刑事司法情報サービス (CJIS) セキュリティ ポリシー
CJIS の概要
米国連邦捜査局 (FBI) の刑事司法情報サービス (CJIS) 部門は、州、地方、および連邦の法執行機関および刑事司法機関に対して、刑事司法情報 (CJI) へのアクセスを提供します。 CJI には、指紋記録や犯罪歴などが含まれます。 米国の法執行機関およびその他の政府機関は、CJI の転送、ストレージ、または処理のためのクラウド サービスの使用が、CJI を保護するための最低限のセキュリティ要件と制御を確立する CJIS セキュリティ ポリシーに準拠していることを確認する必要があります。
CJISセキュリティポリシーは、国家標準技術研究所(NIST)からのガイダンスと共に、大統領とFBIの指令、連邦法、および刑事司法コミュニティの諮問政策委員会の決定を統合しています。 ポリシーは、進化するセキュリティ要件を反映するように定期的に更新されます。
CJIS セキュリティ ポリシーでは、クラウド サービス プロバイダーなどのプライベート 請負業者が、クラウド サービスの使用を CJIS 要件と一致できるかどうかを判断するために評価する必要がある 13 の領域を定義します。 これらの分野は NIST 800-53 に密接に対応しており、これは、Microsoft が Government Cloud オファリングの認定を受けている プログラムである連邦リスクおよび承認管理プログラム (FedRAMP) の基礎でもあります。
さらに、CJIを処理するすべての民間請負業者は、セキュリティポリシーによって要求されるCJIのセキュリティと機密性を確保するのに役立つ米国司法長官によって承認された均一な合意であるCJISセキュリティ補遺に署名する必要があります。 また、請負業者は、連邦および州の法律、規制、基準に準拠したセキュリティ プログラムを維持することを約束し、CJI の使用を政府機関が提供した目的に限定します。
Microsoft および CJIS セキュリティ ポリシー
Microsoft は、CJIS 情報契約を使用して CJIS セキュリティ補遺に州で署名します。 これらは、CJIS セキュリティ ポリシーへの準拠を担当する州法執行機関に、Microsoft のクラウド セキュリティ制御がデータの完全なライフサイクルを保護し、CJI にアクセスできる運用担当者の適切なバックグラウンド スクリーニングを確保する方法を示します。 Microsoft は引き続き州政府と協力して CJIS 情報契約を締結しています。
Microsoft は、Microsoft Azure Government、Microsoft Office 365米国政府、Microsoft Dynamics 365米国政府の運用ポリシーと手順を評価し、スコープ内サービスの使用に関する FBI 要件を満たすために、該当するサービス契約での能力を証明します。
対象となる Microsoft のクラウド プラットフォームとサービス
- Azure Government
- 米国政府Dynamics 365
- Office 365米国政府
- Office 365 Government Community Cloud ブランドプランまたはスイートの一部としての Power BI クラウド サービス
Azure、Dynamics 365、CJIS
Azure、Dynamics 365、およびその他のオンライン サービスコンプライアンスの詳細については、Azure CJIS オファリングに関するページを参照してください。
Office 365と CJIS
Office 365環境
Microsoft Office 365 は、マルチテナント ハイパースケール クラウド プラットフォームで、世界の一部の地域のお客様が利用できるアプリとサービスの統合エクスペリエンスを提供するものです。 ほとんどの Office 365 サービスでは、顧客データがある地域を指定できます。 Microsoft は、データの回復性のために、顧客データを同じ地理的エリア内の他の地域 (米国など) にレプリケートする場合がありますが、Microsoft は選択した地理的エリアの外部に顧客データをレプリケートしません。
このセクションでは、次のOffice 365環境について説明します。
- クライアント ソフトウェア (クライアント): 顧客デバイスで実行されている商用クライアント ソフトウェア。
- Office 365 (商用): グローバルに利用可能な商用パブリックな Office 365 クラウド サービス。
- Office 365 Government Community Cloud (GCC): Office 365 GCC クラウド サービスは、米国の連邦、州、地方、および部族政府、および米国政府の代わりにデータを保持または処理する請負業者が利用できます。
- Office 365 Government Community Cloud - 高 (GCC High): Office 365 GCC High クラウド サービス は、国防総省 (DoD) セキュリティ要件ガイドライン レベル 4 のコントロールに従って設計されており、厳しく規制された連邦および国防の情報をサポートします。 この環境は、連邦政府機関、国防産業基盤 (DIB)、政府機関の請負業者によって使用されます。
- Office 365 DoD (DoD): Office 365 DoD クラウド サービス は、DoD セキュリティ要件ガイドライン レベル 5 のコントロールに従って設計されており、厳格な連邦および防衛規制をサポートしています。 この環境は、米国国防総省が排他的に使用するためのものです。
