCJIの保護を強調しており、CJIを米国内で保管および処理することを義務付けています。 政府機関は、CJIS要件がクラウドサービスの使用にどのように適用されるかを決定する際に、カスタマーマネージドキー(CMK)を含む暗号化とキー管理のアプローチを評価する責任があります。
Microsoft と CJIS のセキュリティ ポリシー
Microsoft は、CJIS 情報契約のある州で CJIS セキュリティ補遺に署名します。 これらの契約は、CJIS セキュリティ ポリシーへの準拠に責任がある州法執行機関に、Microsoft のクラウド セキュリティ管理がデータのライフサイクル全体の保護にどのように役立つか、また CJI にアクセスできる運用担当者の適切な身辺調査を確保するのに役立つかを伝えます。 Microsoft は引き続き州政府と協力して CJIS 情報契約を締結します。
Microsoft は、Microsoft Azure Government、Microsoft Office 365 U.S.Government、および Microsoft Dynamics 365 U.S.Government の運用ポリシーと手順を評価し、該当するサービス契約において、スコープ内サービスの使用に関する FBI の要件を満たす能力を証明します。
対象となる Microsoft クラウド プラットフォームおよびサービス
- Azure Government
- Dynamics 365 U.S.Government
- Office 365 U.S.Government
- Office 365 Government コミュニティ クラウド ブランドのプランまたはスイートの一部としての Power BI クラウド サービス
Azure、Dynamics 365、および CJIS
Azure、Dynamics 365、およびその他のオンライン サービス コンプライアンスの詳細については、Azure CJIS オファリングを参照してください。
Office 365 と CJIS
Office 365 環境
Microsoft Office 365 は、マルチテナント ハイパースケール クラウド プラットフォームで、世界の一部の地域のお客様が利用できるアプリとサービスの統合エクスペリエンスを提供するものです。 ほとんどの Office 365 サービスでは、顧客データがある地域を指定できます。 Microsoft は、データの回復性のために、顧客データを同じ地理的エリア内の他の地域 (米国など) にレプリケートする場合がありますが、Microsoft は選択した地理的エリアの外部に顧客データをレプリケートしません。
このセクションでは、次の Office 365 環境について説明します。
- クライアント ソフトウェア (クライアント): 顧客デバイスで実行されている商用クライアント ソフトウェア。
- Office 365 (商用): グローバルに利用可能な商用パブリックな Office 365 クラウド サービス。
- Office 365 Government Community Cloud (GCC): Office 365 GCC クラウド サービスは、米国の連邦、州、地方、および部族政府、および米国政府の代わりにデータを保持または処理する請負業者が利用できます。
- Office 365 Government Community Cloud - 高 (GCC High): Office 365 GCC High クラウド サービス は、国防総省 (DoD) セキュリティ要件ガイドライン レベル 4 のコントロールに従って設計されており、厳しく規制された連邦および国防の情報をサポートします。 この環境は、連邦政府機関、国防産業基盤 (DIB)、政府機関の請負業者によって使用されます。
- Office 365 DoD (DoD): Office 365 DoD クラウド サービス は、DoD セキュリティ要件ガイドライン レベル 5 のコントロールに従って設計されており、厳格な連邦および防衛規制をサポートしています。 この環境は、米国国防総省が排他的に使用するためのものです。
このセクションを使用すると、規制対象の業界やグローバル市場におけるコンプライアンスの義務を果たすことができます。 どの地域でどのサービスが利用できるかを確認するには、「国際的な使用可能性情報」と、「Microsoft 365 顧客データの格納先」の記事を参照してください。 Office 365 Government クラウド環境の詳細については、「Office 365 Government Cloud」の記事を参照してください。
あらゆる適用法と規制に準拠するのは、お客様の組織が全責任を負っていただくものとします。 このセクションに記載されている情報は法的アドバイスではありません。組織の規制コンプライアンスに関する質問については、法律アドバイザーに相談してください。
Office 365 の適用性と範囲内のサービス
以下の表を使用して、Office 365 サービスとサブスクリプションの適用性を決定します。
