FBIのCJIS v6.1：セキュリティ担当者が知っておくべきこと。

FBIのCJISセキュリティポリシーは、大きな変革期を経てきました。2024年12月27日に公開されたバージョン6.0により、ポリシーの近代化取り組みが完了し、CJISはNIST SP 800-53と密接に整合した制御ベースの構造へと移行しました。

2026年6月25日に公表されたバージョン6.1では、2025年を通じて指摘された抜け漏れ、修正点、追加事項に対処することで、近代化されたポリシーをさらに洗練させました。すでにバージョン6.0で導入された要件への対応に取り組んでいるセキュリティチームにとっては、全体的な方向性に変化はないことを意味します。

ただし、依然として注目すべき更新点があります。また、取り締まりが頻繁に行われるようになっているため、CJIを扱う組織は、自組織のセキュリティ対策やコンプライアンス・プログラムを最新の基準に適合させ続けるために、これらの変更点を理解しておく必要があります。

CJI v6.0とv6.1では何が変更されたのか？

最も明確な技術的変更点の1つは、暗号化に関するものです。物理的に安全な場所の外で転送中のCJIに対する暗号保護を規定するSC-13において、v6.0では少なくとも128ビット強度の対称暗号鍵が指定されていました。バージョン6.1では、この要件が少なくとも256ビット強度へと引き上げられています。

物理的に安全な場所の外で保管されているCJIの保護を規定するSC-28も強化され、少なくとも256ビットの強度を持つ暗号化が規定された。

もう一つの注目すべき変更点は、脆弱性管理に関するものです。v6.0では、CJIシステム（CJI）において、各機関に対し、該当するセキュリティ関連のソフトウェアおよびファームウェアの更新がインストールされているかどうかを確認するため、少なくとも四半期ごとに脆弱性スキャンツールを使用すること、およびCJIに関連するセキュリティインシデントの発生後に同ツールを使用することが求められていました。

バージョン6.1では、その頻度が四半期ごとから少なくとも月1回に変更されました。

CJIS v6.1により監査要件は変更されるのか？

バージョン6.1は現在、最新のCJISセキュリティポリシーとなっていますが、各機関は、この公表が自動的に単一の新しい監査基準への即時移行を意味すると想定すべきではありません。

この改訂されたポリシーでは、優先度レベルと段階的な監査・制裁実施日が採用されており、優先度1の統制については2024年10月1日より制裁対象となります。優先度2、3、4の統制については、2027年9月30日まで「ゼロサイクル」の状態となります。

州のCJISシステム機関（CSA）も、独自の実施および評価ガイダンスを提供する場合があります。例えば、テキサス州では、各機関がv6.1への移行準備を進める間、2027年3月31日までv5.9.5に基づいて監査を継続しています。

実用的な対策としては、新しい要件への対応を進める一方で、関連するCSAに現在の監査要件を確認しておくことが挙げられます。  

対策が制裁対象となるのを待ってから対応すると、特に監査プログラム自体がより継続的な評価へと移行している状況では、後々不必要な作業が生じる可能性があります。

監査で各機関はどのような問題を発見しているのか？

2025年10月のCJIS理事会において、ミシガン州警察（MSP）は、多要素認証（MFA）を監査上の主要な指摘事項の一つとして挙げました。

その他、繰り返し指摘された課題としては、新規ポリシー、BYOD（個人所有端末の業務利用）に関するポリシーと手順、研修、セキュリティ契約、イベントログ、フィンガープリンティングなどが挙げられました。

同会議では、3年ごとの監査訪問に主に依存する方針からの転換が示されました。MSPの段階的モデルには、ベースラインセキュリティ評価、四半期ごとの会議、システムセキュリティ計画、安全な証拠提出、定期的な進捗レビューが含まれており、プロセスの後半では継続的な評価が計画されています。

「識別と認証」は、2027会計年度中に評価が予定されている統制群の一つである。

これは、CJIS 関連の業務を計画している機関にとって重要なポイントです。コンプライアンスは、単に制御措置を講じているだけでなく、それが機能していることを一貫して実証できるかどうかにますます依存するようになっています。