このセクションを使用すると、規制対象の業界やグローバル市場におけるコンプライアンスの義務を果たすことができます。 どの地域でどのサービスが利用できるかを確認するには、「国際的な使用可能性情報」と、「Microsoft 365 顧客データの格納先」の記事を参照してください。 Office 365 Government クラウド環境の詳細については、「Office 365 Government Cloud」の記事を参照してください。
あらゆる適用法と規制に準拠するのは、お客様の組織が全責任を負っていただくものとします。 このセクションに記載されている情報は法的アドバイスではありません。組織の規制コンプライアンスに関する質問については、法律アドバイザーに相談してください。
Office 365 の適用性と範囲内のサービス
以下の表を使用して、Office 365 サービスとサブスクリプションの適用性を決定します。
| 適用性 | 範囲内のサービス |
|---|---|
| GCC | Microsoft Entra ID、コンプライアンス マネージャー、Delve、Exchange Online、Forms、Microsoft Defender for Office 365、Microsoft Teams、MyAnalytics、Office 365 Advanced Compliance アドオン、Office 365 セキュリティ & コンプライアンス センター、Office Online、Office Pro Plus、OneDrive for Business、Planner、PowerApps、Power Automate、Power BI、SharePoint Online、Skype for Business、Stream |
Office 365 監査、レポート、証明書
FBI は、CJIS 要件に対する Microsoft のコンプライアンスの認定を提供していません。 代わりに、Microsoft の構成証明は、Microsoft と州の CJIS 機関と Microsoft とその顧客との間の契約に含まれます。
米国の CJIS の状態 (2024 年 9 月 27 日現在)
47州とコロンビア特別区の刑事司法機関をカバーするCJIS管理契約があります。
アラバマ州、アラスカ州、アリゾナ州、アーカンソー州、カリフォルニア州、コロラド州、コネチカット州、フロリダ州、ジョージア州、ハワイ州、アイダホ州、イリノイ州、インディアナ州、 アイオワ、カンサ、ケンタッキー、ルイジアナ、メイン、メリーランド、マサチューセッツ、ミシガン、ミネソタ、ミネソタ、ミシシッピ、ミズーリ、モンタナ、ネブラスカ、ネバダ、ニューハンプシャー、ニュージャージー、ニューメキシコ、ニューヨーク、ノースカロライナ、ノースダコタ、オハイオ、オクラホマ、オレゴン、ペンシルベニア、ロードアイランド、サウスカロライナ、テネシー、テキサス、ユタ、バーモント、バージニア、ワシントン、ウェストバージニア、ウィスコンシン、 とコロンビア特別区。
該当する CJIS 規制コントロールを満たすという Microsoft のコミットメントにより、刑事司法組織はクラウドベースのソリューションを実装し、CJIS セキュリティ ポリシー v5.9.5 に準拠することができます。
よく寄せられる質問
コンプライアンス情報はどこで要求できますか?
関心のある管轄区域に関する情報については、Microsoft アカウントの担当者にお問い合わせください。 現在どのサービスがどの状態で利用されているかについては、 cjis@microsoft.com にお問い合わせください。
Microsoft は、クラウド サービスが自分の州の要件に準拠していることをどのように示していますか?
Microsoft は、州 CJIS Systems Agency (CSA) と情報契約を締結します。状態の CSA からコピーを要求できます。 さらに、Microsoft は、セキュリティ、プライバシー、コンプライアンスに関する詳細な情報をお客様に提供します。 また、お客様は、独立した監査者が作成したセキュリティおよびコンプライアンス レポートを確認して、Microsoft が関連する監査スコープに適したセキュリティ制御 (ISO 27001 など) を実装していることを検証することもできます。
機関のコンプライアンスの取り組みからどこから始めますか?
CJIS セキュリティ ポリシー は、CJI を保護するために機関が取る必要がある予防措置について説明します。 さらに、Microsoft アカウントの担当者は、管轄区域の要件に精通しているユーザーと連絡を取ることができます。
Microsoft Purview コンプライアンス マネージャーを使用してリスクを評価する
Microsoft Purview コンプライアンス マネージャーは、Microsoft Purview コンプライアンス ポータルの機能であり、organizationのコンプライアンス体制を理解し、リスクを軽減するためのアクションを実行するのに役立ちます。 コンプライアンスマネージャーには、この規制の評価を構築するためのプレミアム テンプレートが用意されています。 コンプライアンスマネージャーの評価テンプレート ページでテンプレートを見つけます。 コンプライアンスマネージャーで評価をする方法について説明します。