Использование AWS в информационных решениях в области уголовной юстиции
Обзор
Политика безопасности CJIS предусматривает «надлежащие средства управления для защиты всего жизненного цикла информации в области уголовной юстиции (CJI) при хранении или передаче», независимо от лежащей в основе модели информационной технологии. С помощью решений на базе AWS агентства могут обеспечить защиту своих приложений и данных облаке AWS и управление ими.
AWS предоставляет компоненты, которые государственные агентства безопасности и их партнеры по приложениям могут использовать для создания высокодоступных, устойчивых и надежных приложений в соответствии с Политикой безопасности CJIS. Клиенты AWS сохраняют за собой полное право собственности на свои данные и контроль над ними, который осуществляется с помощью простых, эффективных, оптимизированных для облака инструментов, которые помогают им управлять всем жизненным циклом конфиденциальных данных клиентов. Клиенты самостоятельно устанавливают место хранения данных и способы их защиты при передаче и хранении и управляют доступом к своим информационным системам на базе AWS. Этот контроль осуществляется эксклюзивно.
Чтобы обеспечить надлежащую защиту информации в области уголовной юстиции (CJI) и соответствие требованиям политики безопасности CJIS, необходимо использовать определенные механизмы контроля безопасности, гарантирующие предоставление доступа к CJI только уполномоченным лицам. Принцип минимальных привилегий представляет собой один из краеугольных камней Политики безопасности CJIS. В его основе лежит стандарт «служебной необходимости и права на получение информации». Клиенты AWS могут использовать принцип минимальных привилегий для безопасного шифрования своих данных CJI и предоставления исключительного доступа к CJI лицам, имеющим доступ к ключам шифрования. Клиенты получают сервисы и инструменты AWS, такие как сервис управления ключами AWS (AWS KMS) и AWS Nitro System, чтобы агентства и доверенные партнеры могли сохранять полный контроль над данными в области уголовной юстиции и право на владение ими.
AWS KMS использует аппаратные модули защиты (HSM), прошедшие проверку в соответствии с FIPS 140-3 и позволяющие клиентам создавать, владеть и управлять собственными главными ключами всех операций шифрования. Эти ключи всегда остаются в пределах аппаратных модулей безопасности сервиса AWS KMS, соответствующих требованиям FIPS, в незашифрованном виде и не передаются персоналу AWS.
AWS Nitro System использует специальное оборудование и серверы, спроектированные исключительно для работы с гипервизором виртуальных вычислений, поэтому в них отсутствуют все ненужные порты, компоненты и возможности традиционных серверов. Модель безопасности AWS Nitro System, основанная на функции блокировки, ограничивает административный доступ, исключая возможность человеческой ошибки и подделки данных. Также клиенты могут выбрать AWS Nitro Enclaves, где не реализовано постоянное хранилище, интерактивный доступ и внешний сетевой функционал для создания изолированных компьютерных сред, чтобы улучшить защиту и безопасную обработку конфиденциальных данных.
Эти технологические преимущества AWS Nitro System и сервиса управления ключами AWS с использованием аппаратных модулей защиты, проверенных в соответствии с FIPS 140-3, в качестве симметричных ключей шифрования устраняют необходимость применения традиционного метода физической защиты и фоновых проверок для разрешения доступа отдельных пользователей к незашифрованным CJI. Традиционный подход обеспечивает минимальное соответствие требованиям Политики безопасности CJIS, однако он не сравнится с уровнем безопасности, которого можно достичь с помощью надежных методик шифрования и развертывания принципов «минимальных привилегий», позволяющих предоставлять доступ к CJI только лицам, которых испытывают служебную необходимость, имеют право на получение информации или соответствующее явно выраженное разрешение. Это позволяет клиентам и поставщикам приложений создавать решения, благодаря которым сотрудникам AWS не требуется физический и логический доступ к CJI и устройствам, которые хранят, обрабатывают и передают CJI.
