北京
负责保护刑事司法信息（CJI）的机构，光把安全控制措施摆上去并不算过关。这些控制得在员工每天用的系统里真正跑起来，还得拿得出证据证明它们有效。
老系统、人手紧张的IT团队、不断变化的访问需求，三样凑在一起，即便安全底子不错的机构，也容易在控制的一致性和审计证据上掉链子。CJIS v6.1之下，力气该往哪儿使？以下五个方向是重点。
一、多因素认证：别让账号漏网
CJIS v6.1在IA-2(1)和IA-2(2)两项控制下，要求特权账号和非特权账号都启用多因素认证（MFA），覆盖本地、网络和远程访问。难点在于确保没有账号被漏掉。
先盘一遍环境里的MFA覆盖情况，老应用和管理账号要格外留意。实施时可以考虑抗钓鱼的方式，比如FIDO2安全密钥。认证器的注册、更换、吊销，也得有靠得住的流程。
MFA不是一劳永逸的事。系统和访问需求变了，配置就得回头再看。
二、账号管理与权限：临时账号72小时内清掉
员工转岗或离职，权限很快就过时了。CJIS v6.1想压的正是这个风险，靠的是有效的账号管理和最小权限。
先把用户、管理、服务和临时账号的清单做准。权限按角色需要给，管理权限和日常操作分开，能自动化的开通与回收就自动化。
账号和权限至少每年审一次。临时账号和应急账号必须在72小时内移除，90天未活动的账号要在一周内禁用。关键是把访问审查做成持续动作，而不是一年走一次过场。
三、口令：最短八位，失败尝试不超过五次
IA-5规定口令最短八位，属于优先级1的控制项，自2024年10月起已可被处罚。按NIST的建议，机构应鼓励更长、唯一的通行短语，并用经过批准的口令管理器减少重复使用。
还有几条要跟上：
- 筛查已泄露的口令，口令黑名单至少每季度更新一次，怀疑泄露时随时更新。
- 创建或重置口令时，拦掉弱口令和重复使用的口令。
- 每个账号的登录失败尝试限制在五次以内。
另外，年度改密要求要跟本机构的CJIS系统局确认——IA-5仍规定每年更换或刷新一次，尽管相关指引并不鼓励不必要的重置。
四、日志：收集只是起点
审计日志能帮机构发现可疑活动、调查安全事件。但把日志收上来还不够，得抓对事件、定期翻看，还得防篡改。
先检查处理CJI的系统日志覆盖到不到位。记录要能说清谁在什么时候做了什么、结果如何。把日志集中到SIEM里，可疑活动更容易被揪出来。
五、审计准备：三年一考，功夫在平时
机构至少每三年接受一次审计，但两次审计之间也得保持合规。与其临到跟前手忙脚乱凑证据，不如把CJIS合规当成日常责任。
- 维护一份适用安全控制清单，明确每项由谁实施、审查和记录。
- 把证据归置好，包括MFA配置记录、访问审查、审计日志、安全策略、培训和评估结果。
- 记录发现的弱点并设定整改期限。按CA-5的要求，整改计划至少每六个月更新一次，有新信息时随时更新。
- 在正式评估前先做内部评估，把问题提前找出来。
- 把安全监控和合规审查嵌进日常IT运维，变更或新风险才不会悄悄溜过去。
把审计准备变成常规安全管理的一部分，缺口能更早发现，正式评估的活儿能少一些，两次审计之间的合规状态也更稳。
CJIS合规不是做完就完的事。系统和安全风险在变，控制措施得跟上。定期复查控制、把证据理清楚，合规会好管一些，机构的安全底子也更扎实。
口令是评估CJIS合规时不错的起点。至于缺口在哪儿，Specops Password Auditor提供免费的只读Active Directory扫描，对照CJIS要求标出口令策略缺口，并提示包括已泄露口令在内的风险。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
