سیاست‌های امنیتی CJIS (Criminal Justice Information Services) طی یک دوره تغییرات گسترده، به سمت ساختاری کنترل‌محور حرکت کرده است که با استانداردهای NIST SP 800-53 همسویی دارد. نسخه 6.1 که در ژوئن 2026 منتشر شد، در واقع تکامل یافته‌ی نسخه 6.0 است و هدف آن رفع نواقص و افزودن اصلاحاتی است که در طول سال 2025 شناسایی شده بودند.
تغییرات فنی کلیدی در نسخه 6.1
اگرچه جهت‌گیری کلی سیاست‌ها تغییر نکرده است، اما برخی به‌روزرسانی‌های فنی وجود دارد که تیم‌های امنیت و مدیران SOC باید به آن‌ها توجه ویژه‌ای داشته باشند:
- تقویت رمزنگاری (Encryption): در کنترل SC-13 (محافظت از داده‌های در حال انتقال خارج از محیط‌های امن فیزیکی)، حداقل قدرت کلیدهای رمزنگاری متقارن از 128-bit در نسخه قبلی به 256-bit افزایش یافته است. همچنین در کنترل SC-28 برای داده‌های ذخیره‌شده (At Rest)، استاندارد 256-bit الزامی شده است.
- مدیریت آسیب‌پذیری (Vulnerability Management): بازه زمانی اجرای ابزارهای اسکن آسیب‌پذیری برای بررسی نصب بودن به‌روزرسانی‌های نرم‌افزاری و Firmware، از حالت سه ماهه (Quarterly) به حداقل ماهانه (Monthly) تغییر یافته است.
تغییر در رویکرد ممیزی و انطباق (Compliance)
نسخه 6.1 تغییرات بنیادینی در نحوه ممیزی ایجاد نکرده است، اما رویکرد کلی به سمت ارزیابی مستمر (Continuous Assessment) حرکت می‌کند. سازمان‌ها نباید منتظر ممیزی‌های دوره‌ای (مثلاً هر سه سال یک‌بار) بمانند، زیرا مدل‌های جدید شامل ارزیابی‌های پایه، جلسات ربع‌ساله و بررسی‌های منظم پیشرفت هستند.
در این راستا، اثبات عملیاتی بودن کنترل‌ها (Demonstrating the control is working) اهمیت بیشتری نسبت به صرفِ داشتن آن کنترل‌ها پیدا کرده است.
الزامات شناسایی و احراز هویت (IA)
الزامات مربوط به شناسایی و احراز هویت در نسخه‌های 6.0 و 6.1 مشابه است، اما تاکید بر موارد زیر افزایش یافته است:
- MFA: طبق کنترل IA-2، استفاده از احراز هویت چندعاملی (Multi-Factor Authentication) برای تمامی حساب‌های دارای دسترسی Privileged و Non-privileged، فارغ از نوع دسترسی (محلی، شبکه‌ای یا Remote)، الزامی است.
- مدیریت گذرعبور: طبق کنترل IA-5، سازمان‌ها باید لیستی از گذرعبورهای رایج، پیش‌بینی‌شده یا لو رفته (Compromised) را تهیه کرده و هر سه ماه یک‌بار (و در صورت وقوع حادثه) لیست را به‌روزرسانی کرده و گذرعبورهای فعلی کاربران را با آن تطبیق دهند.
همسویی با مفاهیم Zero Trust
اگرچه CJIS v6.1 یک استاندارد Zero Trust نیست، اما بسیاری از کنترل‌های آن در این مسیر هستند. تاکید بر احراز هویت دقیق کاربران، شناسایی دستگاه‌های مدیریت‌شده (Managed Devices) و اعمال اصل حداقل دسترسی (Least Privilege)، نشان‌دهنده تغییر دیدگاه از «اعتماد بر اساس مکان شبکه» به «تایید هویت کاربر و دستگاه» است.