| 適用性 | 範囲内のサービス |
|---|---|
| GCC | アクティビティ フィード サービス、Bing サービス、Bookings、Delve、Exchange Online、Exchange Online Protection、インフラストラクチャ、インテリジェント サービス、Microsoft Copilot、Microsoft Teams、Office 365 カスタマー ポータル、Office Online、Office サービス、Office 使用状況レポート、OneDrive for Business、People Card、SharePoint Online、Windows Ink |
Office 365 監査、レポート、証明書
FBI は、Microsoft が CJIS 要件に準拠しているという証明書を提供していません。 代わりに、Microsoft と州の CJIS 機関の契約、および Microsoft とその顧客の間の契約には、Microsoft による構成証明が含まれます。
米国における CJIS のステータス (2026 年 8 月 24 日現在)
47の州とコロンビア特別区の刑事司法機関を対象とするCJIS管理契約があります。
アラバマ州、アラスカ州、アリゾナ州、アーカンソー州、カリフォルニア州、コロラド州、コネチカット州、フロリダ州、ジョージア州、ハワイ州、アイダホ州、イリノイ州、インディアナ州、アイオワ州、カンザス州、ケンタッキー州、ルイジアナ州、メイン州、メリーランド州、マサチューセッツ州、ミシガン州、ミネソタ州、ミシシッピ州、ミズーリ州、モンタナ州、ネブラスカ州、ネバダ州、ニューハンプシャー州、ニュージャージー州、ニューメキシコ州、ニューヨーク州、ノースカロライナ州、ノースダコタ州、オハイオ州、オクラホマ州、オレゴン州、ペンシルベニア州、ロードアイランド州、サウスカロライナ州、テネシー州、テキサス州、ユタ州、バーモント州、バージニア州、ワシントン州、ウェストバージニア州、ウィスコンシン州 そしてコロンビア特別区。
適用される CJIS 規制管理を満たすという Microsoft の取り組みにより、刑事司法組織はクラウドベースのソリューションを実装し、CJIS セキュリティ ポリシー v6.1 に準拠できます。
よく寄せられる質問
コンプライアンス情報はどこで要求できますか?
関心のある管轄区域の詳細については、Microsoft アカウントの担当者にお問い合わせください。 どのサービスがどの州で現在利用できるかについては、 cjis@microsoft.com にお問い合わせください。
Microsoft は、自社のクラウド サービスが住む州の要件への準拠をどのように示していますか?
Microsoft は、州の CJIS Systems Agency (CSA) と情報契約を締結します。お住まいの州の CSA にコピーを要求できます。 さらに、Microsoft は、セキュリティ、プライバシー、およびコンプライアンスに関する詳細な情報をお客様に提供します。 お客様は、独立した監査人が作成したセキュリティとコンプライアンスのレポートを確認することもできます。これにより、関連する監査範囲に適したセキュリティ管理 (ISO 27001 など) を Microsoft が実装したことを検証できます。
代理店のコンプライアンスの取り組みはどこから始めればよいですか?
CJIS セキュリティ ポリシーには、CJI を保護するために代理店が講じる必要がある予防措置が記載されています。 さらに、Microsoft アカウント担当者は、管轄区域の要件に精通している担当者と連絡を取ることができます。
CJIS セキュリティ ポリシー v6.1 は、代理店が行う必要があることをどのように変更しますか?
Version 6.x では、NIST SP 800-53 Rev. 5 コントロール ファミリに関するポリシーを再編成し、いくつかのロール定義を更新しました。 バージョン 6.1 は、2026 年 6 月 25 日に有効になりました。 政府機関は、現在のコントロールファミリー構造に対して既存の契約、セキュリティポリシー、および監査アーティファクトを見直し、MFA、暗号化、および人員スクリーニングの慣行が現在の要件と一致していることを確認する必要があります。 権限のある要件と移行タイムラインについては、お住まいの州の CSA と CJIS セキュリティ ポリシー リソース センターに問い合わせてください。
Microsoft Purview コンプライアンス マネージャーを使用してリスクを評価する
Microsoft Purview コンプライアンス マネージャーは、Microsoft Purview ポータルの機能であり、organizationのコンプライアンス態勢を理解し、リスクを軽減するための措置を講じるのに役立ちます。 コンプライアンスマネージャーには、この規制の評価を構築するためのプレミアム テンプレートが用意されています。 コンプライアンスマネージャーの評価テンプレート ページでテンプレートを見つけます。 コンプライアンスマネージャーで評価をする方法について説明します。