CJIS v6.1のパスワードおよびMFA要件は同じか？

識別および認証の要件自体は、v6.0からv6.1にかけて実質的な変更はありません。

IA-2 では、組織のユーザーを一意に識別および認証することが求められています。その優先度 1 の強化事項では、アクセスがローカル、ネットワークベース、リモートのいずれであるかに関わらず、特権アカウントと非特権アカウントの両方に対してMFA が求められています。

パスワードに関する管理要件も同様に明確に規定されています。IA-5に基づき、機関は、一般的に使用されているパスワード、予測可能なパスワード、または漏洩が疑われるパスワードのリストを維持し、少なくとも四半期ごとに、またパスワードが漏洩した可能性がある場合にはその都度、リストを更新し、現在ユーザーが記憶しているパスワードと四半期ごとに照合しなければなりません。

また、ユーザーがパスワードを作成または変更する際には、そのパスワードをリストと照合する必要があります。

SpecopsがCJISの識別および認証にどのように貢献するか

Specopsは、以下のソリューションを通じて、パスワードおよび多要素認証（MFA）の要件を全面的にサポートします。

Specops Password Auditorは、Active Directoryの読み取り専用スキャンを実行して、パスワードポリシーの不備を特定し、すでに使用されている漏洩パスワードを強調表示することで、組織に優れた出発点を提供します。これにより、セキュリティチームは、評価の前に是正が必要な領域を可視化できます。

続いて、「Specops Password Policy」は、パスワードの長さや組織が定義した詳細なパスワード規則を強制すると同時に、漏洩した認証情報との照合を行います。その「Breached Password Protection」機能は、60億件以上の漏洩パスワードを含む継続的に更新されるデータベースを活用し、組織がIA-5要件である「一般的に使用されている、または漏洩した認証情報のブロック」に対応できるよう支援します。 また、パスワード変更画面での動的なフィードバックにより、ユーザーは推測に頼るのではなく、パスワードが拒否された理由を明確に把握できます。

Specops Secure Accessは、Windows認証にMFAを追加することで、監査におけるもう1つの頻繁な課題に対処します。Windowsログオン、RDP、RADIUSに加え、特権アカウントおよび非特権アカウント向けのオフラインおよびリモート認証をサポートしています。これにより、MFAに関するIA-2(1)およびIA-2(2)の要件に特に適合します。

また、SaaSアプリケーション向けのSSOもサポートしており、Event APIを通じて認証およびセキュリティイベントをSOC、SIEM、分析プラットフォームに送信します。これは、チームがより強力な認証と、それらの制御がどのように機能しているかに関する明確な証拠の両方を必要とする場合に役立ちます。

CJISはゼロトラストへと移行しつつあるのか？

CJIS v6.1はゼロトラスト規格ではありませんが、その制御項目の多くは同様の方向性を指し示しています。

このポリシーでは、ユーザーの身元の確立、特権ユーザーと非特権ユーザーの両方の認証、管理対象デバイスの特定、および最小権限の適用に、より重点が置かれています。

ネットワーク上の位置情報だけを信頼の根拠とするのではなく、これらの制御措置は、誰が、そしてますます「何が」アクセスを要求しているかを確認することに重点を置いています。

そのため、Specops Device Trustのような技術は、この方針の方向性を自然に補完するものです。IDを承認済みのハードウェアに紐付け、デバイスのセキュリティ状態を確認することで、機密システムへのアクセスに関する保証をさらに強化できます。

将来のCJI規格の改訂により、このアプローチがさらに発展する可能性がありますが、各機関はそれを待つ必要はありません。

強固なID管理、多要素認証（MFA）、デバイスの信頼性確保、およびアクセス制限は、すでにCJIに関連するリスクを低減するための有効な手段となっています。

IDのギャップを解消してCJIS v6.1に備える

CJIS v6.1は段階的な更新に過ぎないかもしれませんが、コンプライアンスへの取り組み方におけるより広範な変化を強化するものです。すなわち、より強力な技術的制御、より頻繁な検証、そしてそれらの制御が継続的に機能していることを示す証拠の充実です。

自組織の現状が不明確な場合は、パスワードの漏洩状況や多要素認証（MFA）の適用範囲を見直すことが、実践的な第一歩となります。

Specopsがどのようにお役に立てるかを確認するには、デモをご予約いただき、当社のソリューションの実際の動作をご覧ください。

本記事はSpecops Softwareが提供・執筆しています。